Onelong

分享知识,与你一起进步......
RSS icon Home icon
  • iOS真的安全吗?

    post by onelong / 2016-4-1 22:00 Friday [工作]

    最近看了很多关于手机安全方面的文章,突然感觉到现在移动平台(iOS,Android)上面都有很多不安全的地方,很多时候大家都认为iOS比Android要安全,包括我也是这样认为的。事实上在相同的环境保护下,iOS的问题也许会更加突出。iOS app的安全源于app store的严格审核,如果在iOS和android在都不审核的环境下,iOS不见安全。首先我们应用本身是不能得知ipa是否被重新签名了,iOS系统本身对api大多都是没有权限控制的,所以只要能安装到系统的app,很多私有api是可以调用的,调用私用的api很容易导致安全和隐私的问题。我举个例子吧,钓鱼-在非越狱手机上也是可以检测某app是否正在运行,然后做一些相同的UI界面进行钓鱼。很多时候果粉对苹果的信心是百分之百的,也不会特别留心观察是否有异常就把帐号密码输入了。这里有一篇文章“在非越狱的iPhone 6 (iOS 8.1.3) 上进行钓鱼攻击 (盗取App Store密码)”,感兴趣的可以阅读。还有另外一篇说到支付宝和微信,通过iOS URL Scheme 劫持+钓鱼成功盗取账号密码密码,很多东西防不胜防。认为iOS安全,就是因为我们对它了解得太少了,信任有时候也是一种堕落的开始。这里还有一篇文章iOS URL Scheme 劫持-在未越狱的 iPhone 6上盗取支付宝和微信支付的帐号密码”,这个属于app本身设计的缺陷导致的问题。在XcodeGhost之后,大家更关注移动互联网的安全了,这也是我最近一段时间花很多精力去了解安全这个话题。像文章中劫持和钓鱼,对一半用户是防不胜防的。所以不要过分信任,在使用软件的时候,尽可能在app store上面下载正版软件,当然不是只有下载正版软件就没有问题了,没有必要用的和垃圾软件少下载, iOS URL Scheme 劫持是app本身的设计缺陷,还是可以通过苹果的审核。
    这几天一直在弄自动抢红包,
    在非越狱手机上进行App Hook,虽然我没有成功, 我没有成功是有原因的。在iPhone4上解密出来的app无法静态注入,我尝试过用自己的app进行注入,是完全可以的。网上都有自动抢红包的教程,我相信确实是可行的。通过这个尝试再次说明了,不越狱不代表安全。

    引用地址:
     

    我要评论