XcodeGhost：网易云音乐、中信银行动卡空间、12306、滴滴打车、中国联通客户端

[paicha]

https://twitter.com/fannheyward/status/644747940020424704

@orvice
https://twitter.com/tualatrix/status/644766088815767553
https://twitter.com/tualatrix/status/644757016582340609

高德地图、简书、豌豆荚的开眼、网易公开课、下厨房

@wbolor
豆瓣阅读

@iwege
CamScanner 中文 应该是 扫描全能王。

@知道创宇 分析发现
「微信之前的某个版本也这样」

自称病毒作者

https://github.com/XcodeGhostSource/XcodeGhost

[hjxx]

哔了狗了

[pi1ot]

有一种狂欢的感觉

[breeswish]

补充：还有中国联通客户端

[paicha]

@breeswish 看标题……

[wbolor]

豆瓣阅读。。。

[ynyounuo]

高德地图

[batilo]

卧槽

[getrix]

还好一个都没有。。。

[breeswish]

@paicha sorry ，边写代码边回复写错了 :-) 想写的是高德地图。楼下已有人补充 :-)

[paicha]

@breeswish 😂几乎全中

[breeswish]

@paicha 😂……

[haogefeifei]

12306 ！

[haogefeifei]

还好 12306 没要什么权限。。

[burning]

@tualatrix 继续补几个自己测试出来的名单： 1 、中国联通的手机营业厅； 2 、高德地图； 3 、简书； 4 、豌豆荚的开眼； 5 、网易公开课； 6 、下厨房…

[rming]

几乎全中😂

[orvice]

https://twitter.com/tualatrix/status/644766088815767553
https://twitter.com/tualatrix/status/644757016582340609

补充 2 个连接

[tracyone]

中大招

[camillo]

简直就像狂欢一样……

[chengzhoukun]

有没有人查查看国内下载渠道的 Android SDK 和 Android Studio 有没有问题

[wangyifei6817]

还好我坚持官方渠道..尼玛..

[noir]

那么 我要不要把这些 APP 删掉？

[paicha]

@noir 该泄漏的已经泄漏了…上传地址也停止解析了。

[noir]

@paicha 太口怕了！都会泄露些什么？我中信银行客户端输入密码也会被传走吗？我刚昨天输了 我了个去！

[jiongxiaobu]

@breeswish bw!

[paicha]

@jiongxiaobu 只是 iPhone 和 app 的基本信息。

[est]

第三轮测试结果如下： 6 、下厨房； 7 、 51 卡保险箱； 8 、同花顺； 9 、中信银行动卡空间

[philomuzzi]

几乎全中。

[wogong]

Haha ，大部分都有了，真是无语，从官方下这么困难么

[v2what]

还好我都是官网下载，更不会用迅雷下载正经软件。

[sb]

“啊 你妈炸了” 这就是我的感想。。。。

[hloong]

AppStore 下载 XCode 也要不了多长时间吧！

[Tink]

目前只是搜集 app 和设备的信息

[trepwq]

我觉得苹果该做点什么了

[lsmgeb89]

下载后都不校验一下的嘛，都这么懒。

[Phariel]

作为 android 用户我可以偷偷笑一下么
(≧∇≦)

[boro]

iOS 内置的地图是高德会有影响么

[paicha]

@boro 不会

[yylzcom]

@Phariel 安卓用户都是光明正大地获取这些基本信息的，同作为安卓用户我笑不出来

[yylzcom]

@yylzcom 第一个 安卓用户-->安卓应用

[blacktulip]

@Phariel 乃们安卓这些是常态，不叫中招

[revlis7]

Apple 赚了这么多钱，怎么就从来没想过改善下网络环境呢， OSX 网络恢复慢成狗一样，又逼着人家用第三方的 XCODE ，自己的官网都是卡卡的，费了那么多钱做的主页宣传视频也不知道国内有多少人能够流畅的从头看到尾过……

[holong2000]

@revlis7 再慢能有多慢？两个小时够不够？下载后校验一下不行吗？

就别再找你有了。用过 windows 的都知道这些基本常识，苹果开发者的安全意识如此之差！

[wethen]

其实我最好奇的是：
这里好多人把锅扔给病毒开发者、网易、墙等等，他们确实有错，难道苹果就一点错都没有?
App Store 的审核不是号称严谨么，难道只审核内容，对 App 的安全性完全没有要求？

[revlis7]

@holong2000 我给谁找理由了？我哪里说开发者就没有问题了？类似的事故往往都是多方面作用的结果，在讨论某个节点的问题时，不能就事论事吗？

[holong2000]

@wethen 你自己的 app 有漏洞，叫苹果来擦屁股？

[holong2000]

@revlis7 这问题唯一的原因就是苹果开发安全意识太差。不用找其他原因

[iwege]

增加一个
CamScanner 中文 应该是 扫描全能王。

[wezzard]

@iwege 那 CamCard 應該也中招了，就是老羅在堅果發佈會上推的全能名片掃描王

[cxl008]

12306 也中了。。。唉

[shippo7]

@wethen App Store 只审核编译后的文件，不看源代码，只要使用的 API 不违法规定， App 做什么都管不了

[Smilecc]

微信

[yy77]

报告苹果让这些 app 全部下架！

[imn1]

莫非是有人想借用人民的力量 D 掉那个服务器， 23333

[laoyur]

@holong2000 “这问题唯一的原因就是苹果开发安全意识太差。不用找其他原因”

说的好正义凛然的样子，说的好像国内其他行业的开发者的安全意识都很强一样
安全意识差是一方面的原因，谁都无法否认，可到了您口中，就成了“唯一原因”了

不是每个开发者的网络环境都那么好的，而且，这里还是拥有大墙的兲朝。如果我没记错， Xcode 在自动更新过程中是不能使用的，而苦逼的程序员到了公司后，能有那么大段的时间来浪费等待 Xcode 更新完？更有甚者，有些情况下，特么的 MAS 的软件就是不能断点续传！一旦出错立马回滚到 0 ！
如果此时有个同事说，我这有个新版的 Xcode.dmg ，我看 80%以上的开发者会欣然接受吧

我不是在为自己的错误找托词，我们的确安全意识差，但也请客观地分析一下实际情况，万事都别说得那么绝对。

[billlee]

搞不明白，这些软件，要发布的版本都在开发机上编译的吗？难道没有专用的编译服务器

[holong2000]

@laoyur 没错，我认为这就是唯一的重要原因，其它全部都是次要的，这是苹果开发者和用户长期漠视安全性的结果。 xcode 并不是下载不了，只是下载慢而已，而且即使你下载的第三方源，较难一下也很容易。这样了，你还能怪谁？

因为中招的人足够多，足够大牌，就能怪的别人头上？

[rainy3636]

估计被偷得内裤都没了

[fengxing]

@wangyifei6817 这就是官方渠道下载的 app 中招的....

[chmlai]

微信之前的版本都中招了

[Luzifer]

曹操！

[Sleebi]

中一个其实就够了

[beimenjun]

@chmlai 6.2.3 没有问题，最新的 6.2.6 也没有问题，我觉得微信这个是个谣传。

[sixgod]

@noir 不放心的话，先更改密码，暂停使用手机吧

[chmlai]

@beimenjun 6.2.5 微信自己发公告了

[gamingcat1234]

@holong2000
这次事件苹果有不可推卸的责任。审核责任先不说，官方开发者站点在国内那个下载速度，想要 2 个小时下完 xcode ？别开玩笑了，我有一次下载 command line tools 一整天都没能成功。网络状况分好坏，坏的时候整个 xcode 要两个礼拜下完还差不多。

[venmos]

Xcode 官方 Store 下载从来都是跑满速，什么叫下不下来？

[cattail]

闭关锁国万岁

[crystone]

@venmos 你满速不是每个人都能满速

[wdlth]

几个 CDN 我都是用 dnsmasq 强行指定节点

[Laforet]

@shippo7

关键还是审核时间太短，这种问题不做浸泡测试很难发现。

[bonfirenosedoyou]

@haogefeifei 如果能拿到你的以及你保存的乘车人，已经不需要权限了吧

[PhanKiap]

https://github.com/XcodeGhostSource/XcodeGhost

[qiuai]

列表里出现了"微信"..........

[zhujinliang]

@wdlth 求 CDN 强行指定节点 教程，需要优化哪些域名，如何获取可用 IP ？谢谢

[xuc]

微信 6.2.5

[LINAICAI]

今天刚更新 xcode7 ，只用了几十分钟，我家里 12M 独享带宽，我想知道网易到底有多穷啊，上传 app 的负责人吧，居然还用网盘下载的 xcode ，这尿性多让人笑翻～不吐不快啊

[wdlth]

@zhujinliang
我是加了.edgesuite.net ，尽量选取直连或者直接选港澳台的节点。
重要的几个.edgekey.net （比如微软、 Apple 、 IBM 、 Intel 、 EA 那些壕公司的 https 域名）
Steam 的数个 CDN 域名（ HighWinds 、 Footprint 等， G 胖的预算……）
edge cast cdn 这类被污染的 CDN 域名
还有 Fastly 、 Amazon 等 CDN 受到照顾的部分域名解析结果

获取 IP 的话就是用 DNS 去查询，或者用各种在线多地 Ping 、 DNS 测试工具，甚至是扫描 ASN 下的所有 IP 。

现在上个网搞得像谍战一样……

[kqz901002]

@revlis7 苹果说，怪我咯，天朝网络环境就是这么坑爹

[mockee]

豆瓣阅读 iOS App 2.1.1 昨天已修复上架
https://itunes.apple.com/cn/app/id560068813?mt=8