小天使与ntr 发表于 2015-7-3 17:00

央视/360黑科技，猴机看图会中毒

http://news.cntv.cn/2015/07/03/VIDE1435877102134205.shtml

谁来解释解释原理，看个图片就会中毒吗。还是央视又把安装APP之类的步骤给省略了？

四控大叔 发表于 2015-7-3 17:13

已经不知道该如何吐槽了，，，，真的

likunplus 发表于 2015-7-3 17:14

本帖最后由 likunplus 于 2015-7-3 17:24 编辑

看了下视频 似乎真有什么科技
视频里讲得很清楚 事主就只是下载一个压缩包
然后解压查看了压缩包里的jpg
而且后面还有xx安全工程师
工程师再弱智也不会把那种app恶意通过正常权限盗取信息的行为说成XX漏洞吧

之前中南大学那个XX神器 也没有XX安全工程师是说采用了一个之前从未发现的漏洞

四点 发表于 2015-7-3 17:53

本帖最后由 四点 于 2015-7-3 17:54 编辑

据有关专家介绍，漏洞原理是由于安卓应用的升级都需要重新安装程序，为了避免频繁升级给用户体验和开发都带来了不便，所以现在市面上的app大都使用插件机制来做到无缝升级和扩展功能，APP只需要引入相应的插件文件即可完成升级。但这种做法却隐藏了不为人知的安全隐患。

VulpeckerTeam的安全专家黎博解释，APP插件机制的实现方式是把相关功能编写成单独apk或jar文件，然后在程序运行时用DexClassLoader函数动态加载，进行反射调用。由于安卓应用的代码缓存机制会优先加载运行APK的缓存代码odex，因此如果针对插件的odex文件进行攻击，开发者对于插件文件所做的各种保护都将失效。

安全人员测试了市面上几款主流的app，凡是用到了这种插件机制的app，都没有对DexClassLoader的第二个参数做校验，一旦攻击者将恶意代码注入APK的缓存代码(odex)中，开发者对apk/jar做的各种保护都将失效。而且这种攻击，APK自身很难发现，即使重启或关机，只要app一运行，恶意代码就会随之运行。

Realplayer 发表于 2015-7-3 17:58

摸一下真的怀孕我

chachi 发表于 2015-7-3 17:59

当年gif病毒也就几年前的事情吧

----发送自 HUAWEI Che1-CL10,Android 4.4.4

defer 发表于 2015-7-3 18:03

先读：
http://drops.wooyun.org/papers/6910

然后再看视频，这个图片下载下来是个压缩包，实际上是用了文章中后提到的zip漏洞进行攻击，而包里那个图实际没什么用就是逗你玩。

酷乐 发表于 2015-7-3 18:31

当年PSP不就是利用记忆棒里的特殊图片进行破解吗

keiichi 发表于 2015-7-3 19:47

酷乐 发表于 2015-7-3 18:31
当年PSP不就是利用记忆棒里的特殊图片进行破解吗

刚想说这个来着……鸡蛋图

navarra 发表于 2015-7-4 12:40

现在的cpu普遍都有nx位保护，psp那种通过溢出执行特定代码的方式行不通了

----发送自 samsung SM-N9002,Android 5.0

MARK2 发表于 2015-7-4 15:34

是真的，我同事中过类似的，有人给他发了一张图。他打开后这图什么也没有但是相册里有显示，然后就有人取得了他的银行卡号并用他的银行卡通过网络交易，幸好卡上本来就没有钱。那张图还删不掉，真的是用360给删了。机型是note4

shahito 发表于 2015-7-4 16:32

你们可以看7L那个网址的评论。

soloyu 发表于 2015-7-4 16:46

又要回归iphone了

wing2610s1 发表于 2015-7-4 17:31

说了那么多，怎么避免呢？

fcbjay 发表于 2015-7-4 18:14

5.0以下系统不要用手机解压缩ZIP。。然后主流应用应该都会进行升级应对这一漏洞吧

likunplus 发表于 2015-7-4 20:41

wing2610s1 发表于 2015-7-4 17:31
说了那么多，怎么避免呢？

4.4开ART或者升级5.0
页: [1]
查看完整版本: 央视/360黑科技，猴机看图会中毒