腾讯云联手腾讯安全玄武实验室,提供「应用克隆」漏洞免费检测服务

国内主流安卓 APP 被爆存在「应用克隆」风险。2018年1月9日,在正式对外披露攻击威胁模型「应用克隆」的新闻发布会上,腾讯安全玄武实验室负责人于旸(TK教主)现场展示了一段视频,用一场真实测试为大众揭秘“应用克隆”移动攻击威胁,一些平常不被重视的小漏洞,最终演变成窃取隐私信息和盗取账号资金的大危机。

在发现这些漏洞后,腾讯安全玄武实验室通过 CNCERT 向厂商通报了相关信息,并给出了修复方案,避免该漏洞被不法分子利用。目前,对于用户数量大、涉及重要数据的 APP,腾讯安全玄武实验室愿意提供相关技术援助,与此同时,腾讯云移动安全团队联手玄武实验室,对想要检测是否存在「应用克隆」漏洞的客户提供1V1的免费检测服务。

△ 发布会现场演示应用克隆漏洞

「应用克隆」漏洞产生的原因

以及将被如何利用?

发布会上,于旸指出:“多点耦合产生了可怕漏洞,所谓多点耦合,是 A 点看上去没问题,B 点看上去也没问题,但是 A 和 B 组合起来,就组成了一个大问题。”

「应用克隆」漏洞产生的原因是在 安卓 APP 中,WebView 开启了 file 域访问,且允许 file 域对 http 域进行访问,同时未对 file 域的路径进行严格限制所致。「应用克隆」漏洞只会影响使用 WebView 控件,开启了 file 域访问并且未按安全策略开发的安卓 APP。由此可见,「应用克隆」 攻击的成功实施需要多个漏洞的相互配合。

据介绍,「应用克隆」漏洞至少涉及国内10%的主流 安卓 APP,几乎影响国内所有安卓 用户。黑客可利用 Android 平台 WebView 控件的跨域访问漏洞(CNVD-2017-36682),远程获取用户隐私数据(包括手机应用数据、照片、文档等敏感信息),还可窃取用户登录凭证,在受害者毫无察觉的情况下实现对 APP 用户账户的完全控制。

解决方案

值得庆幸的是,腾讯安全玄武实验室在不法黑客前发现了「应用克隆」攻击模型,占据了攻防主动。目前,受影响的 APP 厂商都已完成或正在积极的修复当中,具体修复可以参考国家信息安全漏洞共享平台联合腾讯提供的临时解决方案,如下所示:

1、file 域访问为非功能需求时,手动配置 setAllowFileAccessFromFileURLs 或setAllowUniversalAccessFromFileURLs 两个 API 为 false。(Android4.1版本之前这两个 API 默认是 true,需要显式设置为 false)

2、若需要开启 file 域访问,则设置 file 路径的白名单,严格控制 file 域的访问范围,具体如下:

1>固定不变的 HTML 文件可以放在 assets 或 res 目录下,file:///android_asset 和 file:///android_res 在不开启 API 的情况下也可以访问;

2> 可能会更新的 HTML 文件放在/data/data/(app) 目录下,避免被第三方替换或修改;

3> 对 file 域请求做白名单限制时,需要对“../../”特殊情况进行处理,避免白名单被绕过。

3、避免 APP 内部的 WebView 被不信任的第三方调用。排查内置 WebView 的Activity 是否被导出、必须导出的 Activity 是否会通过参数传递调起内置的 WebView 等。

4、建议进一步对 APP 目录下的敏感数据进行保护。客户端 APP 应用设备相关信息(如IMEI、IMSI、Android_id等)作为密钥对敏感数据进行加密。使攻击者难以利用相关漏洞获得敏感信息。

划重点的分割线

如需腾讯云移动安全团队为您提供的1V1免费检测服务,请在微信公众号留言,提供以下信息给我们:

客户名称

应用名称

应用下载链接

也可联系客服 QQ:619423293

原文发布于微信公众号 - 腾讯云安全(TencentCloudSecurity)

原文发表时间:2018-01-16

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏AI科技大本营的专栏

还原Facebook数据泄漏事件始末,用户信息到底是如何被第三方获取的?

编译 | AI科技大本营 参与 | 张蔚敏 林椿眄 编辑 | 明 明 据美国《纽约时报》和英国《观察者报》消息,一家数据分析公司( Cambridge Anal...

3545
来自专栏腾讯云安全的专栏

腾讯云联手腾讯安全玄武实验室,提供「应用克隆」漏洞免费检测服务

腾讯云移动安全团队联手玄武实验室,对想要检测是否存在「应用克隆」漏洞的客户提供1V1的免费检测服务。

2358
来自专栏吉浦迅科技

如何检测NVIDIA Jetson TX2硬件温度

2.输入以下指令查看温度,以下数字分别对应以上硬件,将数字除以1000得出实际温度(摄氏度)

1332
来自专栏SAP最佳业务实践

SAP最佳业务实践:FI–现金管理(160)-28现金集中-F111运行清算付款请求

4.8.3 F111通过 F111-付款运行清算付款请求 可以使用付款程序对客户和供应商进行付款,或在总分类帐户间使用。和标准付款程序不同,此付款不是建立在未清...

3657
来自专栏张戈的专栏

妹子你真萌:一次心惊肉跳的服务器误删文件的恢复过程

刚在我的订阅里面看到这篇文章,在爆笑之余也让跟我一样的运维农民工们发人深省,所以转过来分享一下。妹子啊妹子,网上找的东西也不能直接照搬啊,太萌了~~哈哈! 作者...

53911
来自专栏黑白安全

网络钓鱼攻击

网络钓鱼是一种经常用来窃取用户数据的社交工程攻击,包括登录凭证和信用卡号码。它发生在攻击者伪装成可信实体时,让受害者打开电子邮件,即时消息或文本消息。然后,收件...

1401
来自专栏编程思想之路

带你解锁蓝牙skill(一)

蓝牙这个专题,很值得深入研究,但又不是一篇两篇能说的清除,所以决定连载~~~ 不知道能坚持多久 在研究蓝牙源码之前,先来看看蓝牙大致都有什么功...

2338
来自专栏FreeBuf

当“宿主”披上QQ盗号的外衣

导读:生物学上病毒侵入的细胞就叫宿主细胞,而病毒则借助宿主的蛋白质和其他物质制造自己的身体,由于控制细胞增殖的结构基因发生突变,调节系统对它失去控制,结果就会造...

1250
来自专栏FreeBuf

一个有20年历史的SMB漏洞:一台树莓派就能DoS大型服务器,微软表示不会修复该漏洞

绝大部分 DoS 攻击,一般来说都是目标系统收到大量服务请求,最终导致拒绝服务状态。实际上,随着技术的发展,如果要让现在的系统“拒绝服务”,是需要海量请求配合的...

3754
来自专栏安恒信息

解读 | 6个问题深度解读CPU漏洞

近日,谷歌Project Zero安全团队公布了两组CPU特性漏洞,分别命名为Meltdown和Spectre,安恒信息应急响应中心于日前已关注此漏洞并发布漏洞...

2969

扫码关注云+社区