安卓手機會遭到「盤中人」攻擊

34 人贊了文章

由於安卓手機允許使用外存儲器來存儲數據或應用程序，因此出現了一種針對安卓手機的新型攻擊方式：盤中人攻擊。

這種攻擊通常是安裝在外部存儲設備中的應用程序在啟動時沒有進行常規系統驗證。盤中人攻擊可以實施靜默安裝惡意軟體、通過合法軟體進行DoS攻擊、非法代碼注入、應用程序崩潰。

Check Point網路安全公司研究人員Slava Makkaveev在上周日的DefCon安全會議上指出，目前已經發現有一款手機應用程序被人下載並更新，或是從開發者的伺服器上獲取了數據。當該應用程序安裝在手機的外部存儲器中後，這些數據在被發送至應用程序前就已經被黑客獲取了。

存儲類型：在安卓手機中，有2種不同的存儲方式：內部存儲和外部存儲。手機內部存儲會有效劃分每個應用程序使用的存儲空間，相互之間處於獨立隔離狀態，一旦應用程序被刪除，這部分存儲空間便會被釋放出來。外部存儲空間一般都是SD卡，它沒有安卓系統內置的系統沙盒保護技術，因此安裝的應用程序使用的存儲空間是共享的。安卓的開發者指南中有明確的說明安卓系統的外部存儲空間的管理模式，如果開發者在開發軟體過程中不遵循說明文件中的指示那麼就容易導致盤中人攻擊。

盤中人攻擊流程：黑客誘使用戶安裝一款看似合法的應用程序，在安裝過程中會安裝攻擊腳本不停請求用戶使用手機外部存儲空間，一旦用戶點擊允許，黑客就可以對手機內部與外部空間的數據進行監控。之後就可以對數據進行改寫，攔截數據傳輸，導致手機應用崩潰，如果在手機應用安裝過程中注入了其他惡意代碼，還可以獲取手機其他設備的許可權，例如攝像頭、麥克風、聯繫人名單、相冊等。

Slava Makkaveev通過安裝Google Translate, Yandex Translate, Google Voice Typing, Google Text-to-Speech, Xiaomi瀏覽器等應用程序驗證了這種攻擊方式。對於Google Translate, Yandex Translate和Google Voice Typing這幾款應用程序，由於無法驗證數據的完整性導致了應用程序崩潰。

而Xiaomi瀏覽器則可以直接繞過系統驗證安裝手機應用程序。

由此可以看出安卓手機的開發人員在開發手機應用程序時需要仔細查閱安卓開發手冊上的說明文件，重視應用程序開發的安全性。