兩個(gè)移動(dòng)設(shè)備安全專家最近發(fā)現(xiàn)了一個(gè)簡(jiǎn)單的編碼漏洞，它普遍存在于蘋果iOS平臺(tái)上的應(yīng)用程序中。如果被肆意地利用，攻擊者可以借由這個(gè)漏洞將用戶應(yīng)用程序永久重定向到惡意服務(wù)器上，而不是由應(yīng)用程序開發(fā)者提供的合法服務(wù)器。

在荷蘭阿姆斯特丹舉辦的2013 RSA歐洲會(huì)議上，以色列的移動(dòng)安全廠商Skycure CEO Adi Sharabani和首席技術(shù)官兼聯(lián)合創(chuàng)始人 Yair Amit 提供了關(guān)于iOS應(yīng)用程序漏洞的詳細(xì)資料，該漏洞源于一個(gè)常用的URL緩存方法。根據(jù)Amit所說(shuō)，這個(gè)問題在iOS應(yīng)用程序中非常普遍，以致于不能采取傳統(tǒng)的路線來(lái)私下告知供應(yīng)商這個(gè)漏洞。相反，他們希望供應(yīng)商可以通過RSA歐洲會(huì)議意識(shí)到這個(gè)問題，然后迅速采取行動(dòng)，實(shí)施他們所提供的編碼來(lái)解決緩存錯(cuò)誤。

這個(gè)漏洞被稱為HTTP請(qǐng)求劫持，首先需要一個(gè)中間人攻擊場(chǎng)景，在這個(gè)場(chǎng)景中，黑客在公共設(shè)置中建立一個(gè)Wi-Fi網(wǎng)絡(luò)，然后捕捉信息，攻擊不知情的受害者。當(dāng)一個(gè)移動(dòng)應(yīng)用程序企圖從一個(gè)服務(wù)器請(qǐng)求信息時(shí)，攻擊者攔截通信，可以簡(jiǎn)單的發(fā)送一個(gè)301“永久移除”HTTP響應(yīng)狀態(tài)代碼給應(yīng)用程序，這樣攻擊者就可以更換掉供應(yīng)商的服務(wù)器，用自己的服務(wù)器作為應(yīng)用程序的通信樞紐。

Amit說(shuō)，這種編碼錯(cuò)誤在移動(dòng)應(yīng)用程序上尤為嚴(yán)重，因?yàn)樗鼈冇谰镁彺?01響應(yīng)，不管受害者是否依然連接在相同的Wi-Fi網(wǎng)絡(luò)上。Web瀏覽器在地址欄顯示被訪問的URL，而移動(dòng)應(yīng)用程序卻通常不顯示它們檢索信息的服務(wù)器，這樣受害者就沒有線索知道他們是否正在觀看合法內(nèi)容。盡管用戶可以卸載一個(gè)應(yīng)用程序，不過Amid說(shuō)攻擊者可以通過這個(gè)簡(jiǎn)單的漏洞無(wú)限期地控制一個(gè)應(yīng)用程序。

至于攻擊者為什么會(huì)選擇這種攻擊途徑，Amit舉出了敘利亞電子軍隊(duì)黑客攻擊美聯(lián)社的Twitter賬號(hào)并發(fā)出Twitter，導(dǎo)致美國(guó)股市暫時(shí)暴跌的例子。當(dāng)攻擊被發(fā)現(xiàn)的時(shí)候，市場(chǎng)顯然就開始糾正過來(lái)。但是發(fā)現(xiàn)很快的原因之一是因?yàn)檫@個(gè)特殊攻擊的賬號(hào)是美聯(lián)社的賬號(hào)，該公司幾乎是馬上意識(shí)到這個(gè)問題。Amit指出，新發(fā)現(xiàn)的漏洞可以針對(duì)華爾街特定的交易商，例如，由于貿(mào)易商的應(yīng)用程序一被攻擊就可能會(huì)看到虛假的內(nèi)容，很難被發(fā)現(xiàn)。

Amit認(rèn)為，“我們非常依賴我們的iPhone，我們依賴手機(jī)里的應(yīng)用程序并且認(rèn)為它們是可靠的。這篇文章使我們想到：早上讀新聞時(shí)，你是閱讀到了真正的新聞還是只是攻擊者發(fā)給你的虛假信息呢?”

雖然以色列的研究人員證實(shí)這個(gè)問題只是出現(xiàn)在iOS平臺(tái)上的應(yīng)用程序中，但是Amit指出在某些特定的Android應(yīng)用程序中同樣存在相似的問題。Amit說(shuō)，無(wú)論如何，還是人們對(duì)于移動(dòng)應(yīng)用程序太有信心。蘋果和谷歌已經(jīng)部署了各自的應(yīng)用程序商店，Amit認(rèn)為從安全角度來(lái)說(shuō)這個(gè)方法是有效的，只是許多用戶不重視會(huì)發(fā)生在任意應(yīng)用程序中的編碼問題。

Amit說(shuō)：“十年前，大家都認(rèn)為Web應(yīng)用程序漏洞并不緊要，但是今天，我們都知道保護(hù)Web應(yīng)用程序非常重要，利用Web應(yīng)用程序的漏洞又很簡(jiǎn)單。我預(yù)見移動(dòng)設(shè)備的應(yīng)用程序代碼會(huì)發(fā)生問題，而且趨勢(shì)已經(jīng)越來(lái)越明顯。我認(rèn)為蘋果和谷歌已經(jīng)做得很棒，但是同樣這也是必然的。編碼問題總是在發(fā)生，而且他們都有安全隱患。”