安卓年度漏洞:恶意代码能进入已签名应用
极客时间编辑部
讲述:杜力大小:893.37K时长:01:54
据外媒报道,谷歌在 2017 年 12 月发布的安卓安全公告中包含一个漏洞修复程序,该漏洞允许恶意攻击者绕过应用程序签名,并将恶意代码注入安卓应用程序。
这个名为 Janus 的漏洞(CVE-2017-13156)存在于安卓操作系统用于读取应用程序签名的机制中,会允许恶意应用在不影响应用签名的情况下,向安卓应用的 APK 或 DEX 格式中添加代码。
由于安卓系统的其他安全机制也是建立在签名和校验基础之上,该漏洞相当于绕过了安卓系统的整个安全机制。一旦攻击者将植入恶意代码的仿冒 App 投放到安卓商店等第三方应用市场,就能替代原有的 App 做下载、更新。
用户安装这些仿冒 App 后,不仅会泄露个人账号、密码、照片、文件等隐私信息,手机更可能被植入木马病毒,进而或导致手机被 root,甚至被远程操控。
据了解,为了提升安卓系统的安全性,谷歌发布了新的签名认证体系 V2。由于 V2 需要对 App 进行重新发布,而大量已经存在的 App APK 无法使用 V2 校验机制,所以为了保证向前兼容性,V1 的校验方式被保留了下来,这就导致了 Janus 漏洞的出现。
分析显示,安卓 5.0 到 8.0 系统以及基于 V1 签名机制的 App 都会受到 Janus 漏洞的影响,而基于 V2 签名的 App 则不受影响。
Janus 攻击唯一的不足之处在于,攻击者必须先引诱用户下载第三方应用商店中的的应用才能实现攻击。不过,据了解,已经有安全研究员将其称为“生态级别的安卓签名欺骗漏洞”,并认为这是安卓年度大漏洞。
为了修复这一漏洞,对于安卓用户,建议尽快升级到最新版安卓系统,同时尽量到官方网站更新、下载 App,短期内不要使用第三方安卓应用市场。
对于安卓开发者,建议尽快将 App APK 升级到最新的 V2 签名机制,同时应该及时校验 App APK 文件的开始字节,以确保 App 未被篡改。
公开
同步至部落
取消
完成
0/2000
荧光笔
直线
曲线
笔记
复制
AI
- 深入了解
- 翻译
- 解释
- 总结
该免费文章来自《极客视点》,如需阅读全部文章,
请先领取课程
请先领取课程
免费领取
© 版权归极客邦科技所有,未经许可不得传播售卖。 页面已增加防盗追踪,如有侵权极客邦将依法追究其法律责任。
登录 后留言
精选留言
由作者筛选后的优质留言将会公开显示,欢迎踊跃留言。
收起评论