当前位置: 首页>>悠悠 >>操作系统缺陷导致Android广泛开放应用程序黑客攻击

操作系统缺陷导致Android广泛开放应用程序黑客攻击

添加时间:    

Android的GUI框架中的缺陷让大学研究人员破解成功率高达92%的应用程序。

他们测试了Gmail,H&R Block,Newegg,WebMD,Chase Bank,Hotels.com和Amazon等应用程序。

加州大学里弗赛德分校助理教授钱志云研究员告诉LinuxInsider:“共享内存方面的变化让攻击者能够推断出前台是否存在活动转换。

“这是现代操作系统的设计选择......同样的攻击可能也适用于其他移动操作系统,”他补充说。

当显示一个新的屏幕或窗口时,GUI框架在共享内存寄存器中分配固定数量的内存,与屏幕大小成比例。该内存在应用程序进程内分配,并与单独的窗口合成器进程共享。

窗口管理器通常采用共享内存来接收正在运行的应用程序的窗口更改或更新。这引起了旁道。

当用户下载恶意应用程序时,共享内存让攻击者窃取登录凭据等信息,并获取敏感的相机图像,例如通过银行应用程序发送的个人支票照片。 通过提供目标UI状态,可以增强现有攻击的隐身性和有效性;此外,用户行为可以通过跟踪UI状态变化来推断。研究人员首先基于在线构建的UI状态签名构建了一个UI状态机。

实时,他们推断UI状态 - 在Android中称为“活动” - 从一个无特权的后台应用程序。

然后,他们利用设计的功能,允许UI抢占(通常由Android上的闹钟或提醒应用程序使用)破坏GUI完整性。 IDC的项目总监Al Hilwa告诉LinuxInsider:“这类似于其他众所周知的缺陷,如特洛伊木马方法的组合。

Trojan Horses在错误信息输出前用诱饵UI捕获用户数据,一旦数据被盗,真正的应用程序就会被唤醒。然而,在研究人员的攻击中,“真正的应用程序被使用,但另一个应用程序正在捕获数据,然后抛出一个错误信息,”Hilwa说。

调查结果支付了下载的应用程序不能互相干扰的常见概念。

研究人员为Gmail和H&R Block应用程序的攻击达到了92%的成功率; Newegg的应用程序为86%; WebMD应用程序占85%;而大通银行和Hotels.com的应用程序则为83%。

亚马逊应用程序的成功率最低,达到了48%,因为它允许一个活动转换到几乎任何其他活动,使得跟踪变得困难。

Newegg North America首席技术官兼首席运营官James Wu告诉LinuxInsider:“我们将首先关闭Android上的漏洞,其次是iOS。他预计这些修复工作将在下周完成。公司发言人Gene King表示:“目前,没有任何迹象表明H&R Block客户端数据已经因此漏洞而受到影响。他告诉LinuxInsider:“H&R Block非常重视隐私和安全,我们正在与相关方面联系以解决这些报告。” UCR的钱说,研究人员还没有通知谷歌的缺陷。

为了解决这个漏洞,Newegg的Wu说:“每个人都有责任 - 操作系统的制造商,应用程序开发商和手机用户。

研究人员“在指出和教育每个人有关可能的漏洞方面做得很好,”他继续说。 “现在要由我们所有人来做点什么了。” Qian建议,操作系统供应商可以消除共享内存方面的渠道,尽管这可能会影响向后兼容性。或者他们可以重新设计GUI框架以避免频繁分配和释放内存,而是预先分配内存大小的两倍。这种做法会增加记忆 消费,虽然。钱其琛承认,“并不总是完美的解决办法”,并强调各自的处罚。

理查德·阿迪卡里(Richard Adhikari)自20世纪90年代以来就撰写了关于主要行业出版物的高科技知识,将RFID芯片植入人体是兽的印记?纳米技术能否解决我们即将到来的粮食危机?鲟鱼的法律是否仍然成立?您可以在Google+上与Richard联系。

随机推荐

网站导航 福利地图