Uygulama Klonlama SaldırısıDadonghua Güvenliği
Editörün notu: Siber uzay güvenliği, son yıllarda giderek daha fazla kamuoyunun ilgi odağı haline geldi.Çin Bilimler Akademisi'nin Sesi, sektör uzmanı "Dadong"u siber uzay güvenliğinin tüm yönlerini tanıtmak için bir "Dadong Diyalog Güvenliği" sütunu açması için özel olarak davet etti.
1. Bir "paket servis sırrı" ile başlayın
Xiaobai: Kardeşim, sabır eğitimin ve uzun süredir dikkatli eğitimin için sana teşekkür etmek için karar verdim!
Dadong: Neden uğursuz bir önseziye sahibim, ne yapacaksın?
Xiaobai: Yakışıklı kardeşimi akşam yemeğine davet etmek istiyorum kardeşim, rica ederim, tüm paket servis yazılımlarındaki tüm paket servisleri seçebilirsin, sana ısmarlarım!
Dadong: Başım dönüyor, aslında paket servis. Yemek yemeden önce sizi test edeceğim.Sence cep telefonunuzdaki bir yemek dağıtım yazılımı, diğer yemek dağıtım yazılımlarında seçim kayıtlarınızı ve sipariş kayıtlarınızı görebilir mi?
Xiaobai: Ah, görebildiğimi sanmıyorum. Telefonumda uygulama izinlerini ayarladığımı hatırlıyorum ve telefonumdaki yazılım tanıdık gelmiyor! Kardeşin özel bir yöntemi yoksa?
Dadong: Oh, Xiaobai son zamanlarda daha da gelişti ve soruları yanıtlamak çok iyi! Geleneksel masaüstü ve sunucu işletim sistemleriyle karşılaştırıldığında, Android, iOS ve Windows 10 tarafından temsil edilen modern mobil işletim sistemleri çok farklı güvenlik özelliklerine sahiptir. Örneğin, Android sisteminin erişim kontrolü, uygulamalar arasında izolasyon ile uygulama tabanlıdır.Her uygulama yalnızca kendi kaynaklarına erişebilir, ancak aynı kullanıcının diğer uygulamalarındaki kaynaklara doğrudan erişemez. Bilmiyorum, bilgisayarınızdaki sistem güvenlik açığı yamalarının cep telefonunuzdakinden daha sık güncellendiğini düşünüyor musunuz?
Mobil cihazlarda çeşitli uygulamalar
Xiaobai: Evet, kardeşimi dinledikten sonra gerçekten böyle hissediyorum ama kardeşimin hiçbir yazılım veya sistemin boşluklardan arınmış olamayacağını söylediğini biliyorum!
Brother Dong: Geleneksel yazılımla karşılaştırıldığında, modern mobil işletim sistemleri, saldırganların uygulama düzeyinde izin yalıtımı yoluyla kod yürütme hakları elde etmesinin faydalarını en aza indirir ve mobil uygulamaların kendi kodlarını yeniden yazma hakkının olmamasının sınırlandırılması, uzun -dönem kontrolü. zorluk.
Bu nedenle, modern mobil işletim sistemlerine geleneksel işletim sistemlerinin saldırı ve savunma modundan bakarsanız, hala birçok güvenlik açığı olmasına rağmen, güvenlik açıkları aracılığıyla anlamlı saldırı hedeflerine ulaşmanın zor olduğunu göreceksiniz.
Xiaobai: Saldırmak kolay olmadığı için cep telefonu üreticileri boşlukları düzeltmek için acele etmiyor mu?
Dadong: Evet! Ancak bugün bahsettiğim ağ saldırısı, "uygulama klonlama saldırısı" olarak adlandırılan bu zor mobil uygulama saldırısına yöneliktir.
Xiaobai: Vay, vay, gel ve söyle bana, dört gözle bekliyorum!
2. Mobil uygulamalarda tehlikeli "klonlar"
Xiaobai: Kardeş Dong, konu klonlamaya gelince aklıma bir koyun geliyor baabaa~
Dadong: Pekala, bahsettiğin koyuna "Dolly" dendiğini de biliyorum.
klonlanmış koyun Dolly
Xiaobai: Kardeşim, bak ne kadar zımni bir anlayışa sahibiz!
Dadong: (Sessizce, bunun çok zımni olduğunu kabul etmek istemiyorum), az önce mobil uygulamalar arasındaki karşılıklı izolasyonun birçok geleneksel saldırıyı gerçekleştirmeyi zorlaştırdığından bahsetmiştim. Uygulamalar arasındaki ilişkiyi dikkatlice düşündünüz mü? Bu mu? İnternette gezinirken yaygın olarak kullandığımız tarayıcı sayfaları arasındaki izolasyona benzer bir izolasyon?
Xiaobai: Ah, kardeşim, web sayfasındaki posta kutuma giriş yaptığımı ve bu web sitesinin Google web sayfasındaki arama verilerimin hiçbirine erişemediğini mi söylüyorsun?
Dadong: Bingo! Web ön uç saldırı teknolojisinde, etki alanları arası güvenlik açıkları aracılığıyla çerezleri çalarak kullanıcı hesaplarına erişmenin birçok yolu vardır. Oturum açtıktan sonra mobil uygulama, bir dizi kimlik doğrulama bilgisi aracılığıyla buluttaki kullanıcı verilerine de erişecektir. Bu kimlik doğrulama bilgileri kümesi, bir erişim belirteci ve kimlik doğrulamaya yardımcı olmak için kullanılan birkaç başka veri içerebilir. Veriler, şifrelenmiş olabilecek farklı dosyalarda saklanabilir.
Xiaobai: Bu kadar çok veri korumasıyla, yine de saldırıya uğrayacak!
Dadong: Boşlukların gücünü hafife almayın! "Klon" oynamak üzere. Bu kimlik doğrulama bilgileri, bir mobil uygulamanın kod yürütmesi bir güvenlik açığı aracılığıyla elde edildiğinde her zaman elde edilebilir. Bu kimlik doğrulama bilgilerini başka bir cihazdaki aynı mobil uygulamaya yazarak, mobil uygulama sanki bir ikiz klonlanmış gibi saldırıya uğrayan kullanıcı olarak kullanılabilir.
Uygulama klonu
Xiaobai: Ancak birçok yazılım cihaz değiştirip giriş yaptığında, önceki giriş cihazı çevrimdışı olmaya zorlanacak mı? O zaman nasıl klonlanır.
Dadong: Gerçekten, güvenliğe daha duyarlı olan uygulamalar için koruma yöntemlerinden bahsediyorsunuz. Ancak mobil uygulamaların bu sınırlaması genellikle yalnızca oturum açma aşamasında kontrol edilir. Hemen hemen tüm mobil uygulamaların, yukarıda bahsedilen kimlik doğrulama bilgilerini doğrudan klonlama saldırı yöntemine karşı bir savunma stratejisi yoktur.
3. Büyük Tanrı Ne Diyor?
Xiaobai: "Uygulama klonlama" ne zaman oldu? Kardeşim, gel biraz daha kuru mal getir!
Dadong: Bir mobil uygulama klonlama saldırısı gerçekleştirmek için kod yürütme haklarını elde etmek bile gerekli değildir. Çoğu durumda, bazı dosya okuma güvenlik açıklarından yararlanmak, mobil uygulamalar için kimlik doğrulama bilgilerini elde etmek için yeterlidir. Genel olarak, tarayıcılar yerel dosyalara aynı etki alanı gibi davranır. Yani, sisteminizde bir web sayfası dosyası varsa, dosyayı bir tarayıcı ile açın, içindeki JavaScript betiği diğer yerel dosyaları okuyabilir ve ağ üzerinden gönderebilir. Çeşitli tarayıcılar bu güvenlik riskinin uzun zaman önce farkındaydı ve çoğunlukla buna göre davrandılar.
Xiaobai: Bununla uğraştıktan sonra rahatladım.
Dadong: Henüz bitirmedim. Uygulamayı cep telefonunuzda kullanırken, bazen bazı web sayfalarına atlamanız gerekiyor mu? Tehlike şu anda size geliyor~
Xiaobai: Beni korkutma!
Dadong: WebView, sistem tarafından mobil uygulamalara sağlanan bir tarayıcı bileşenidir. Arayarak, mobil uygulamanın kendisi web içeriğine erişebilir. Yani WebView ile gömülü birçok mobil uygulama var. Ancak, WebView yerel web sayfası dosyalarına eriştiğinde, varsayılan olarak herhangi bir güvenlik kısıtlaması yoktur, bu nedenle WebView kötü amaçlı bir yerel web sayfası dosyasını açtığında, dosya dosyayı mobil uygulamada okuyabilir ve gönderebilir. Yani, mobil uygulama klonlama saldırılarını etkinleştirmek için kimlik doğrulama bilgilerini çalmak mümkündür. Tencent Security Xuanwu Lab'in analizine göre, yerel Android uygulamalarının %10'undan fazlası WebView aracılığıyla yerel dosyaları okuyabiliyor olabilir.
Xiaobai: Ben iyi bir bebeğim ve okuduğum web sayfalarının hepsi bilgi öğrenebilen web sayfaları! "Kötü niyetli" bir web sayfasına göz atmazsanız klonlanmaktan korkmayın!
Dadong: Bu harika.Sırada, bilmeden "kötü amaçlı" bir web sayfasına nasıl eriştiğinizi anlatacağım. Birçok mobil uygulama, URL Şemasındaki URL parametrelerini alabilir ve bunları Web Görünümüne iletebilir. URL Şeması, aynı kaynak ilkesi tarafından kısıtlanmamıştır. Bu şekilde, yerel web sayfası dosyasına işaret eden URL'yi bir URL Şemasına ve ardından URL Şemasını normal bir URL'ye dönüştürebiliriz. Sıradan URL'ler, kullanıcılara metin mesajları, e-postalar vb. dahil hemen hemen her şekilde gönderilebilir ve herhangi bir uygulamada açılabilir.
Xiaobai: Zayıf bir soru, URL nedir?
Dadong: URL, web sayfası adresinin anlamıdır~URL olarak kısaltılır~
Web sayfası URL'si nasıl görüntülenir?
Xiaobai: Biliyorum~
Xiaobai: Kardeşim, kendi başına yesen iyi olur~ Telefonumda güncellenmiş bir sistem olup olmadığını ve yeni bir yama olup olmadığını kontrol edeceğim~
Dadong: Uygulamaları da yükseltmeyi unutmayın~
Xiaobai: Bunu çoktan düşündüm, "Xiaobaibai" benim klonumun adı~
