搜索

[9745] 2016-01-17_MacGateKeeper漏洞补丁无效，仍可被绕过进行攻击

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-18
2016-01-17_MacGateKeeper漏洞补丁无效，仍可被绕过进行攻击 M a c   G a t e K e e p e r 漏 洞 补 丁 无 效 ， 仍 可 被 绕 过 进 行 攻 击 F r e e B u f   2 0 1 6 - 0 1 - 1 7 近 日 ， 安 全 专 家 近 日 ， 安 全 专 家 P a t r i c k   W a r d l e 称 ， 此 前 苹 果 发 布 的 用 于 修 复 加 固 称 ， 此 前 苹 果 发 布 的 用 于 修 复 加 固 M a c   O S   X   G a t e K e e p e r 漏 洞 的 补 丁 是 无 效 的 ， 无 法 保 漏 洞 的 补 丁 是 无 效 的 ， 无 法 保 护 用 户 护 用 户 M a c 电 脑 的 安 全 。 在 电 脑 的 安 全 。 在 2 0 1 5 年 年 9 月 份 ， 正 是 月 份 ， 正 是 P a t r i c k   W a r d l e 第 一 个 发 现 了 该 漏 洞 。 第 一 个 发 现 了 该 漏 洞 。 去 年 九 月 份 已 发 现 的 漏 洞 去 年 九 月 份 已 发 现 的 漏 洞 时 间 重 新 回 到 去 年 九 月 份 ， P a t r i c k 在 博 客 上 提 醒 苹 果 用 户 关 于 苹 果 电 脑 上 的 安 全 检 查 机 制 G a t e K e p p e r ， 存 在 安 全 漏 洞 。 P a t r i c k 发 现 发 现 G a t e K e e p e r 的 检 查 机 制 只 是 一 次 性 的 静 态 检 查 ， 即 只 在 应 用 程 序 安 装 时 进 行 检 查 。 的 检 查 机 制 只 是 一 次 性 的 静 态 检 查 ， 即 只 在 应 用 程 序 安 装 时 进 行 检 查 。 而 如 果 应 用 程 序 在 运 行 过 程 中 需 加 载 相 关 二 进 制 文 件 ， 那 么 而 如 果 应 用 程 序 在 运 行 过 程 中 需 加 载 相 关 二 进 制 文 件 ， 那 么 G a t e K e e p e r 是 不 会 检 查 这 些 动 态 加 载 的 文 件 。 是 不 会 检 查 这 些 动 态 加 载 的 文 件 。 F r e e B u f 百 科 百 科 我 们 再 来 了 解 下 ， 关 于 苹 果 电 脑 上 的 G a t e K e p p e r 功 能 ， 主 要 如 下 ： G a t e k e e p e r   是   M o u n t a i n   L i o n   和   O S   X   L i o n   v 1 0 . 7 . 5   中 的 一 项 功 能 ， 其 以   O S   X   的 现 有 恶 意 软 件 检 查 为 基 础 ， 帮 助 保 护   M a c 免 受 从 互 联 网 下 载 的 恶 意 软 件 和 行 为 异 常 的   a p p   的 影 响 。 1 、 M a c   A p p   S t o r e   是 下 载 和 安 装   a p p   最 安 全 、 最 可 靠 的 位 置 。 M a c   A p p   S t o r e   接 受 一 款   a p p   之 前 ， A p p l e   会 对 其 进 行 审 查 ， 如 果 该   a p p   存 在 问 题 ， A p p l e   可 迅 速 将 其 从   S t o r e   中 删 除 。 2 、 针 对 从   M a c   A p p   S t o r e   以 外 的 位 置 下 载 的   a p p ， 开 发 者 可 以 从   A p p l e   获 得 一 个 独 一 无 二 的   D e v e l o p e r   I D ， 并 以 它 来 对 自 己 的   a p p   进 行 数 字 签 名 。 借 助   D e v e l o p e r   I D ， G a t e k e e p e r   能 够 阻 止 由 恶 意 软 件 开 发 者 创 建 的   a p p ， 并 验 证   a p p   是 否 遭 到 篡 改 （ 因 为 其 已 签 名 ） 。 如 果   a p p   由 未 知 开 发 者 开 发 （ 其 没 有   D e v e l o p e r   I D ） 或 已 遭 篡 改 ， G a t e k e e p e r   可 阻 止 安 装 该 a p p 。 3 、 通 过 G a t e k e e p e r ， 可 以 更 有 效 地 控 制 安 装 内 容 。 可 以 选 取 最 安 全 的 选 项 ， 仅 允 许 打 开 来 自   M a c   A p p   S t o r e   的   a p p 。 此
外 还 提 供 一 个 选 项 ， 仅 允 许 打 开 来 自   M a c   A p p   S t o r e   和 被 认 可 的 开 发 者 开 发 的   a p p 。 或 者 ， 可 以 选 取 允 许 打 开 所 有 a p p ， 就 与 之 前 版 本 的   O S   X   一 样 。 简 而 言 之 ， G a t e K e e p e r 可 以 说 是 作 为 一 个 实 时 检 测 工 具 来 过 滤 安 装 的 a p p ， 从 而 保 护 用 户 电 脑 安 全 。 但 根 据 P a t r i c k 的 研 究 发 现 ， 攻 击 者 可 以 通 过 利 用 上 述 的 漏 洞 ， 通 过 将 编 制 的 恶 意 应 用 程 序 放 在 一 个 专 用 的 文 件 夹 里 面 ， 并 将 其 放 置 在 应 用 程 序 目 录 下 ， 让 通 过 G a t e K e e p e r 检 测 的 应 用 程 序 对 专 用 目 录 下 的 执 行 文 件 进 行 加 载 ， 从 而 实 现 攻 击 。 具 体 可 以 看 下 以 下 的 简 图 ： 苹 果 在 修 复 加 固 苹 果 在 修 复 加 固   G a t e K e e p e r 漏 洞 上 并 无 成 效 漏 洞 上 并 无 成 效 苹 果 此 前 宣 布 说 这 个 问 题 已 经 发 布 相 关 补 丁 进 行 修 复 ， 但 P a t r i c k 经 研 究 发 现 ， 发 布 的 补 丁 并 不 是 如 苹 果 所 说 的 修 复 补 丁 ， 只 是 一 个 简 单 的 黑 名 单 工 具 。 P a t r i c k 具 体 提 到 ： 苹 果 并 没 有 真 正 解 决 问 题 的 源 头 ， 只 是 引 入 另 外 一 种 新 的 安 全 检 查 工 具 ， 苹 果 并 没 有 真 正 解 决 问 题 的 源 头 ， 只 是 引 入 另 外 一 种 新 的 安 全 检 查 工 具 ， X P r o t e c t ， 通 过 检 测 二 进 制 文 件 黑 名 单 ， 通 过 检 测 二 进 制 文 件 黑 名 单 的 方 式 ， 来 检 测 应 用 程 序 是 否 有 加 载 恶 意 的 二 进 制 文 件 。 的 方 式 ， 来 检 测 应 用 程 序 是 否 有 加 载 恶 意 的 二 进 制 文 件 。 而 且 基 本 上 ， 该 黑 名 单 只 是 一 个 简 单 的 列 表 ， 并 非 是 一 个 成 熟 的 检 测 系 统 。 所 以 ， 我 们 也 可 以 知 道 ， 这 种 简 单 的 黑 名 单 方 式 ， 对 于 检 测 应 用 程 序 是 否 有 加 载 恶 意 文 件 ， 还 是 很 容 易 被 绕 过 的 。 苹 果 发 布 的 这 种 解 决 方 法 ， 也 让 众 多 的 安 全 专 家 觉 得 疑 惑 ， “ 苹 果 究 竟 如 何 考 虑 的 ？ P O C 视 频 （ 请 通 过 阅 读 原 文 进 行 观 看 ） 视 频 （ 请 通 过 阅 读 原 文 进 行 观 看 ） 结 语 结 语 对 于 苹 果 电 脑 用 户 ， 建 议 尽 量 在   A p p   S t o r e   下 载   a p p ， 虽 说 有 时 候 并 不 是 那 么 方 便 ， 但 为 了 安 全 性 ， 还 是 很 有 必 要 的 。 ＊ 参 考 来 源 ： s d i a ， F B 小 编 t r o y 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理