你好,歡迎來到IOS教程網

 Ios教程網 >> IOS教程 >> 關於IOS教程 >> iOS8.2曝漏洞,微信支付、支付寶紛紛中招

iOS8.2曝漏洞,微信支付、支付寶紛紛中招

編輯:關於IOS教程

   在越獄與否的爭論中,反對方最铿锵的證據就是iOS原生系統的安全性。

  不過,ID@蒸米 的用戶昨天在烏雲平台發布了一篇漏洞報告文章,指出iOS系統無論越獄與否,都存在一個重大安全隱患。他展示了在未越獄且搭載iOS8.2系統的iPhone上用URL Scheme設計漏洞劫持微信支付(京東客戶端)和支付寶(美團客戶端)賬號密碼的視頻Demo。

iOS8.2曝漏洞,微信支付、支付寶紛紛中招

  演示視頻中“偽裝”成支付寶的“FakeAlipay”,在收到美團發來的訂單信息後,生成了一個和支付寶一樣的登陸界面,用戶在輸入帳號密碼後,FakeAlipay會把賬號密碼以及訂單信息發送到黑客的服務器上,黑客獲得這些信息後可以在自己的 iOS 設備上完成支付,並把支付成功的 URL Scheme 信息發回給FakeAlipay,FakeAlipay再把支付成功的 URL Scheme 信息轉發給美團,這樣就完成了一次被劫持的支付。

iOS8.2曝漏洞,微信支付、支付寶紛紛中招

  這是為什麼呢?

  作者介紹,在 iOS上,一個應用可以將其自身“綁定”到一個自定義URL Scheme上,該scheme用於從浏覽器或其他應用中啟動該應用。

  在iOS中,多個應用程序注冊了同一種URL Scheme的時候,iOS系統程序的優先級高於第三方開發程序。但是一種URL Scheme的注冊應用程序都屬於第三方開發,那麼它們之間就沒有優先級了。作者經過測試,證明系統判定優先級順序與Bundle ID有關(一個Bundle ID對應一個應用)。通過精心偽造Bundle ID,iOS就會調用 我們App的URL Scheme去接收相應的URL Scheme請求。

iOS8.2曝漏洞,微信支付、支付寶紛紛中招

  據悉,作者是來自香港中文大學的博士生,他聲明並該漏洞是iOS系統漏洞。至於支付寶、微信、京東客戶端,僅是為了演示,其他應用同樣可以中招。

  1. 上一頁:
  2. 下一頁:
蘋果刷機越獄教程| IOS教程問題解答| IOS技巧綜合| IOS7技巧| IOS8教程
Copyright © Ios教程網 All Rights Reserved