Ò»¡¢·Ç·¨¿Í»§¶ËDZ·üµÄϵͳ¼¶ÈëÇÖ·çÏÕ
À¶ÄñÍÆÌØÃâ·Ñ°æ°²×°°ü³£Í¨¹ýµÚÈý·½Æ½Ì¨·Ö·¢£¬ÕâÀà·Ç¹Ù·½ÇþµÀÍùÍùºöÊÓ´úÂëÉó¼ÆÁ÷³Ì¡£Ñо¿Êý¾ÝÏÔʾ£¬76%µÄÆÆ½â°æ±¾°üÂÞȨÏÞÀÄÓôúÂ루Privilege Escalation£©£¬»áÔÚ°²×°Àú³ÌÖÐ×Ô¶¯ÉêÇëͨѶ¼¶ÁÈ¡¡¢Î»ÖÃ×·×ÙµÈÃô¸ÐȨÏÞ¡£¸üΣÏÕµÄÊÇ£¬Ä³Ð©°²×°°ü»áÔÚϵͳ¸ùĿ¼ֲÈëºóÃÅ·¨Ê½£¬ÐγÉÁ¬ÐøÐԵĿØÖÆÍ¨µÀ¡£ÕâÖÖÊý×ÖÌØÂåÒÁľÂíµÄÔË×÷·½Ê½¼«¾ßÒþ±ÎÐÔ£¬ÆÕͨÓû§×ÝȻʹÓ÷À²¡¶¾Èí¼þÒ²ÄÑÒÔ³¹µ×Çå³ý¡£
¶þ¡¢Êý¾Ýй¶Á´Â·ÉϵÄËÄ´óµ¥±¡»·½Ú
ÔÚÕ˺ŵǼ»·½Ú£¬·Ç·¨¿Í»§¶ËµÄµÇ¼ģ¿éÆÕ±éȱÉÙÄþ¾²¼Ó¹Ì£¨Secure Enclave£©£¬Óû§ÊäÈëµÄÕ˺ÅÃÜÂë»áÒÔÃ÷ÎÄÐÎʽÔÝ´æÓÚµ±µØ»º´æ¡£µ±ÔâÓöÖмäÈ˹¥»÷£¨MITM£©Ê±£¬Òªº¦Éí·ÝÐÅÏ¢½«ÃæÁÙÀ¹½Ø·çÏÕ¡£¸üÖµµÃ¾¯ÌèµÄÊÇ£¬²¿ÃÅÈí¼þ»áͨ¹ý¶¯Ì¬´úÂë¼ÓÔØ£¨DCL£©¼¼ÊõÔÚÔËÐÐʱעÈëÊý¾ÝÊÕÂÞÄ£¿é£¬Á¬ÐøÊÕ¼¯Óû§µÄ˽ÐÅÄÚÈݺÍä¯ÀÀ¼Í¼¡£ÕâЩÒþ˽Êý¾Ý×îÖÕÁ÷ÏòÄÄÀÓÐÄþ¾²ÍŶÓ×·×Ù·¢ÏÖ£¬´ó²¿Ãű»·Ç·¨µ¹ÂôÖÁ°µÍøÊý¾ÝºÚÊС£
Èý¡¢ÆÆ½âËã·¨µÄ´úÂë¸Ä¶¯¼¼Êõ½âÎö
ΪºÎ·Ç¹Ù·½°æ±¾ÄÜÈÆ¹ý¹Ù·½ÑéÖ¤»úÖÆ£¿¿ª·¢Õßͨ³£½ÓÄÉÄæÏò¹¤³Ì¶ÔAPK°²×°°ü½øÐвð½âÖØ×顣ͨ¹ý¶þ½øÖÆ´úÂë²¹¶¡£¨Binary Patching£©¼¼ÊõÐ޸Ľ¹µãÑéÖ¤º¯Êý£¬²¢ÖØÇ©Èí¼þ°üÊý×ÖÖ¤Êé¡£ÕâÖÖ´úÂë¸Ä¶¯Àú³Ì¿ÉÄÜÒýÈ뻺³åÇøÒç³ö£¨Buffer Overflow£©Â©¶´£¬³ÉΪºÚ¿ÍÔ¶³ÌÖ´ÐжñÒâ´úÂëµÄÍ»ÆÆ¿Ú¡£Äþ¾²²âÊÔÏÔʾ£¬Ä³ÈÈÃŵÄ"È¥¹ã¸æÆÆ½â°æ"¾¹°üÂÞ17´¦¸ßΣÒç³öµã£¬Æä·çÏÕÖ¸ÊýÊǹٷ½¿Í»§¶ËµÄ23±¶¡£
ËÄ¡¢Äþ¾²°²×°Ö¸ÄϵÄÎå´ó·À»¤½×ÌÝ
Ҫȷ±£À¶ÄñÍÆÌØ°²×°Àú³ÌÍòÎÞһʧ£¬Ó¦µ±×ñÑSTFÄþ¾²¿ò¼Ü£ºÔ´ÑéÖ¤£¨Source Verification£©-´«Êä¼ÓÃÜ£¨TLS/SSL£©-Êý×ÖÇ©ÃûУÑ飨Code Signing£©-ɳÏä¸ôÀ루Sandbox£©-¶¯Ì¬¼à²â£¨Runtime Monitoring£©¡£¾ßÌå²Ù×÷ʱ£¬Í¨¹ýGoogle PlayµÈ¿ÉÐÅÊг¡ÏÂÔØ¹Ù·½°²×°°ü£¬°²×°Ç°Îñ±ØºË¶ÔSHA-256УÑéÖµ¡£½¨ÒéÔÚ¶ÀÁ¢µÄÓ¦ÓÿռäÄÚÔËÐУ¬²¢¿ªÆôϵͳµÄʵʱÐÐΪ¼à¿Ø¹¦Ð§¡£¶ÔÓÚÐèÒªÌØÊâȨÏÞµÄÇëÇó£¬Ðè±£³Ö100%µÄ¾¯¾õÐÔ¡£
Îå¡¢ÁãÐÅÈÎÄ£ÐÍϵÄÁ¬ÐøÄþ¾²ÔËά
Íê³ÉÀ¶ÄñÍÆÌØµÄÄþ¾²°²×°ºó£¬Ó¦µ±½¨Éè¶à²ã·ÀÓùÌåϵ¡£µÚÒ»²ã¼¶ÊµÊ©Éè±¸Ö¸ÎÆÈÏÖ¤£¨DFP£©£¬×èÖ¹Òì³£É豸µÄµÇ¼ʵÑ飻µÚ¶þ²ã¼¶ÅäÖûỰÁîÅÆ£¨Session Token£©µÄת¶¯¸üлúÖÆ£»µÚÈý²ã¼¶ÆôÓö˵½¶Ë¼ÓÃÜ£¨E2EE£©µÄ˽ÐÅ´«ÊäͨµÀ¡£¶¨ÆÚʹÓÃXposed¿ò¼Ü½øÐÐÄþ¾²É¨Ãè£¬ÖØµã¼ì²éÊÇ·ñ´æÔÚÒþ²ØµÄJNI£¨Java Native Interface£©Ä£¿é¡£Äþ¾²ÈÕÖ¾ÏÔʾ£¬ÕâÖÖ¸´ºÏ·À»¤·½°¸¿É½«ÕË»§±»µÁ·çÏÕ½µµÍ92.7%¡£
ÔÚÕⳡÊý×ÖÄþ¾²¹¥·ÀÕ½ÖУ¬À¶ÄñÍÆÌØµÄ¸ßΣ·çÏÕÃâ·Ñ°æ°²×°ÒѳÉÎªÍøÂç·¸×ïµÄÖØÒªÍ»ÆÆ¿Ú¡£Í¨¹ýÇ¿»¯Èí¼þ¹©Ó¦Á´Äþ¾²Òâʶ£¬½ÓÄÉÊý×ÖÇ©ÃûУÑéºÍɳÏä¸ôÀë¼¼Êõ£¬Óû§¿ÉÓÐЧ¹¹Öþ·ÀÓùÆÁÕÏ¡£ÐèÒªÀμǵÄÊÇ£¬ÈκÎÈÆ¿ª¹Ù·½ÇþµÀµÄ°²×°·½Ê½¶¼¿ÉÄܳÉΪ·çÏÕ·Å´óÆ÷¡£×ñѱ¾ÎĵÄÄþ¾²°²×°¹¥ÂÔ£¬½áºÏ¶¨ÆÚµÄÄþ¾²»ùÏߺ˲飬·½ÄÜÈ·±£Éç½»ÌåÑéµÄÄþ¾²¿É¿¿¡£
Ò»¡¢¿Í»§¶ËÏÂÔØÇ°µÄÐëҪ׼±¸
ÔÚ»ñÈ¡ÍÆÌØÀ¶ÄñÖÐÎİ氲װ°üǰ£¬½¨ÒéÏȼì²éÉ豸µÄϵͳ°æ±¾¼æÈÝÐÔ¡£°²×¿Óû§ÐèÈ·ÈÏϵͳΪAndroid 9.0ÒÔÉϰ汾£¬iOSÉ豸ÔòÒªÇóÉý¼¶ÖÁiOS 14¼°ÒÔÉÏ¡£ÖµµÃ×¢ÒâµÄÊÇ£¬¹Ù·½Ó¦ÓÃÉ̵êÍùÍù²»ÌṩÖÐÎİ氲װ°ü£¬Óû§ÐèҪͨ¹ý¿ÉÐŵĵÚÈý·½Êг¡»ñÈ¡¾¹ýºº»¯µÄ°æ±¾£¬µ«Ð辯Ìè¿ÉÄÜ´æÔÚµÄÀ¦°ó²å¼þ·çÏÕ¡£ÈçºÎ·Ö±æÕý¹æÏÂÔØÇþµÀ£¿Òªº¦ÔÚÓÚ¼ì²ìÎļþÇ©ÃûÓëÏÂÔØÁ¿Êý¾Ý£¬ÍƼöʹÓÃAPKMirrorµÈÖªÃûƽ̨»ñÈ¡¾¹ýÑéÖ¤µÄ°²×°Îļþ¡£
¶þ¡¢°²×¿/iOS˫ƽ̨ÏÂÔØÖ¸ÄÏ
Õë¶Ô°²×¿Óû§£¬ÏÂÔØÍÆÌØÀ¶ÄñÖÐÎİæÊ±ÐèÍê³ÉÈý¸ö½¹µã²½Ö裺¹Ø±Õϵͳ°²×°ÑÚ»¤ÉèÖᢻñÈ¡APKÎļþÒÔ¼°Ð£ÑéÊý×ÖÇ©Ãû¡£ÒÔСÃ×ÊÖ»úΪÀý£¬ÐèÔÚ"ÉèÖÃ-Òþ˽ÑÚ»¤"ÖÐÆôÓÃ"ÌØÊâȨÏÞÉèÖÃ"ºó£¬²ÅÆø½øÐеÚÈý·½Ó¦Óð²×°¡£iOSÓû§ÔòÐèͨ¹ýTestFlight£¨Æ»¹û¹Ù·½²âÊÔÆ½Ì¨£©»ñÈ¡ÆóÒµ¼¶·Ö·¢°æ±¾£¬Õâ¸öÀú³ÌÐèÒª¶¨ÆÚ¸üпª·¢ÕßÖ¤Êé¡£ÖµµÃ×¢ÒâµÄÊÇ£¬Á½ÖÖÆ½Ì¨µÄºº»¯Ë®Æ½ÓÐËù²îÒ죬°²×¿°æ±¾µÄ¹¦Ð§½çÃæ·ÒëÍê³É¶Èͨ³£¸ßÓÚiOS°æ±¾¡£
Èý¡¢°²×°Àú³ÌÖеij£¼ûÎÊÌâ´¦Öóͷ£
°²×°Ê§°Ü±¨´íÊÇÓû§×î³£¼ûµÄ¼¼ÊõÕϰ£¬Í¨³£ÓÉÈý¸öÔÒòµ¼Ö£ºÏµÍ³È¨ÏÞδÍêÈ«¿ªÆô¡¢°²×°°üÎļþË𻵻òÉ豸Ӳ¼þ²»¼æÈÝ¡£½¨Òéÿ´ÎÏÂÔØÍê³Éºó½øÐÐMD5УÑ飬¶Ô±È¹Ù·½Ðû²¼µÄ¹þϣֵȷ±£ÎļþÍêÕûÐÔ¡£Èç¹ûÓöµ½"½âÎö°²×°°üʧ°Ü"Ìáʾ£¬¿ÉʵÑéÖØÐÂÏÂÔØ»ò¸ü»»½âѹ¹¤¾ß¡£²¿ÃŹú²úÊÖ»úÆ·ÅÆµÄ×Ô´øÄþ¾²¹Ü¼Ò»áÀ¹½Ø°²×°½ø³Ì£¬ÕâʱÐèÒªÔÚ"ÊÖ»ú¹Ü¼Ò-²¡¶¾É¨Ãè"ÖÐÁÙʱ½ûÓÃʵʱ·À»¤¹¦Ð§¡£
ËÄ¡¢Õ˺Å×¢²áÓëÄþ¾²ÉèÖÃÒªµã
Àֳɰ²×°ÖÐÎİæ¿Í»§¶Ëºó£¬Óû§½«½øÈëÒªº¦ÐÔµÄÕ˺ލÉè½×¶Î¡£½¨ÒéʹÓÃδ±»¹ØÁªµÄÓÊÏä½øÐÐ×¢²á£¬ÖÆÖ¹ÒòÊý¾Ý»¥Í¨µ¼ÖÂÕ˺ÅÒì³£¡£ÔÚÌîдÓû§ÐÅϢʱ£¬ÍƼöʹÓ÷ÇʵÃûÖÆµÄÓ¢ÎÄID´îÅäÖÐÎÄêdzƵÄ×éºÏÐÎʽ¡£Äþ¾²ÉèÖ÷½Ã棬Îñ±Ø¿ªÆôË«ÖØÑéÖ¤¹¦Ð§£¨2FA£©£¬ÍƼö½ÓÄÉÈÏÖ¤Æ÷Ó¦Ó÷¨Ê½¶ø·Ç¶ÌÐÅÑéÖ¤·½Ê½¡£ÈçºÎ·ÀÖ¹Õ˺ű»ÒâÍâ¶³½á£¿Òªº¦ÔÚÓÚ¿ØÖƳõʼ½×¶ÎµÄ²Ù×÷ƵÂÊ£¬ÖÆÖ¹ÔÚ×¢²áºóÁ¢¼´½øÐдó¹æÄ£¹Ø×¢»òµãÔÞ²Ù×÷¡£
Îå¡¢½¹µã¹¦Ð§Ä£¿éʹÓÃÏê½â
ÖÐÎİæ¿Í»§¶ËµÄÌØÉ«¹¦Ð§¼¯ÖÐÔÚÈý´óÄ£¿é£º»°Ìâ×·×Ù¡¢ÉçȺ»¥¶¯ºÍýÌåÐû²¼¡£ÔÚ#»°Ìâ±êǩҳ£¬Óû§¿É¶©ÔÄ×î¶à200¸öʵʱÈȵ㻰Ì⣬ϵͳ»áƾ¾ÝÓû§Æ«ºÃ½øÐÐÖÇÄÜÍÆËÍ¡£Ö±½ÓÏûÏ¢¹¦Ð§Ö§³Ö¼ÓÃÜÁÄÌìģʽ£¬µ«Ðè×¢ÒâË«·½±ØÐë¶¼ÊÇÈÏÖ¤Óû§²ÅÆøÆôÓøÃÑ¡Ïî¡£ÊÓÆµÐû²¼»·½ÚÍÆ¼öʹÓÃÄÚÖõļô¼¹¤¾ßµ÷Õûʱ³¤£¬¿ØÖÆÔÚ2·Ö20ÃëÄÚµÄÊÓÆµ¿É»ñµÃ¸üºÃµÄÍÆ¼öËã·¨¼Ó³É¡£ÈçºÎÌáÉýÍÆÎÄÆØ¹âÂÊ£¿½¨Òé½áºÏÈÈÃűêÇ©Ó뾫׼@ÌáÐÑ£¬ÔÚµ±µØÊ±¼äÉÏÎç10µãÖÁ12µãÖ®¼äÐû²¼ÄÚÈÝ¡£
ͨ¹ý±¾ÎÄÏêϸµÄÍÆÌØÀ¶ÄñÖÐÎÄÃâ·Ñ°æÏÂÔØ°²×°½Ì³Ì£¬Óû§¿ÉÏµÍ³ÕÆÎÕ´Ó¿Í»§¶Ë»ñÈ¡µ½½¹µã¹¦Ð§Ê¹ÓõÄÈ«Á÷³Ì²Ù×÷Òªµã¡£ÐèÒªÌØ±ð×¢ÒâµÄÊÇ£¬Ê¹ÓÃÀú³ÌÖÐÓ¦×ñÊØÆ½Ì¨ÉçÇø¹æ·¶£¬¶¨ÆÚ¸üпͻ§¶Ë°æ±¾ÒÔÈ·±£¹¦Ð§ÍêÕûÐÔ¡£½¨Ò齫Õ˺ÅÄþ¾²ÉèÖÃÖеĵǼÑéÖ¤ÖÜÆÚµ÷ÕûΪ15Ì죬²¢°ó¶¨±¸ÓÃÁªÏµ·½Ê½ÒÔÓ¦¶ÔÍ»·¢×´¿ö¡£ÕÆÎÕÕâЩ¼¼Çɺó£¬À¶É«Ð¡ÄñµÄÈ«Çò»¯Éç½»ÌåÑ齫տÕý´¥Êֿɼ°¡£