搜索

[9877] 2016-03-04_猴赛雷！RSA大会徽章扫描应用程序爆出漏洞

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-18
2016-03-04_猴赛雷！RSA大会徽章扫描应用程序爆出漏洞 猴 赛 雷 ！ R S A   大 会 徽 章 扫 描 应 用 程 序 爆 出 漏 洞 米 雪 儿   F r e e B u f   2 0 1 6 - 0 3 - 0 4 近 日 ， 近 日 ， B L U E   B O X 公 司 的 安 全 研 究 人 员 发 现 ： 公 司 的 安 全 研 究 人 员 发 现 ： R S A   2 0 1 6 大 会 上 使 用 的 徽 章 扫 描 大 会 上 使 用 的 徽 章 扫 描 A P P 存 在 一 个 硬 编 码 的 默 认 密 码 。 存 在 一 个 硬 编 码 的 默 认 密 码 。 今 年 ， R S A   2 0 1 6 的 与 会 者 将 获 得 一 个 独 特 的 惊 喜 ： 大 会 为 许 多 厂 商 提 供 了 三 星 G a l a x y   S 4 智 能 手 机 ， 在 G o o g l e   P l a y 上 运 行 一 个 特 殊 的 A n d r o i d   A P P ， 可 以 使 他 们 通 过 扫 描 自 己 的 徽 章 来 跟 踪 这 些 访 问 者 的 踪 迹 。 该 移 动 扫 描 A P P 不 能 用 于 除 扫 描 徽 章 外 的 任 何 东 西 ， 除 非 管 理 员 使 用 密 码 解 锁 。 这 种 工 作 模 式 称 为 “ k i o s k 模 式 ” 。 B L U E   B O X 的 安 全 安 全 专 家 分 析 所 下 载 的 扫 描 应 用 程 序 ， 并 发 现 开 发 者 将 默 认 密 码 以 纯 文 本 的 形 式 放 置 在 源 代 码 中 。 B L U E   B O X 的 安 全 研 究 人 员 在 S e c u r i t y w e e k . c o m 这 样 说 道 ： 当 我 们 使 用 该 密 码 时 就 能 够 获 得 k i o s k   a p p 的 设 置 权 限 。 反 过 来 ， 一 旦 我 们 获 得 设 备 的 系 统 设 置 权 限 ， 然 后 我 们 就 能 够 将 设 备 置 入 开 发 模 式 ， 进 而 获 得 进 入 设 备 的 全 部 权 限 ， 这 一 切 都 是 有 关 联 的 ， 因 为 如 果 我 们 能 做 到 这 一 点 ， 攻 击 者 们 一 样 可 以 ， 他 们 可 以 r o o t 设 备 ， 获 取 设 备 数 据 ， 或 安 装 恶 意 软 件 来 窃 取 更 多 的 数 据 。 我 们 推 测 ， 隐 藏 在 A P P 中 的 默 认 代 码 可 以 作 为 一 种 机 制 ， 使 得 管 理 员 在 丢 失 设 备 密 码 的 情 况 下 仍 然 可 以 进 行 管 理 。 然 而 ， 这 种 将 密 码 嵌 入 到 A P P 出 厂 编 号 的 做 法 是 一 种 十 分 荒 谬 的 开 发 实 践 ， 特 别 是 那 些 未 加 密 和 未 混 淆 的 。 在 这 个 特 殊 的 漏 洞 中 ， 并 未 发 现 对 最 终 用 户 带 来 的 严 重 风 险 ， 但 是 发 现 带 有 硬 编 码 凭 证 的 移 动 A P P 是 非 常 常 见 的 。 黑 客 可 以 利 用 隐 藏 密 码 来 获 取 设 备 的 控 制 权 限 ， 并 以 此 将 其 用 于 窥 探 受 害 者 或 将 其 运 行 于 移 动 僵 尸 网 络 中 。 类 似 的 事 情 在 2 0 1 4 年 已 经 发 生 过 一 次 ， 当 时 在 I O A c t i v e 的 专 家 就 发 现 了 一 些 影 响 R S A 大 会 A n d r o i d   A P P 的 漏 洞 ， 如 涉 及 信 息 披 露 问 题 等 。 设 计 安 全 性 对 于 移 动 A P P 的 发 展 而 言 是 至 关 重 要 的 ， 遗 憾 的 是 由 于 移 动 A P P 开 发 工 具 的 迅 速 开 发 及 推 广 ， 发 布 一 个 移 动 A P P 成 为 一 件 很 容 易 的 事 情 。 但 在 大 多 数 情 况 下 ， 对 于 移 动 A P P 的 安 全 要 求 就 完 全 忽 略 了 。 但 是 奇 怪 的 是 ， 这 种 问 题 居 然 会 发 生 在 满 是 安 全 领 域 最 顶 级 专 家 参 与 的 大 会 上 。 * 原 文 地 址 ： s e c u r i t y a f f a i r s ， 编 译 / 米 雪 儿 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）  
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理