多款应用受影响 腾讯发现一个可克隆几十款App的漏洞 (多款应用受影响怎么办)
1月9日，腾讯汇。
下午3点的腾讯安全有一场发布会，不到2点，主要演讲人腾讯玄武实验室负责人 TK（于旸） 已经到位，知道创宇404Team的老大黑哥(周景平)也现身了。
会前，据知道创宇一位市场部人士向雷锋网宅客频道透露，黑哥几年前发现了一个漏洞，报给了谷歌，但是谷歌没搭理他。
“是一点回音都没有吗 ？”雷锋网宅客频道问。
“是，好像是说谷歌觉得可能不是它那边的责任。”该人士说。
下午3点25分，原计划开始的发布会还没开始。
腾讯方面同时传来了信息:：腾讯玄武实验室上报了一个重大漏洞，这属于一个应用克隆的漏洞，腾讯方面还提出了漏洞利用方法。
这也透露了一个信息，这个漏洞应该是影响安卓系统的多款应用，不然工信部领导不会来站台。
3点半左右，发布会开始，悬念揭晓。
在手机上点击一个网站链接，你可以看到一个看上去正常的支付宝抢红包页面，但噩梦从你点击链接就开始——此时你的支付宝的信息全部可以在攻击者的机器上呈现，攻击者借此完全可以用你的支付宝消费。
你一无所知。
这是当前利用漏洞传递恶意代码的一种典型方式。TK称，在手机上点击恶意链接，有漏洞的应用就会被完全控制。
这是一种“应用克隆”漏洞攻击。
有意思的是，整套攻击中涉及的风险点其实都是已知的。2013年3月，黑哥在他的博客里就提到了这种风险。
TK 称，多点耦合产生了可怕漏洞，所谓多点耦合，是A点看上去没问题，B点看上去也没问题，但是A和B组合起来，就组成了一个大问题。
说白了，是一个系统的设计问题。
移动设备普遍使用了可信计算、漏洞缓解、权限隔离等安全技术，但移动技术自身的各种特点又给安全引入了更多的新变量，新产量可能耦合出新风险。
这种应用克隆漏洞就是这种类型的漏洞。目前，支付宝该漏洞已修复。
黑哥介绍，其实在2012年3月，他就已经形成了克隆攻击的思路。当时他新买了台设备，发现微博数据移到另外一台手机上，手机上会自动完成登陆的过程。发现问题后，他再次进行测试，然后将漏洞详情报给了安卓官方，但是谷歌连邮件都没回复。
黑哥一怒之下在博客上进行发布，但谷歌方面现在依然没有完全修复该漏洞。
在发布会现场，TK 发布了展示视频，实现了克隆账户和窃取用户照片的攻击效果。
目前，据腾讯方面的研究，市面上 200 多款安卓应用中，27款 App 有此漏洞。漏洞列表及影响如下,其中18个可被远程攻击，9个只能从本地攻击。2017年12月7日，腾讯将27个漏洞报告给了国家信息安全漏洞共享平台(cnvd) ，截止到2018年1月9日，有11个 App 进行了修复，但其中3个修复存在缺陷。
国家互联网应急中心（CNCERT）网络安全处副处长李佳介绍，支付宝、百度外卖、国美等已经就该漏洞进行反馈，截止到昨天，还未收到京东到家、虎扑等十家厂商的反馈。
以下为TK 和黑哥的采访记录，雷锋网略有删减和整理。
1.什么时候发现的这些漏洞？
TK：我们今天看到影响的是若干款 App ，其实整个发现是陆陆续续的一个过程，不是一次性的一个过程。最初发现就是去年年底。
2.厂商怎么修补？
TK：漏洞本身是我们发现的，我们发现后及时通报给了国家相关的主管部门，然后通过主管部门去通知应用厂商修补。
3.针对支付宝，有实际攻击案例吗？
TK：没有，至少我们没有知道的案例。虽然有可能通过这种途径发起攻击，但是我们并不知道是否有人真的有发起这种攻击。
4.普通用户可以防范吗？
黑哥：普通用户防范的问题还是比较头疼的，刚才的视频展示也只是一个场景，第一个视频中，攻击者发了一个短信，让你去点，还有一种场景是可以扫一个二维码，也是诱使你访问一个网页。其实对于一些普通用户来说，首先别人发给你的链接，少点，不太确定的二维码，不要扫一扫。最重要的一点是，关注官方的升级，包括操作系统和 App 的官方升级。
TK：如果用户今天打开你的手机，然后把这些已经修复的 App 升级到最新版，其实就已经不再受这些漏洞的影响了。
5.这里的多点耦合到底是什么意思？
TK：多点耦合不是一个漏洞，是一种思路。举一个例子，你可能想跟踪一个人，但是你跟踪这一个人，可能你只掌握他一方面的信息是比较困难的，如果你只掌握了他鞋子的品牌和尺寸，可能不能精确定位一个人。如果把一个人的各方面特征放在一起时，可以形成综合性的准确判定，但整体的判定是由一系列的细节形成的。
刚才讲的今天大家看到的展示里，最终大家看到的我们控制应用产生的效果是克隆这种方式。要用这个漏洞去实现克隆，这个漏洞本身是由多个耦合点形成的漏洞，和克隆结合起来也成了耦合整个链条中的环节，成了齿轮中的一个，最终达到了这样一整套的东西。
6.你第一次是向谷歌提交的，这意味着其实有通过官方版安卓系统修复的可能性吗？
黑哥：我们做漏洞攻防研究的首先是攻，对于个人来说，在发现攻击方式的时候更多的想到的是攻，至于这个问题到底要谁解决，最起码那个时候没有想那么多。只是说这个东西很普遍，或许在操作平台系统上面有对应的防御机制能够做这种东西。但是这种设计上的，说缺陷或者是个性也好，设计上的问题要在操作层面系统去解决的话，他们（编者注：指谷歌）也很头痛。
即使你把这个问题解决了，说不定还有其他的问题，需要不停地改架构之类。就算把安全问题解决了，会不会给用户的性能带来一些问题？例如，这两天 CPU 的漏洞。很多人还在思考，操作系统修复漏洞时会降低用户的 CPU 使用率。它会降低性能，这样很多人就会去思考，这个漏洞打的补丁到底是打还是不打？很多问题没有一个明确的答案。
安卓厂商有可能比较积极一点的是，认可这确实是一个大问题，而且是普遍存在的。有可能做得比较好一点的厂商会来一个提示，或者安卓厂商认为在不影响其他用户使用的功能和性能下，有必要修复，厂商可以做修补，但大平台考虑的问题更多，不完全是安全性的问题。
原创文章，未经授权禁止转载。详情见 转载须知 。
本文地址： /article/f2c822176c7885770850.html
老毛桃官网提供老毛桃winpe下载、u盘装系统、winpe老毛桃U盘启动盘制作工具下载、老毛桃winpe硬盘版一键制作，兼容多种机型。及老毛桃winpe的相关使用教程，简单上手。
楚歌云是一个科技行业信息分享网站，我们专注分享科技行业前沿知识和信息！
搜易贷致力于普惠金融，专注于互联网投资理财与小额贷款，搭建中国最大、用户体验最好的个人及中小企业的互联网信贷平台！
优手游最新手游下载、手机游戏攻略、资讯，排行网站，营造一个健康，绿色，免费的手机游戏下载门户网
欧美中字国产剧情,国产综合在线-丨桃子影院永久m3u8丨,韩日绝伦推理片在线观看vip欧美-韩日绝伦推理片在线观看vip欧美在线高清电影网免费为您提供最新热播高清电影、电视剧，日本动漫，热门韩剧，欧美电影，每天更新好看的电视剧，最新综艺节目，明星信息与相关电影电视剧。
苏州欧瑞蒂智能门控有限公司集生产、销售、维修：自动门机组、自动门感应器、自动门安全光线、自动门配件、自动门禁系统等产品于一体的智能化公司，拥有完整、科学的质量管理体系。苏州欧瑞蒂智能门控有限公司的诚信、实力和产品质量获得业界的认可。欢迎各界朋友莅临参观、指导和业务洽谈。
济南润诚精密机械有限公司(15550415085)专业济南机械加工,济南数控加工,机械外协加工,山东机械加工厂家等各类精密机械加工,先进的机械加工设备,加工精度高.
拨测(boce.com)是专业的一站式网络拨测与站长工具平台，提供测速、测网速、网速测试等全维度测速服务，覆盖网站测速、网站速度测试、宽带测速、IPv6测试及DNS查询、Ping检测等核心检测功能，同时支持ICP备案查询、Whois查询等实用工具，输入域名/IP即可一键检测，精准获取网络性能、解析配置、备案信息、域名详情等数据，助力站长与运维人员快速排查网络问题、优化站点运营，是高效便捷的全能型站长必备工具。
武当山北游书院位于中国湖北省十堰市武当山风景区书院名称出道家著作《庄子--知北游》其前身是武当山道教协会武术研究院随着良好的口碑书院得以逐步发展和壮大2018年学校选新址在武当七十二峰之一的聚云峰分别扩建了低学龄段、中学龄段、高学龄段三所校区对不同学龄段的学生进行分阶教学，学校整体建筑采用传统的明清建筑风格以红墙、青瓦、雕梁画栋为主要特色古朴典雅，古色古香，“德才兼备，文武双修”
三新建筑设计院有限公司（简称SIAD）【024-85617099】隶属于三新集团，拥有建筑工程设计甲级、钢结构工程设计甲级、装饰装修工程设计甲级等多项工程设计资质。
杭州庚雨仪器有限公司(www.zjjc17.net)是1L旋转蒸发器,实验室低温冷却液循环泵,小型低温冷却循环泵,-20℃低温冷却液循环器,-40℃高低温循环装置,-80℃高低温一体机,10L单层玻璃反应釜厂家,公司不仅具有国内外精湛的技术水平,更有良好的售后服务和优质的解决方案,欢迎来电洽谈
亞明系列照明400-008-1923中国照明十大品牌之一,专注于照明产品的研发、生产和销售,提供优质的照明解决方案和服务。亚明系列照明LED商业照明及LED家居照明灯具,努力成为中国特色的LED照明企业。深受大众欢迎的节能灯品牌,十大灯具品牌企业,亚明系列照明与您奔向光明。
稳定性是制约人形机器人落地的重要因素之一，如何利用强化学习，RL，与基于模型的控制，MBC，来进一步提高机器人的稳定性，已成当下业界的重要研究方向，2024年12月8日，、AI科技评论GAIRLive品牌联合石麻笔记一起举办了一场主题为，RL，Control，将机器人可靠性逼近99.9x%，的线上圆桌沙龙，圆桌主持人为石麻笔记主...。
被列入实体清单三个月后，中芯国际终于迎来转机！据集微网报道，其从供应链处获悉，中芯国际已获得部分美国设备厂商的供应许可，主要涵盖成熟工艺用半导体设备等，雷锋网了解到，摩根士丹利此前曾发布研报指出，美国设备供应商近期恢复了对中芯国际的零组件供应和现场服务，中芯国际成熟制程业务已经获得设备供应的许可，据芯通社援引业内人士说法透露，中芯国际...。
迅达云成立于2012年，也是国内云计算创业企业风起云涌之时，但CEO于浩对公司的发展方向一直有着清晰的认知，迅达云的核心成员均在云服务领域有着多年的经验积累，经过几年的成长，迅达云逐渐积累了一套，一站式服务，的全方位解决方案，在国内云服务市场中，有着自己的独特优势，在接受采访时，于浩承认，，虽然作为公有云服务企业，会比较重资产，在设备...。
本周，六家国有大行均已披露2021年一季报，不难看出去年疫情的影响正在逐步消退，营业收入和净利润增速都延续了去年下半年以来的良好态势，大行们普遍用，开局良好，来评价总结，一季报各项数据比对来看，工行的营收额与净利润额继续领跑国有大行；增速上则是邮储拔得头筹，工行和建行的不良率与去年末持平，其余4家的一季度末不良率较去年末有所下降，AI...。
发表在专业问答2024，11，516，16展示机型信息，品牌型号，当贝F7Pro系统版本，当贝OS5.0投影仪能缩小尺寸，投影仪缩小画面尺寸可以打开投影仪的设置，找到画面缩放功能后缩小画面尺寸即可，下面为投影仪缩小尺寸的详细操作步骤做具体说明，投影仪能缩小尺寸吗投影仪能缩小尺寸，具体操作方法如下，1.打开投影设置在投影仪上点击打开投影...。
[文，观察者网刘程辉]，美欧军队真正的压力来了，中方15日宣布将对锑等物项实施出口管制，引发言论关注，多家外媒留意到，锑在军事装备制造中施展着关键作用，去年中国锑开采量简直占环球半壁江山，而美国近年来不时是锑矿大买家，其军事工业对锑存在严重依赖，中方最新的管制压力，还将迫使美企放慢锑矿外乡开采的步调，在一些剖析人士看来，中方最新的出...。
申明，1.以上内容仅代表揭发者自己，不代表黑猫揭发立场，2.未经授权，本平台案例制止任何转载，违者将被清查法律责任，3.黑猫揭发处置揭发不收取任何费用，凡以黑猫揭发名义不要钱的均为混充、诈骗行为，请及时报警并与黑猫官方反应，揭发邮箱heimaotousu@vip.sina.com，4.请大家选用官方渠道处置生产纠纷，不要轻信第三方机构...。
基本步骤，1.关上车辆中控按键，松开后将你眼帘搁置在期间上，2.按下设置按键，你会看到一个小窗口上显示出以后期间，3.此时，你可以按下，时，和，分，按键来调理小窗口上的以后期间，4.最后，按下，确定，按键实现期间设置，新的期间会在主屏幕上显示进去，百万购车补贴2010年奥迪a6l老款车怎样改装，假设你是一位奥迪A6L的车主，你或者会对...。
历经千锤百炼、屡次提升，市场等候已久的金杯海狮新一代产品——金杯海狮锐驰正式面向市场，金杯海狮锐驰是华晨金杯在延续并承袭了丰田海狮技术精髓之后，全新推出的又一款精品，它在保障金杯海狮与国际轻客市场开展同步的同时，也为金杯海狮产品线拓开展拓了一个新的方向，并且为国际轻客市场带来一场新的反派，在锐驰系列产品中，锐驰领航者分内引人注目，领航...。
新款奔奔轿车是一款具有国内认可的车型，领有优质的性能，由一流的国度企业消费，深受消费者的喜欢，车身紧凑，色彩缤纷，空间宽阔，内饰奢侈，适用性强，能源十足，安保牢靠，性价比高，这些特点让它遭到消费者的青眼，1.能源性能新款奔奔领有极强的能源性能，搭载1.5L发起机，最大功率到达105马力，最大扭矩可达140牛·米，可以在短期间内到达最佳...。
联想1201i打印机驱动是联想早期的联想1+1打印机1201i型号的官方驱动软件，该驱动支持windowsxp以及更新的版本，使用该打印机的用户可以下载驱动使用。基本简介分辨率:1200*1200dpi打印速度:黑白9ppm，彩色6ppm高速打印模式下接口类型:USB1.1彩色墨盒:LC6002C黑色墨盒:LC6001C使用方法1、连接到电脑上，然后开启电源;2、直接运行下载好的驱动程序;3、按照弹出的提示进行操作即可
mysql中给数据库去重的方法有使用”SELECTDISTINCT“语句查询去重记录、使用”GROUPBY“子句进行去重、使用DISTINCT关键字与JOIN操作联合去重、使用临时表进行去重等。详细介绍：1、使用”SELECTDISTINCT“语句查询去重记录，如果想要从数据库表中选择唯一的记录，可以使用SELECTDISTINCT语句，将返回指定列中唯一不同的值等等。
重庆分类目录网站收录微博相关的优秀网站大全分类检索，为上网用户提供微博网站排行榜与您分享、收藏！
卡片专题,提供卡片的相关文章和相关资讯,在本栏目你可以看到卡片这个内容的相关各类文章很多篇,如有不足请提供给我们更多卡片的文章供大家查阅.
mysql中给数据库去重的方法有使用”SELECTDISTINCT“语句查询去重记录、使用”GROUPBY“子句进行去重、使用DISTINCT关键字与JOIN操作联合去重、使用临时表进行去重等。详细介绍：1、使用”SELECTDISTINCT“语句查询去重记录，如果想要从数据库表中选择唯一的记录，可以使用SELECTDISTINCT语句，将返回指定列中唯一不同的值等等。
作为当今最流行的分布式版本控制工具之一，Git不仅可以用来管理代码版本，还可以用来合并多个不同的代码分支，从而使开发团队更加高效地协同工作。但是，Git代码合并并不是一件简单的任务，尤其是在团队成员不同步更新代码时，常常会出现冲突和错误。因此，本文将介绍几个Git代码合并的最佳实践，以帮助开发团队更加顺利地完成代码合并任务。确认同步更新在合并代码之前，首先需
Pixelmash中文破解版是一款图片处理工具，能够快速把图片转换成为像素风格，可以很快把图片转换为以直观的像素点组成的像素图像
