多款应用受影响 腾讯发现一个可克隆几十款App的漏洞 (多款应用受影响怎么办)
1月9日，腾讯汇。
下午3点的腾讯安全有一场发布会，不到2点，主要演讲人腾讯玄武实验室负责人 TK（于旸） 已经到位，知道创宇404Team的老大黑哥(周景平)也现身了。
会前，据知道创宇一位市场部人士向雷锋网宅客频道透露，黑哥几年前发现了一个漏洞，报给了谷歌，但是谷歌没搭理他。
“是一点回音都没有吗 ？”雷锋网宅客频道问。
“是，好像是说谷歌觉得可能不是它那边的责任。”该人士说。
下午3点25分，原计划开始的发布会还没开始。
腾讯方面同时传来了信息:：腾讯玄武实验室上报了一个重大漏洞，这属于一个应用克隆的漏洞，腾讯方面还提出了漏洞利用方法。
这也透露了一个信息，这个漏洞应该是影响安卓系统的多款应用，不然工信部领导不会来站台。
3点半左右，发布会开始，悬念揭晓。
在手机上点击一个网站链接，你可以看到一个看上去正常的支付宝抢红包页面，但噩梦从你点击链接就开始——此时你的支付宝的信息全部可以在攻击者的机器上呈现，攻击者借此完全可以用你的支付宝消费。
你一无所知。
这是当前利用漏洞传递恶意代码的一种典型方式。TK称，在手机上点击恶意链接，有漏洞的应用就会被完全控制。
这是一种“应用克隆”漏洞攻击。
有意思的是，整套攻击中涉及的风险点其实都是已知的。2013年3月，黑哥在他的博客里就提到了这种风险。
TK 称，多点耦合产生了可怕漏洞，所谓多点耦合，是A点看上去没问题，B点看上去也没问题，但是A和B组合起来，就组成了一个大问题。
说白了，是一个系统的设计问题。
移动设备普遍使用了可信计算、漏洞缓解、权限隔离等安全技术，但移动技术自身的各种特点又给安全引入了更多的新变量，新产量可能耦合出新风险。
这种应用克隆漏洞就是这种类型的漏洞。目前，支付宝该漏洞已修复。
黑哥介绍，其实在2012年3月，他就已经形成了克隆攻击的思路。当时他新买了台设备，发现微博数据移到另外一台手机上，手机上会自动完成登陆的过程。发现问题后，他再次进行测试，然后将漏洞详情报给了安卓官方，但是谷歌连邮件都没回复。
黑哥一怒之下在博客上进行发布，但谷歌方面现在依然没有完全修复该漏洞。
在发布会现场，TK 发布了展示视频，实现了克隆账户和窃取用户照片的攻击效果。
目前，据腾讯方面的研究，市面上 200 多款安卓应用中，27款 App 有此漏洞。漏洞列表及影响如下,其中18个可被远程攻击，9个只能从本地攻击。2017年12月7日，腾讯将27个漏洞报告给了国家信息安全漏洞共享平台(cnvd) ，截止到2018年1月9日，有11个 App 进行了修复，但其中3个修复存在缺陷。
国家互联网应急中心（CNCERT）网络安全处副处长李佳介绍，支付宝、百度外卖、国美等已经就该漏洞进行反馈，截止到昨天，还未收到京东到家、虎扑等十家厂商的反馈。
以下为TK 和黑哥的采访记录，雷锋网略有删减和整理。
1.什么时候发现的这些漏洞？
TK：我们今天看到影响的是若干款 App ，其实整个发现是陆陆续续的一个过程，不是一次性的一个过程。最初发现就是去年年底。
2.厂商怎么修补？
TK：漏洞本身是我们发现的，我们发现后及时通报给了国家相关的主管部门，然后通过主管部门去通知应用厂商修补。
3.针对支付宝，有实际攻击案例吗？
TK：没有，至少我们没有知道的案例。虽然有可能通过这种途径发起攻击，但是我们并不知道是否有人真的有发起这种攻击。
4.普通用户可以防范吗？
黑哥：普通用户防范的问题还是比较头疼的，刚才的视频展示也只是一个场景，第一个视频中，攻击者发了一个短信，让你去点，还有一种场景是可以扫一个二维码，也是诱使你访问一个网页。其实对于一些普通用户来说，首先别人发给你的链接，少点，不太确定的二维码，不要扫一扫。最重要的一点是，关注官方的升级，包括操作系统和 App 的官方升级。
TK：如果用户今天打开你的手机，然后把这些已经修复的 App 升级到最新版，其实就已经不再受这些漏洞的影响了。
5.这里的多点耦合到底是什么意思？
TK：多点耦合不是一个漏洞，是一种思路。举一个例子，你可能想跟踪一个人，但是你跟踪这一个人，可能你只掌握他一方面的信息是比较困难的，如果你只掌握了他鞋子的品牌和尺寸，可能不能精确定位一个人。如果把一个人的各方面特征放在一起时，可以形成综合性的准确判定，但整体的判定是由一系列的细节形成的。
刚才讲的今天大家看到的展示里，最终大家看到的我们控制应用产生的效果是克隆这种方式。要用这个漏洞去实现克隆，这个漏洞本身是由多个耦合点形成的漏洞，和克隆结合起来也成了耦合整个链条中的环节，成了齿轮中的一个，最终达到了这样一整套的东西。
6.你第一次是向谷歌提交的，这意味着其实有通过官方版安卓系统修复的可能性吗？
黑哥：我们做漏洞攻防研究的首先是攻，对于个人来说，在发现攻击方式的时候更多的想到的是攻，至于这个问题到底要谁解决，最起码那个时候没有想那么多。只是说这个东西很普遍，或许在操作平台系统上面有对应的防御机制能够做这种东西。但是这种设计上的，说缺陷或者是个性也好，设计上的问题要在操作层面系统去解决的话，他们（编者注：指谷歌）也很头痛。
即使你把这个问题解决了，说不定还有其他的问题，需要不停地改架构之类。就算把安全问题解决了，会不会给用户的性能带来一些问题？例如，这两天 CPU 的漏洞。很多人还在思考，操作系统修复漏洞时会降低用户的 CPU 使用率。它会降低性能，这样很多人就会去思考，这个漏洞打的补丁到底是打还是不打？很多问题没有一个明确的答案。
安卓厂商有可能比较积极一点的是，认可这确实是一个大问题，而且是普遍存在的。有可能做得比较好一点的厂商会来一个提示，或者安卓厂商认为在不影响其他用户使用的功能和性能下，有必要修复，厂商可以做修补，但大平台考虑的问题更多，不完全是安全性的问题。
原创文章，未经授权禁止转载。详情见 转载须知 。
宁城牧牛酒业有限公司坐落在内蒙古赤峰市的酿酒古镇——八里罕镇，这里北接老哈河流域，南临热水小镇，承接草原之灵气，坐拥热水之功效，而契丹文化的发扬和传承使得整个小镇充满了迷人的气息和色彩。
成都佩德生物医药有限公司–官方网站
腾讯开放平台,让天下没有埋没的才能！腾讯开放平台,不寂寞的平台！
南通沙发翻新换皮18912428733,免费上门承接:南通沙发翻新换皮换布维修,餐厅椅子包布,按摩椅换皮维修,网吧椅子翻新,老板椅换皮,床头软包,宾馆KTV会所沙发塌陷加固,南通沙发翻新业务覆盖崇川区,开发区,如皋,海安,通州,如东,海门,启东
前沿下载站提供手机游戏、手机软件，其内容涵盖手机游戏,软件应用,安卓游戏,安卓软件,游戏辅助等,让任何一个用户都能轻松找到自己想要的内容，更多游戏排行榜尽在前沿下载站。
【全国】24小时道路救援公司，救援速度快，收费亲民！提供高速救援、拖车救援、吊车救援、流动补胎救援、汽车搭电救援、紧急送油救援服务……
江苏中质星特种设备检测有限公司咨询热线:139-6115-2878从事安全阀校验,电梯第三方检测,电梯检测,电梯安全评估,电梯检测合作等业务,欢迎来电咨询!
黑芝麻智能科技有限公司，全球自动驾驶计算芯片引领者。黑芝麻公司致力于打造人工智能和计算机视觉的核心算法和计算平台。专注于视觉感知技术和自主IP黑芝麻芯片设计开发，构建开放的产业生态。黑芝麻公司集结了20年以上汽车领域和芯片领域从业经验的团队，黑芝麻ADAS、黑芝麻感知系统具有独特优势，为智能社会生活提供完整的解决方案。
抖音货源网是专注于抖音小店货源的批发平台，提供丰富的微商货源，支持一件代发服务。我们汇聚了众多优质零售批发一手货源，为商家提供便捷、高效的货源采购体验。无论您是微商还是实体店主，抖音货源网都是您寻找货源的理想选择。在这里，您可以轻松找到热销、质优的货源，助力您的业务蓬勃发展。
山东九拓仪器设备有限公司
张家港市卓氏鑫辉机电设备制造有限公司主营：弯管机,切管机,液压弯管机,全自动弯管机。地处中国经济发达的长三角新兴港口城市--张家港，位于204国道、338省道之交汇处，紧靠沿江高速出口，水陆交通极为便利。
斯凯孚集团驻中国SKF轴承中国总代理,SKF官方网站提供各种SKF进口轴承。LLA轴承授权经销商，服务热线：13122588868021-69986526
小红书是一款功能很强大的可以购物还可以看其他用户使用推荐的软件，用户可以在这里自由搜索国内外的好物，分享自己的好物使用感受或者一些教程等等，那么小红书在哪联系客服，有些用户还不是很清楚，下面就跟小编一起来看看吧！...。
集中火力秀恩爱的节日又到了，可凭什么受伤害的总是单身狗啊?来不及买高能自拍杆了，这个时候只能临急抱佛脚，赶紧学几招，至少能让你在朋友圈里过上幸福七夕，低阶技能，男友，女友不露脸，只晒东西暧昧指数，两颗星不管是一箱的零食、玫瑰花，还是全新的手表球鞋戒指项链，只要美美地戴着或捧着拍上一个，写一句，谢谢亲爱的，、，么么哒，，至少20%的朋友...。
Excel就像一把天山寒铁淬炼而成的杀猪刀，本身已经很厉害，但具体有多厉害取决于用它的人，Excel最牛逼的地方在于它不是小李飞刀也不是轩辕剑——需要练个10年8年才能用，它只是一把菜刀，老百姓可以用来切菜，高手可以用来刮胡子，绝世高手拿着直接从南天门一直砍刀蓬莱东路，...。
餐饮市场的包容性较广，不仅涵盖了国内的美食项目，也汇聚了国外特色的饮食小吃，像是日韩料理就是近年来深受消费者喜爱的餐饮项目，有喜屋便是一家地地道道的日韩料理连锁品牌，下面就来看看，有喜屋加盟优势有哪些，扶持多吗，有喜屋加盟优势有哪些该品牌主打深夜食堂经营理念，将烧酒与烧鸟相结合，作为招牌组合推出，吸引了众多热爱料理美食的消费者，店内的...。
7月5日，，深圳经济特区智能网联汽车管理条例，发布，深圳踏出了中国自动驾驶立法的第一步，此次立法对高等级自动驾驶汽车上路和商业化落地有着直接推动作用，不少业内人士均认为该条例，具有里程碑式的意义，今日，为响应深圳立法条例的出台，元戎启行推出了一条实测无人驾驶的视频，在此次视频发布前，新智驾受邀对元戎启行的无人驾驶汽车进行了实地体验，...。
发表在综合交流大区2022，8，216，38四千元价位的投影仪产品不仅有着较好的配置，价格也不算太高，很多家庭都会在这个价位去选择心仪的投影仪产品，今年四千元价位的投影仪又上新的不少产品，新品和老产品之间的一决高下又能带来怎么样的惊喜呢，这篇文章就给大家分享四千元价位中最值得购买的几款投影仪，四千价位投影仪哪款好，第一名，当贝F3Ai...。
发表在其它家用投影仪品牌2021，9，2711，20夏新投影仪C30是一款百元设备，机身也非常的小巧轻便，适合小户型家庭使用，那么这款投影仪真的好用吗，下面就通过用户的真实使用评测了解这款设备，看看是否值得入手，夏新投影仪C30使用评测，1.使用了一段时间，个人感觉还可以，在画质方面，清晰度绝了，质量很好，开灯的情况下可以了看得清，头...。
教育电视台是CCTV4，CETV，4在技能理念引领下充分发挥创造力，以宏观、中观和微观表达，构建三维立体的节目矩阵，将职业技能、体育技能和健康技能渗透到生活的每一个细节之中，为每一个人的出彩人生助力，职场类节目有哪些，天津卫视的，非你莫属，重庆卫视的，我是谁，中国教育和江苏卫视合办，职来职往，中央二台，中国职场，赢在中国，江苏教育，...。
1.晚安这样回复，想你一整晚，晚安，别闹了，我知道你一整天都在想我，这可是霸道总裁式的浪漫，2.温柔回复，月光和星星我都带给你了，希望你能带着这份温柔和浪漫，进入梦乡，晚安，明天见，3.冷淡无情回复，晚安，太早了，我可是想和你聊上一整晚，4.直男直白回复，时间不早了，早点休息吧，晚安，5.暧昧调情回复，月亮都躲到云后面去了，你还不休息...。
申明，1.以上内容仅代表揭发者自己，不代表黑猫揭发立场，2.未经授权，本平台案例制止任何转载，违者将被清查法律责任，3.黑猫揭发处置揭发不收取任何费用，凡以黑猫揭发名义不要钱的均为混充、诈骗行为，请及时报警并与黑猫官网反应，揭发邮箱heimaotousu@vip.sina.com，4.请大家选用官网渠道处置生产纠纷，不要轻信第三方机构...。
纳智捷，依据查问西风裕隆纳智捷官网网站得悉，纳智捷汽车有限公司，是中国台湾地域最大的汽车企业裕隆个人与中国大陆合资成立子公司，纳智捷定位于，自主品牌，翻新科技，后发先制，引领环球，而周杰伦是这个品牌的代言人，头文字d周杰伦开的车是什么车，太平洋汽车网，头文字D周杰伦开的车是卡罗拉AE86，AE86驳回NISSAN，3系引擎和6缸四冲...。
可以收费发消息，我经常在那里发分类消息，成果还是不错的，每天可以发很多收费消息的网站有哪些，58，赶集，阿里巴巴，慧聪，118网都可以收费颁布分类168网怎样样?分类168网是一个专业且适用的分类消息网站，它为用户提供了宽泛的消息颁布和查问平台，分类168网的特点在于其消息分类的粗疏和片面，无论是屋宇租售、招聘求职、二手买卖还是生存服...。
有一些家长平时会跟孩子一起玩游戏，这些游戏普遍都是能拉近亲子关系的游戏，在玩法上都要求玩家合作或者是竞技，可以来看推荐和孩子玩什么游戏，小编会给大家分享五个游戏，这五个游戏每一个都非常益智，孩子平时可以自己进行脑力挑战，然后也可以陪伴孩子一起来寻找游戏乐趣，共同进步，共同锻炼，都是能锻炼思维的休闲游戏，1、，天天爱连线，这个游戏中集合...。
12月17日彭博社消息称，苹果正在美国加利福尼亚州的欧文，Irvine，也称尔湾，招聘无线芯片工程师，或涉及射频、蓝牙和Wi，Fi芯片，而该地也有博通和Skyworks的办事处，彭博社推测苹果是计划自研射频、蓝牙和Wi，Fi芯片，以代替博通、Skyworks和高通的相关组件，苹果发言人拒绝对招聘计划发表评论，而博通和Skyworks的...。
被誉为车圈小米、主打，成本定价，的零跑，交了一份不错的财报，营收167.5亿元，同比增长35.2%；2023年总交付量较2022年增加29.7%；全年净亏损42.2亿元，较上一年度51.1亿元的亏损收窄17.4%，从数据来看，零跑的2023年无疑是合格的，因为在经历2023年一季度的开年不利之后，零跑迅速调整了过来，2024年的车圈险...。
6月29日，HAVE2018北京高级视听展在北京昆泰饭店拉开帷幕，索尼与销售合作伙伴——广州码尼电子科技有限公司，携手为影音爱好者带来索尼家庭影院投影机2018年度重量级新品VPL，HW49和VPL，HW69，精彩效果备受好评，高性价比实力之选索尼VPL，HW69与VPL，HW49是画质出色、价格亲民的1080p家庭影院投影机新品，与...。
发表在专业问答2021，1，1517，17展示机型信息，品牌型号，爱普生tw5700、iPhone12、华为p40系统版本，nunaiOS、iOS14.3、EMUI10.2.0软件版本，乐播投屏8.4.78可以，爱普生投影机支持手机投屏，具体方法是将爱普生投影机和手机连接到同一网络；打开爱普生投影机上的乐播投屏，并记录设备名称；手机端...。
