B 站看到了一个扫描二维码以后直接被黑入手机的视频，是不是危言耸听？

[black11black]

如题，视频标题《来源不明的二维码 为何不要乱扫？》

https://www.bilibili.com/video/BV1ki4y1j7rZ

关注的其他 UP 主点赞了所以我被推送了。对于没看过视频的朋友，简单来说这里面这位白帽子做了一个操作就是手机扫了个二维码，然后手机就被提权了，被装了个恶意服务。

==============================================

我的安全知识是开发人员范畴，看到这个视频表示很怀疑。在我的知识范围内，二维码纯粹是作为字节和图片转换的渠道，也就是说神秘二维码也就是一串神秘字符串而已，就算二维码扫描调用了浏览器，浏览器底层还有安全机制，网站连不归自己管的 cookie 都拿不到，打开个网站就直接提权是不是危言耸听？

还是说我孤陋寡闻了，现在手机安全机制确实这么弱，随便扫个码就可能 GG ？

[nicevar]

@eason1874 确实是鸡同鸭讲，你对 Android 和 iOS 根本就不了解，特别是安全机制，当出现溢出类漏洞时与 Android 还是 iOS 都没有多大的区别，最简单的例子就是 iOS 早期的漏洞，一个精心构造的文件只要在浏览器一点击手机就会被控制了，根本不需要你确认什么，还有 iOS 的企业证书我不想跟你解释多了。一份礼物.apk 这种通过诱导用户主动安装运行的有什么好举例的？你见过诺基亚 s60 的蓝牙漏洞么，你知道它怎么实现的么？你在正常操作的手机的时候，突然一个误点击后面都是利用漏洞自动完成了，你在 Android 上见到了几个能做到这样的？再就是我就是某上市安全公司的。

[mxT52CRuqR6o5]

@zoharSoul
@nicevar
@iyaozhen
所以我才说何不食肉糜啊

[eason1874]

@nicevar #81 视频里的 0day 攻击跟诱导安装未知来源应用本就是两回事。

我第一个评论说的“这种漏洞本身就不多见，普通人遇到的情况就更少了。普通人遇到的更多的攻击类型是被忽悠安装了恶意 APP”，前后是转折关系。你理解错了。

然后我第一次回复你又明确说了“这个 0day 漏洞是跟安装未知来源应用没关系”，“多数安卓用户会遇到的攻击是被诱导安装未知来源应用”。你还一直混淆这两种攻击。

一两块钱一个安装的软件 APP，我个人累计收入超过十万了，现在每天新装都还超过 100 台，怎么诱导用户安装我会不懂吗？我全部都研究过，各平台的安装难度我有清晰的排名。

现在是你不懂。你说你是某上市安全公司的，我不知道你负责什么方向，但我可以确定你的工作内容不涉及传播。

[nnnToTnnn]

@nicevar
@eason1874
@swulling
@imn1
@wunonglin


还有很多人，我就不统一回答了。
环境

- andorid 6.0 相信没有比 6.0 还低的版本（官方的 google 应用）
- 未开启 root 权限
- 未开启开发者选项

流程

谈论视频中的攻击方式过程

大概攻击方式如下。

1. 扫描二维码。
2. 植入对应的 exe 程序。


前置条件。在一台全新的手机中，未植入任何木马后门的情况下。

常用的扫码方式。

1. 采用微信扫描二位码
2. 采用支付宝扫码二维码
3. 采用其他方式扫码二维码

例如本身的扫码程序中存在漏洞，可以进行栈溢出攻击。这是一种攻击方式，但是事实上图中的二维码内容并非栈溢出，所以不是这种攻击方式。


未开启开发者，所以不存在远程调试攻击。


--------------------------

看了一下内容 “http://192.168.43.224:8899”， 大概是写了一个扫码器，然后打开这个地址，静默安装软件。这个应该不算病毒，大概算自动更新？

[nicevar]

@eason1874 自己连攻击和漏洞这种基本概念搞不清楚，我再怎么说都没用，诱导安装当年最出名的就是我的第一家单位，最不要脸被人骂的狗血喷头的就是了。
懂不懂不是你说了算，你弄的这种我们十来年前就开始玩了，当时第一批去跟中关村卖手机刷机合作的就是我的同事，到后面他自己单干定制 ROM 捆绑，我提供过短时间技术支持，现在不少早期 Android 的 ROM 都是我弄出来的，但是我没从这上面挣过钱，首先是我自己过不去，再就是当时我自己开发的 APP 每个月收入也很多，没必要挣这种钱。

[eric96]

@horseInBlack "人被杀就会死" 查猪名言

[ztmqg]

@secretman 我是你爹

[ic2y]

正巧，我以前搞过类似的工作内容，先说结论：通过扫描一个二维码，手机被黑是完全可能的。

下面以安卓为例，其实 ios 也有类似的可能性。

以前在 360 实习的时候，做那种自动化检测安卓漏洞的工具。也了解到了一些 CVE 漏洞的原理。

当时见的比较多是安卓 5.x 版本的 mediaserver 服务漏洞，mediaserver 服务负责提供视频、影音的播放解析服务，还有专辑封面、mp3 标签解析等等功能。

早期的安卓的 mediaserver 服务权限很高，而且代码很烂，有很多 RCE 级别的漏洞，可以执行任意代码。

当时我测试的时候，就直接调用播放器播放特制的恶意视频，就能起到攻击效果。

在实际场景下，通过让受害者扫描二维码打开网页，或者发送彩信的方式，就足以控制受害者的手机。

即使受害者不主动播放，某些漏洞也会自动触发；因为有些漏洞是在视频格式解析、音乐的 tag 标签解析的环节等存在堆栈溢出、等等问题，通过精心构造 mp3 或者 mp4 等媒体文件，可以实现任意代码执行。

只要网页打开，就可以触发定制的恶意代码。苹果的 ios 的话，也是同理，不过 ios 不开源，相对封闭性比较高。

[ic2y]

搜索 https://www.cvedetails.com/google-search-results.php?q=mediaserver+&sa=Search 可以看到历史上 mediaserver 服务相关的 CVE 漏洞。 安卓和 IOS 都是有类似问题，但是 一般 这种 RCE 级别的漏洞利用，都是很值钱的。一般不会随便用在普通人身上，前几年的时候，看到有公司收购这种漏洞，IOS 的 RCE 漏洞，收购价 100 万美元。

[miku831]

CVE 漏洞 经常看到安卓版本更新会提到啊

[eason1874]

@nnnToTnnn #84 这种攻击方式是存在的。几年前安卓浏览器出现过提权漏洞，打开恶意网页，别安装软件，连 root 都能被获取。视频作者在评论区说了不是 adb，大概率是那类漏洞。

@nicevar #85 说你不懂装懂还不认，你说的 ROM 捆绑跟我说的诱导安装完全是两回事，在传播层面是完全不同的渠道。你要真是安全公司的，那你知识储备是相当低。诱导安装是不是恶意攻击的一部分，你稍微去问下真正搞安全的就知道了。我看你这不懂装懂的模样，怕是也拉不下来面子去问了，我给你提供几条信息你自己去找资料吧，别硬装了。

CVE-2017-17171 华为手机漏洞：攻击者通过诱导用户安装恶意的 APK，并通过特定权限预装应用发起攻击。

2019-12-23 红雨滴团队：发现多起疑似针对韩国地区 Android 用户的恶意代码攻击活动。攻击者通过将恶意安卓应用伪装成韩国常用移动应用，从而诱导受害者安装使用。

360 烽火实验室：为了诱导用户下载安装运行，勒索软件通常会伪装成各种极具诱惑力、通过不正规手段牟利的软件，例如游戏外挂、代刷、盗版应用、WIFI 密码破解、抢红包等等，这些软件拥有一定的用户群与传播途径，勒索软件正是利用了其易吸引用户、传播快的特点玩起了“假面游戏”。

腾讯安全：病毒木马伪装成银行应用、系统应用、照片等方式诱导受害者进行安装，通过隐藏图标潜伏在用户手机，激活设备管理器导致无法卸载，最后通过监控手机的银行短信验证码，实现窃取用户银行卡里的金钱。

[eason1874]

@nicevar #85 通过 0day 之类的漏洞攻击，这是技术的活。通过诱导安装未知来源应用进行攻击，这是社工的活。我研究的是后一种。

我很懂漏洞跟攻击的区别，不懂的是你，你连 ROM 捆绑都能以为是诱导安装。通过 ROM 捆绑实现攻击的那叫供应链攻击，或者叫供应链投毒，跟诱导安装甚至都不是一个类型。正因为你不懂，所以你以为我不懂。

我话说完了，你可以继续硬拗了，不过我不会回复了。不客气地说，就你这水平搞移动安全，当你的产品用户还不如裸奔。

[nnnToTnnn]

@eason1874 #91 CVE-2017-17171 和安卓本身没关系，安卓不背这个锅，这个是华为的漏洞，而且这个似乎是参数未正确校验的。 你不能拿着别人代码改了，然后说别人的代码有漏洞，这显然不对把？

[StrorageBox]

我愿意花 5000 元以上来购买这个技术，上不封顶，谁能实现请来开价，android 版本 6 以上，覆盖华为小米 ov 魅族锤子一加，这 7 个主要品牌即可。（扫码，静默安装，安装后不出现在应用列表）这三个点都满足即可。有这技术还研究个屁的热更新组件化，楼上一堆装极客的真搞笑。

[ic2y]

@StrorageBox 你说楼上装极客我就不同意了。我从事过一键 root 相关开发工作，大家在讨论问题，为什么要装呢？

这个 POC 开发起来很难，但是理解、参考不是特别难。 而且，某个特定的利用手段一旦开始广泛使用，被发现和修复的概率就会大大增加。

官方已知的问题都逐月修复了，未修复的可利用手段都是很珍贵的。另外，你的 5000 块是远远不够的。https://zerodium.com/program.html 看看这里的报价分级，最高 250 万美金，高价值目标定向使用。

[StrorageBox]

@ic2y 你只看到 5000 你看不到上不封顶？话都看不全就别闹了

[StrorageBox]

@ic2y 觉得简单容易？你做出来啊，做出来我买，250W 美金我不知道，250W 人民币我觉得值，你觉得简单这 250W 人民币你赚不赚，还是那句话，上不封顶，嘴里说着简单做不出来不是装是什么

[StrorageBox]

@ic2y 而且我又不是说所有楼上都是装极客，你可真能杠

[nicevar]

@eason1874 你死鸭子倒是挺嘴硬，谁跟你说 ROM 捆绑一定就要安装，你是不是自己当流氓诱导安装习惯了？你以为所有的软件都会固化到 rom 里去？有些 app 放到特定的文件夹让用户选择安装知道吗？还好意思说我装模作样，你玩得那些什么诱惑安装多少年前 windows 玩剩下的，还以为自己很高级，挣点黑心钱还以为自己水平了得是么？我的知识量储备再低也比你这种货色强好几倍，你看我那句话说过诱导安装不是攻击的一部分？你回去好好看我说的话，是不是没词了自己树个靶子打着好玩？你搜索了半天就放出这几条信息，好还意思让我去看？

[nicevar]

@eason1874 我个人水平再烂也比你强多了，也不影响我们公司的产品，事实就是我们的移动安全产品用户多的去了，不是你喷几下就能改变的，你举例都还引用我们公司的信息，事实就是这样。