安卓超级bug现身:能让恶意代码进入已签名应用

据外媒 BleepingComputer 美国时间12月9日报道,谷歌在 2017年12月发布的安卓安全公告中包含一个漏洞修复程序,该漏洞允许恶意攻击者绕过应用程序签名并将恶意代码注入安卓应用程序。

这个名为 Janus 的漏洞(CVE-2017-13156)由移动安全公司 GuardSquare 的研究团队发现,该漏洞存在与安卓操作系统用于读取应用程序签名的机制中,会允许恶意应用在不影响应用签名的情况下,向安卓应用的 APK 或 DEX 格式中添加代码。如果有人想用恶意指令打包成一款应用,安卓系统仍会将其视为可信任应用。

研究人员表示,安卓操作系统在各个位置少量检查字节,以验证文件的完整性。对于 APK 和 DEX 文件,这些字节的位置是不同的,研究人员发现他们可以在 APK 中注入一个 DEX 文件,而安卓操作系统仍会认为它正在读取原始的 APK 文件,因为 DEX 在插入过程不会改变安卓检查完整性的字节,而且文件的签名也不会改变。

Janus 攻击的唯一不足之处在于,攻击者必须引诱用户下载第三方应用商店中的的应用。研究人员还称,Janus 漏洞只影响使用应用程序签名方案v1,使用签名方案v2签署的应用不受影响。另外,Janus 仅影响运行 Android 5.0及更高版本的设备。

国内有相关安全研究员将其称呼为“生态级别的安卓签名欺骗漏洞”,并认为这是安全年度大洞,各厂商有得忙了。

本文分享自微信公众号 - BestSDK(bestsdk)

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2017-12-11

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏沈唁志

百度春笋小哥带你解决熊掌号主页不更新等几个问题

先来说一下这个问题吧,熊掌号主页数据是在熊掌号指数2.0公布之后出的问题,也就是 9.10 以后

27220
来自专栏FreeBuf

大家一起看一看新的Android P将引入哪些安全性改进

根据Google的Android开发团队发布的新版本Android系统概述,下一个Android版本(Android P或Android 9.0)大家应该很快就...

11920
来自专栏代码GG之家

封装之路(三)架构模型

封装之路(三)架构模型 ? 前面写了BaseApp和BaseActivity的源码,有留言询问怎么使用,这里简单说下: 这个框架的形成原因是由于自己在学习开发a...

208100
来自专栏FreeBuf

Axis摄像头存在安全缺陷,三个漏洞即可接管

网络安全公司VDOO的研究人员近期发现了几个漏洞,这些漏洞影响Axis近400台安全摄像机。

12300
来自专栏玄魂工作室

Python黑帽编程 4.0 网络互连层攻击概述

Python黑帽编程 4.0 网络互连层攻击概述 是时候重新温习下下面这张图了。 ? 图2 本章的内容核心包含上图中的网络层和传输层。TCP/IP是整个网络协议...

43380
来自专栏游戏杂谈

foxmail同步QQ邮箱里的所有文件夹

随着微信消息的轰炸,我决定重拾邮箱。为了方便管理邮箱,我下载并试用了Foxmail和网易邮箱大师,Foxmail不确定用什么语言开发的,可能是C++或者Delp...

28810
来自专栏安恒信息

安卓漏洞影响99%设备,谷歌提供补丁来堵之

国外媒体周一报道称,谷歌已经开发出了移动网络安全公司Bluebox Security所发现的重大Android漏洞的补丁程序,并已将其提供给OEM厂商。 Blu...

29150
来自专栏大宽宽的碎碎念

初创公司如何避免服务器被攻击

1.3K50
来自专栏FreeBuf

当心,安卓远控(spynote)升级了……

最近在某国外论坛上流出一款安卓远控spynote3.2版本,以前freebuf上有人发过spynots2.4版的,不过现在已经升级了,功能变得更加强大,危害更严...

52680
来自专栏FreeBuf

黑客是如何通过RDP远程桌面服务进行攻击的

企业每年在软件和硬件和防止外部网络攻击方面的投资花费有数十亿美元。在安全方面花的钱多就带面安全吗?这些企业无疑是搬起石头砸自己的脚。 ...

400100

扫码关注云+社区

领取腾讯云代金券