苹果应用商店逾千款iOS应用存安全漏洞-低调大师

苹果应用商店逾千款iOS应用存安全漏洞

2017-03-07 537

　　据国外网站Ibtimes报道，知名网络安全公司FireEye日前警告称，由于一款名为“JSPatch”、可帮助开发者修改应用程序的软件上存在安全漏洞，导致苹果应用商店内1000多款使用了该框架的iOS应用处于黑客攻击危险之中。FireEye称，在苹果iOS应用商店内有1220款应用可能会受此影响。FireEye未透露这些应用的具体名称，但其已通知了这些应用的开发商。FireEye警告称，尽管JSPatch技术对于iOS开发十分有用，但如果被黑客利用，可能给用户带来巨大风险。

　　据悉，开源软件JSPatch上存在的安全漏洞，可致黑客随意访问用户设备当中的照片、麦克风和剪贴板数据以及其他涉及个人隐私的功能。

JSPatch框架

　　开源工具JSPatch最初来自中国。自2015年发布后在中国市场备受青睐，许多受欢迎和备受瞩目的中文苹果应用程序都使用了这一技术，但FireEye发现，中国之外的开发商也都使用了这一技术框架。

　　FireEye指出，JSPatch框架可以使攻击者有效规避苹果应用商店的审查程序，并使攻击者在受害设备上肆意强制执行程序，而任何反病毒工具都很难捕获该框架代码。

　　FireEye在一篇博客中称，“JSPatch对于iOS开发者来说是一个福音。正确使用它，可以迅速和有效地部署补丁和更新代码。但现实世界并非我们想象中的那样完美，我们必须假设这一技术被坏人利用、用于意想不到的用途。具体来说，如果攻击者能够篡改JavaScript文件内容，那么其就可以以成功地对苹果应用商店内的一个应用发动攻击。”

　　FireEye称，JSPatch是为数不多的几款面向iOS开发者提供低成本修复应用之一。其他类似的几款产品也存在类似潜在攻击威胁。

如何规避漏洞

　　FireEye新兴技术负责人乔什·戈德法布（Josh Goldfarb）表示，“狡猾的攻击者可能会使用该技术框架，事先编写一款合法且没有恶意的应用，然后提交苹果应用商店审核。一旦通过审核，将正式进入苹果应用商店，它就能够给设备发送非法恶意指令。”

　　至于如何规避JSPatch漏洞风险，戈德法布表示：“我的建议十分标准：只下载你需要，而且你了解、你信任的应用。谨防那些向你征求访问权限的应用。记住，仅向那些你认为必须的应用提供访问权限。”

　　其实对于iOS用户而言，这并非首次遭遇大面积应用漏洞威胁。2015年10月，安全研究公司SourceDNA发现了数百款iOS在采集用户的隐私信息，同时违反了苹果的安全和隐私指南。而这仅距恶意代码XcodeGhost对苹果应用商店发动攻击一个月后。

　　在解释这一手机漏洞时，戈德法布称：“移动设备是攻击者比较青睐的攻击目标，因为相对于笔记本电脑和台式电脑而言，它们缺乏安全防护。未来我们将会看到，针对移动环境下的恶意攻击越来越多。攻击者会将注意力向金钱聚集的地方转移，因此，我们将会看到更多针对移动设备的攻击。”

访问:苹果在线商店(中国)

微信关注我们

原文链接：https://yq.aliyun.com/articles/441141

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Android studio出现：Missing Gradle Project Information

版权声明：本文为博主原创文章，转载请标明出处。 https://blog.csdn.net/chaoyu168/article/details/60868819 在使用Android studio 生成签名包的时候，遇到这个问题： Missing Gradle Project Information. Please check if the IDE successfully synchronized its state with the Gradle Project Model 解决方案： tools > Android > Sync Project with Gradle Files

2017-03-08

2059

前面介绍LLVM的第一篇中，我们介绍过，编译器的后端基本都可以通过LLVM来解决。那么，前端我们如何处理呢？我们选择ANTLR。例子超丰富的ANTLR ANTLR是用Java写的词法和语法分析工具。它比lex/flex/yacc/bison是更现代的工具。最方便的一点是，ANTLR已经替我们写好了常用语言的语法规则，我们已经拥有了常见语言的分析器，可以在其基础上直接做我们想做的事情。网址在[https://github.com/antlr/grammars-v4/] 我们看一些例子吧。曾经火遍大江南北的谭浩强老师的《BASIC语言》还有人记得吗？DOS时代，GW-BASIC和QBasic是系统默认自带的语言，如同Unix上的cc编译器一样。 10 FOR I = 1 TO 10 STEP 1 20 PRINT I 30 NEXT I 4

2017-03-08

697

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。