安卓上的安全性问题, 真是防不胜防

[skyworker]

起因

A 在论坛发帖:
"今早一个同事安卓手机中招被转走 4500,收到一条短信,某某某，你的孩子在校期间行为规范打分如下，一个网址链接,我同事傻乎乎的点了，然后建行工资卡被转走 4500 ，还好他工资卡就 4500,真尼玛可怕"

接下来讨论

安卓还是很安全的守护者:
"没这么牛的软件，一般事后都是要说的很玄乎，不能让人知道自己很傻的把帐号密码都填了，参见时不时的说有人被人一口迷烟然后无知觉的让做什么就做什么了的事件"

"就跟以前被骗钱了都说被催眠了 ,其实都是事后发现自己蠢 编的借口,不可能点一下就没了 肯定自己操作了什么"


真实情况如下

"
我来解释一下吧，重点是在于 Android 那个媒体解析漏洞
发链接，你点，网页中包含触发漏洞的图片， GG
当然短信验证码问题 5.0 以上不能拦截，只能读取
然后 READ_PHONE_STATE 拿电话号码，或者发短信拿号码，当然请配合上面的漏洞利用
在老系统中还能利用那个 apk 签名漏洞替换 settings.apk ，这样你的 XX 就跑在 System 权限下了哟。这个利用方式和当年 XP 在 Guest 用户下利用任务管理器取得管理员权限有异曲同工之妙
接下来，可以利用些漏洞拿 root 权限，比如那个 Linux 内核的问题，想想 Towelroot
最终 GG
"

下一步,赶紧准备把所有涉及钱的 APP 和手机卡都转移到肾机上.

[9hills]

@watermeter 求越狱工具，小米 4c 官方申请解锁一直不给过！

[wwqgtxx]

@dong3580 包括

[Dennypalace]

这新闻不错，比较有国内小编的风范，感觉啥都说了，一阵风吹过然后就钱没了，简明扼要，但具体啥情况就没说了，一个基本的事情应该是 when ， where ， what ， how 这些构成吧。

[Halry]

@fyooo 给 supersu 设个 pin 就好有什么难的

[pimin]

安全问题，从来没有绝对。
当年 iOS 访问个网址就越狱和这个 Google 这个漏洞一样容易利用。并不能说谁比谁更安全。
但是传得这么神奇，利用起来难度多高稍有点常识的人都知道得多少个巧合凑在一起才可能发生。
而如此高难度的攻击手段一般不会用在普通用户身上，因为你不值漏洞的钱，因为攻击你导致攻击手段暴露是得不偿失的，我都替黑客觉得不值。
快捷支付转钱走要有卡号和验证码，卡号泄露的渠道真是非常非常少，先考虑一下是不是手机早已沦陷。
如果要故事有说服力，第一时间我会求证手机型号 ROM 版本，然后想办法获取 exp 用来研究或者提交样本，而不是通过 YY 讲一个看似合理的故事。

[qwerasdf]

[unknownservice]

求 root 神器啊， z5p 耗电如尿崩，又不想解锁，求拯救！

[azh7138m]

@vm 那个漏洞利用起来很麻烦啊，视频中提到了原版短信应用，国内厂商对短信应用定制又那么多，而且也没看到有人发实际利用的案例出来

[dangbiao1991]

PC 端点个链接，就能弹计算器这个你们都知道吧？
Android 端为什么就不能有？

不要以为自己智商高就不会中木马。

[dangbiao1991]

哦，对， IOS 也是可以有的。

[shellexy]

@fyooo @honeycomb 连接电脑来 adb shell ​ settings put global captive_portal_server g.cn 解决网络验证问题是不需要 root 权限的，
不过，就算没 root 也应该禁止从未知源安装软件吧，另外 supersu 也可以设置为静默拒绝的，

[shellexy]

@hahiru 国产手机似乎基本都有自带应用市场（虽然质量不一定高），不需要允许未知来源

[shellexy]

@unknownservice 见咱前面那个帖子，再不行就用 adb shell 上去 settings put global captive_portal_detection_enabled 0

[shellexy]

@pimin 在那个漏洞补上后，还是有好长一段时间里有人利用企业版 app 来让受害者在 iphone 点击个链接确认就能安装上第三方恶意软件，所以就“鱼唇地点了条链接就中招了”这事来说， iphone 和 android 其实是一样的。

[shellexy]

@clino 前一阵发现有国产视频 app 会开启一个自动点击确认安装的辅助功能，目的是实现非 root 下自动安装他推广的 app （没去确定会不会顺带自动把未知来源也打开）

[clino]

@shellexy 楼主说的是点击网页链接,所以如果自动安装应该去看中标手机的浏览器

[shellexy]

@dangbiao1991 近期的 ios 版本改变了点击链接就能安装企业版 app 的做法，但是似乎还是有人利用这个来诱使受害者安装推广 app 甚至恶意 app

[shellexy]

@clino 嗯，
另外，有些受害者并不知道自己点掉按钮其实就是确定安装软件的意思，所以有时会明明自己已经安装了 app 却还一口咬定“什么都没做就”，
曾经上过 XX 新闻的 XX 手机病毒也是宣称受害者们手机收到条短信就如何，后来被证实是点击链接安装了木马。
所以咱还是相信楼主的那个人更可能是安装到了会读取短信的木马。

[stardust21]

和系统无关，安全性问题都是防不胜防的，当你觉得放一万个心的时候，应该就是最容易中招的时候

[woyaojizhu8]

@pimin 攻击普通用户，会导致攻击手段暴露？我怎么觉得就算攻击了用户也搞不清楚你是用什么手段的，因此不会暴露呢