建站
咨詢
售后
建站咨詢
新聞中心
一個中國的安全組織Android Security Squad稱他們發(fā)現(xiàn)了第二個萬能密鑰，能夠在不破壞應(yīng)用簽名的情況下修改應(yīng)用本身。
創(chuàng)新互聯(lián)公司長期為千余家客戶提供的網(wǎng)站建設(shè)服務(wù)，團(tuán)隊(duì)從業(yè)經(jīng)驗(yàn)10年，關(guān)注不同地域、不同群體，并針對不同對象提供差異化的產(chǎn)品和服務(wù)；打造開放共贏平臺，與合作伙伴共同營造健康的互聯(lián)網(wǎng)生態(tài)環(huán)境。為高港企業(yè)提供專業(yè)的網(wǎng)站設(shè)計(jì)制作、成都網(wǎng)站設(shè)計(jì)，高港網(wǎng)站改版等技術(shù)服務(wù)。擁有十年豐富建站經(jīng)驗(yàn)和眾多成功案例,為您定制開發(fā)。
一個文件或者文檔的數(shù)字簽名的關(guān)鍵作用就是為了證明該文件或文檔沒有被修改過。這個過程使用了一個公鑰加密算法。在這個中國版本的攻擊中，惡意代碼可以添加在文件的頭部。但是由于目標(biāo)文件需要小于64K，因此這段惡意代碼的功能被限制了。
APK 文件使用了一種流行的ZIP壓縮算法進(jìn)行了壓縮。多數(shù)的壓縮行為不會把兩個文件名相同的文件放到同一個歸檔中。但是其實(shí)算法本身并沒有禁止這種可能性。所以兩個版本的classes.dex文件會被放在包裹中，一個原始的和一個被惡意修改過的。
當(dāng)檢查應(yīng)用的數(shù)字簽名的時候，安卓系統(tǒng)會匹配第一個符合特征的文件，但是當(dāng)真正執(zhí)行并啟動文件時，會使用第二個被修改過的。為了把一個應(yīng)用變得像木馬一樣，你需要做的僅僅是把你的惡意代碼改成一個在應(yīng)用中已經(jīng)存在的名字。
這個漏洞和由國外移動安全公司Bluebox Security發(fā)現(xiàn)的第一個萬能密鑰的漏洞非常相似。根據(jù)BlueBox的說法，有99%的移動設(shè)備受到該漏洞的影響。谷歌已經(jīng)修復(fù)了這個問題并提交到了安卓源碼開放項(xiàng)目中(AOSP)
你也可以使用ReKey ，一個免費(fèi)的移動應(yīng)用用來修復(fù)安卓萬能密鑰漏洞。
安卓安全小分隊(duì)技術(shù)分析：http://blog.sina.com.cn/s/blog_be6dacae0101bksm.html
網(wǎng)站標(biāo)題：中國黑客組織發(fā)現(xiàn)第二個Android萬能密鑰漏洞
文章起源：http://www.5511xx.com/article/dpshgoo.html
