某国产电商 APP 利用 Android 漏洞细节曝光：内嵌提权代码、动态下发 Dex-低调大师

某国产电商 APP 利用 Android 漏洞细节曝光：内嵌提权代码、动态下发 Dex

2023-03-09 395

近日，独立安全研究机构 DarkNavy 发表文章披露，国内一家互联网巨头的 APP 利用了 Android 系统漏洞提权使其难以卸载。报道称，该 APP 首先利用了多个厂商 OEM 代码中的反序列化漏洞提权，提权控制手机系统之后，该 App 即开启了一系列的违规操作，绕过隐私合规监管，大肆收集用户的隐私信息（包括社交媒体账户资料、位置信息、Wi-Fi 信息、基站信息甚至路由器信息等）。

之后，该 App 利用手机厂商 OEM 代码中导出的 root-path FileContentProvider，进行 System App 和敏感系统应用文件读写；进而突破沙箱机制、绕开权限系统改写系统关键配置文件为自身保活，修改用户桌面(Launcher)配置隐藏自身或欺骗用户实现防卸载；随后，还进一步通过覆盖动态代码文件的方式劫持其他应用注入后门执行代码，进行更加隐蔽的长期驻留；甚至还实现了和间谍软件一样的遥控机制，通过远端“云控开关”控制非法行为的启动与暂停，来躲避检测。

最终，该互联网厂商通过上述一系列隐蔽的黑客技术手段，在其合法 App 的背后，达到了：

隐蔽安装，提升装机量
伪造提升 DAU/MAU
用户无法卸载
攻击竞争对手 App
窃取用户隐私数据
逃避隐私合规监管

等各种涉嫌违规违法目的。

经网友讨论，该 APP 有一个典型的特性就是安装后在桌面上创建快捷方式，用户实际上卸载或删除的只是快捷方式，并非其本体，无法卸载的同时，该 APP 利用技术手段伪造提升 DAU/MAU，攻击竞争对手的 APP。

下图是网友在论坛发布的帖子，他表示自己亲人的安卓手机无法卸载该电商APP：

前日，有人在 GitHub 上公布了完整的漏洞提权方法，以及实现细节。据称该 APP 的 APK 内嵌多个用于提权的漏洞利用代码，以及动态下发 Dex 分析。

详情查看：https://github.com/davinci1010/pinduoduo_backdoor

微信关注我们

原文链接：https://www.oschina.net/news/231879

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

字节跳动发布 Cloud Firmware 2.0，实现产品化 coreboot 固件解决方案

3月7日，由字节跳动主办，英特尔、OCP-OSF(Open System Firmware)、OSFF(Open System Firmware Foundation) 社区联合举办的“云固件交流沙龙”在北京召开。会上，字节跳动正式发布了新一代云固件 Cloud Firmware 2.0，这是首次在 X86 服务器中产品化 coreboot 的固件解决方案。固件是各种电子设备的基础模块。小到智能手表，大到数据中心服务器，开机时首先都会运行固件，用来初始化硬件、启动操作系统。 Cloud Firmware 2.0 全面拥抱引入 Linux 生态的 coreboot，并搭载第四代英特尔至强可扩展处理器 Sapphire Rapids，具有开放、灵活、轻量的特点。相比传统的 UEFI 固件方案， Cloud Firmware 2.0 具备以下优势：一、代码效率高：coreboot、LinuxBoot 社区活跃度高，代码开源，更易于信息共享、资源共享，能够提升开发速度、更快地发现问题并解决问题；二、时效更快：Silicon 代码迭代导入更快，从 Cloud Firmware 2.0 产...

2023-03-09

368

Ending 定律：一切可编译为 WebAssembly 的，终将被编译为 WebAssembly（Any application that can be compiled to WebAssembly, will be compiled to WebAssembly eventually）。 PART. 0 前言 WebAssembly 作为一种新兴的网页虚拟机标准，它的设计目标包括：高可移植性、高安全性、高效率。 2018 年 WebAssembly 第一个规范草案诞生，2019 年成为 W3C 第四个标准语言。到了 2022 年底可以说我们已经进入了 Wasm 原生时代…… PART. 1 Ending 定律和 Wasm 原生 1、什么是 Ending 定律 Ending’s law: “Any application that can be compiled to WebAssembly, will be compiled to WebAssembly eventually.” Ending 定律：“一切可编译为 WebAssembly 的，终将被编译为 WebAssembly...

2023-03-07

421

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。