搜索

[9482] 2015-10-29_FreeBuf追踪报道：虫洞（wormhole）漏洞来袭，多款百度热门安卓应用中枪

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-17
2015-10-29_FreeBuf追踪报道：虫洞（wormhole）漏洞来袭，多款百度热门安卓应用中枪 F r e e B u f   追 踪 报 道 ： 虫 洞 （ w o r m h o l e ） 漏 洞 来 袭 ， 多 款 百 度 热 门 安 卓 应 用 中 枪 F r e e B u f   F r e e B u f   2 0 1 5 - 1 0 - 2 9 日 前 ， 有 安 全 研 究 员 曝 出 百 度 旗 下 多 款 日 前 ， 有 安 全 研 究 员 曝 出 百 度 旗 下 多 款 A P P 存 在 存 在 w o r m h o l e 漏 洞 ， 安 卓 手 机 无 论 是 否 漏 洞 ， 安 卓 手 机 无 论 是 否 r o o t ， 只 要 连 接 了 网 络 便 存 在 被 远 ， 只 要 连 接 了 网 络 便 存 在 被 远 程 操 控 的 风 险 。 程 操 控 的 风 险 。 W o r m h o l e 漏 洞 ： 名 副 其 实 的 虫 洞 漏 洞 ： 名 副 其 实 的 虫 洞 1 0 月 月 2 0 日 ， 白 帽 子 蒸 米 发 微 博 称 ： 日 ， 白 帽 子 蒸 米 发 微 博 称 ： @ 瘦 蛟 舞 和 我 发 现 了 一 个 漏 洞 ， 该 漏 洞 影 响 A n d r o i d 上 数 个 用 户 过 亿 的 a p p ， 我 们 把 它 称 之 为 w o r m h o l e 漏 洞 。 只 要 连 接 了 网 络 ， 就 有 被 远 程 攻 击 的 风 险 。 知 情 人 士 透 露 ， 由 于 漏 洞 厂 商 还 在 修 复 中 ， 因 此 细 节 无 法 公 之 于 众 。 据 安 全 专 家 推 测 ， “ w o r m h o l e 漏 洞 ” 是 基 于 百 度 的 广 告 端 口 存 在 身 份 验 证 和 权 限 控 制 缺 陷 而 产 生 的 。 而 此 端 口 本 来 是 用 于 广 告 网 页 、 升 级 下 载 、 推 广 A P P 的 用 途 。 攻 击 者 一 旦 拿 下 这 个 端 口 的 权 限 ， 便 可 以 获 得 手 机 近 乎 全 部 的 控 制 。
说 白 了 ， 就 是 A P P 监 听 了 一 个 端 口 。 ” “ 虫 洞 虫 洞 ” 对 安 卓 用 户 有 什 么 影 响 ？ 对 安 卓 用 户 有 什 么 影 响 ？ 攻 击 者 可 以 利 用 此 漏 洞 进 行 以 下 操 作 ： · 对 手 机 实 现 远 程 操 控 ； · 安 装 指 定 应 用 ； · 启 动 任 意 程 序 ； · 上 传 隐 私 信 息 和 照 片 ； · 弹 对 话 框 显 示 广 告 或 者 钓 鱼 链 接 ； · . . . . . . 而 且 这 一 切 都 不 需 要 攻 击 者 接 触 用 户 手 机 ， 只 需 通 过 W i f i 无 线 网 络 或 者 3 G / 4 G 蜂 窝 网 络 即 可 进 行 攻 击 。 3 G / 4 G 网 络 就 是 一 个 很 大 的 局 域 网 ， 因 此 用 户 危 险 系 数 直 线 增 加 。 漏 洞 影 响 及 安 全 建 议 漏 洞 影 响 及 安 全 建 议 根 据 知 名 科 技 博 主 月 光 博 客 “ 目 前 已 知 受 w o r m h o l e 影 响 A P P 列 表 ” 图 片 显 示 ， 包 括 百 度 地 图 、 百 度 浏 览 器 、 百 度 贴 吧 、 百 度 翻 译 、 百 度 视 频 等 多 款 热 门 应 用 中 招 。 F r e e B u f   据 此 统 计 了 截 止 1 0 月 2 8 日 1 9 时 许 受 影 响 A P P 的 更 新 情 况 ， 并 提 出 对 应 的 安 全 建 议 ， 请 广 大 受 影 响 用 户 为 了 安 全 起 见 ， 进 行 处 理 ：
注 ： 注 ： 1 、 数 据 来 自 百 度 手 机 助 手 ， 鉴 于 此 次 A P P 多 数 为 百 度 ， 因 此 官 网 更 新 或 者 百 度 应 用 自 身 为 最 快 的 途 径 ； 2 、 统 计 中 ， 小 编 没 有 搜 索 到 “ 萌 萌 聊 天 ” ， 便 使 用 联 想 “ 乐 商 店 ” 的 数 据 信 息 进 行 统 计 。 F r e e B u f   下 午 采 访 了 一 位 业 内 资 深 安 全 专 家 ， 当 询 问 到 此 次 “ 虫 洞 ” 是 否 可 能 为 百 度 后 门 时 ， 对 方 表 示 “ 没 有 后 门 的 可 能 。 虽 然 看 起 来 像 ” 。 百 度 回 应 百 度 回 应 目 前 已 发 现 的 百 度 系 中 招 A P P 数 量 众 多 ， 面 对 这 潜 在 的 巨 大 危 害 ， 百 度 已 经 确 认 了 该 漏 洞 ， 并 淡 定 回 复 ： “ 此 漏 洞 以 知 晓 且 m o   +   s d k 已 修 复 。 ” 然 而 ， 从 F r e e B u f   统 计 的 数 据 显 示 ， 百 度 确 实 在 发 现 漏 洞 之 后 进 行 了 修 复 ， 但 仍 存 在 部 分 应 用 程 序 未 及 时 更 新 。 有 消 息 称 国 内 某 安 全 团 队 已 经 开 始 开 发 “ w o r m h o l e 漏 洞 ” 检 测 工 具 ， 此 次 漏 洞 影 响 规 模 堪 比 上 次 苹 果 X c o d e 。 随 着 漏 洞 细 节 的 逐 步 披 露 必 将 带 来 更 多 影 响 ， 对 于 事 件 的 未 来 发 展 ， F r e e B u f 会 进 行 持 续 关 注 。 * F r e e B u f   独 家 整 理 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理