原创宅客频道01-12 15:38
作者:李勤

摘要: 1月9日,腾讯汇。

1月9日,腾讯汇。

下午3点的腾讯安全有一场发布会,不到2点,主要演讲人腾讯玄武实验室负责人 TK 已经到位,知道创宇404Team的老大黑哥(周景平)也现身了。

会前,据知道创宇一位市场部人士向宅客频道透露,黑哥几年前发现了一个漏洞,报给了谷歌,但是谷歌没搭理他。

“是一点回音都没有吗 ?”宅客频道问。

“是,好像是说谷歌觉得可能不是它那边的责任。”该人士说。

下午3点25分,原计划开始的发布会还没开始。

腾讯方面同时传来了信息: 腾讯玄武实验室上报了一个重大漏洞,这属于一个应用克隆的漏洞,腾讯方面还提出了漏洞利用方法。

这也透露了一个信息,这个漏洞应该是影响安卓系统的多款应用,不然工信部领导不会来站台。

3点半左右,发布会开始,悬念揭晓。

在手机上点击一个网站链接,你可以看到一个看上去正常的支付宝抢红包页面,但噩梦从你点击链接就开始——此时你的支付宝的信息全部可以在攻击者的机器上呈现,攻击者借此完全可以用你的支付宝消费。

你一无所知。

这是当前利用漏洞传递恶意代码的一种典型方式。TK称,在手机上点击恶意链接,有漏洞的应用就会被完全控制。

这是一种“应用克隆”漏洞攻击。

有意思的是,整套攻击中涉及的风险点其实都是已知的。2013年3月,黑哥在他的博客里就提到了这种风险。

TK 称,多点耦合产生了可怕漏洞,所谓多点耦合,是A点看上去没问题,B点看上去也没问题,但是A和B组合起来,就组成了一个大问题。

说白了,是一个系统的设计问题。

移动设备普遍使用了可信计算、漏洞缓解、权限隔离等安全技术,但移动技术自身的各种特点又给安全引入了更多的新变量,新产量可能耦合出新风险。

这种应用克隆漏洞就是这种类型的漏洞。

黑哥介绍,其实在2012年3月,他就已经形成了克隆攻击的思路。当时他新买了台设备,发现微博数据移到另外一台手机上,手机上会自动完成登陆的过程。发现问题后,他再次进行测试,然后将漏洞详情报给了安卓官方,但是谷歌连邮件都没回复。

黑哥一怒之下在博客上进行发布,但谷歌方面现在依然没有完全修复该漏洞。

在发布会现场,TK 发布了演示视频,实现了克隆账户和窃取用户照片的攻击效果。

目前,据腾讯方面的研究,市面上200多款安卓应用中,27款App有此漏洞。漏洞列表及影响如下,其中18个可被远程攻击,9个只能从本地攻击。2017年12月7日,腾讯将27个漏洞报告给了国家信息安全漏洞共享平台(cnvd) ,截止到2018年1月9日,有11个App进行了修复,但其中3个修复存在缺陷。

国家互联网应急中心(CNCERT)网络安全处副处长李佳介绍,支付宝、百度外卖、国美等已经就该漏洞进行反馈,截止到昨天,还未收到京东到家、虎扑等十家厂商的反馈。

蓝字查看更多精彩内容


探索篇

  暗网【上】|  暗网【下

草榴社区 程序媛以图搜图

心脏滴血 撞库攻击 | 黑客猎人

刷票 | 人肉 | 炸群 | 内鬼

恶性病毒怼天怼地怼对手


真相篇

这是一场针对高级知识分子的裸聊诈骗

打“农药”刷金币:我的队友原来是个机器人

黑客犯罪团伙"隐匿者"被扒皮,竟然是中国人

iPhone充电器可以当监听器?我到某宝试了下

当俄罗斯黑客遇到老虎机 发家致富

一个自动挖掘工具,能找到比核武器更可怕的漏洞

“老婆,开门”,隔壁老王带来的恐惧

无人机越狱? 资深女黑客一怒“打飞机”

自从安了智能门锁,家里闹妖精?

中国安全圈真实薪资曝光


人物篇


道哥:重回阿里的29个月

黑客老王:一个人的黑客史

吴石:站在0和1之间的男人

黑客衰大:45天攻入姑娘的心

黑客段子手“呆子不开口”

“特斯拉破解第一人”刘健皓

唐青昊:虚拟世界的越狱者

MOSEC:盘古团队的野心优雅

让周鸿祎“三顾茅庐” 的 黑客 MJ

美女黑客张婉桥的“爱丽丝奇遇记”

TK教主和玄武实验室的几个小故事

世界上最坚固的门轰塌后,如何再建

这个黑客在体内植入9块芯片后……

更多精彩正在整理中……


---

“喜欢就赶紧关注我们”

宅客『Letshome』

雷锋网旗下业界报道公众号。

专注先锋科技领域,讲述黑客背后的故事。

长按下图二维码并识别关注