工具| XcodeGhost 5分钟快速自查

24/09/2015 10:30:32业界动态已关闭评论7,2642字数 2103阅读7分0秒阅读模式

距离XcodeGhost导致的严重安全问题被发现还不到一个星期，据观察，中招的App不管官方承没承认被感染，大部分都已最快速度更新了版本，但是，问题真的完结了吗？

整个XcodeGhost事件，互联网圈一直争论不休，从最早的“到底谁中招”慢慢演变成“中招后到底有什么影响”，关于直接的安全问题很多大牛意见纷纷，有的极大低估这次事件威胁，当然也有尽力描述事情严重性的，例如腾讯与公众号“歪理邪说”的霍炬。在腾讯的分析里面，说到OpenUrl可以弹出一个带有固定电话号码的弹窗，上面有“拨打”和“取消”，这看似没有公害的漏洞其实暗藏危机，而“歪理邪说”的霍炬的更是从“墙”、信任和欺骗的角度描写此次事件，看完以后我只想用他的一句话表达我的心情：“千万不要低估安全问题能造成的后果，尤其是在中国特殊的网络环境下”。文章源自运维生存时间-https://www.ttlsa.com/news/xcodeghost-five-minutes/

事实上，形势确实依然严峻，就在今日凌晨3点，第一个发布XcodeGhost事件的“乌云网”再次发布了相关文章，文章标题就叫“你以为服务器关了这事就结束了？”。凌晨3点，再次发声，其中的深意与担忧不言于表，借用作者的原话来描述就是：“虽然XcodeGhost作者的服务器关闭了，但是受感染的app的行为还在，这些app依然孜孜不倦的向服务器（比如init.icloud-analysis.com，init.icloud-diagnostics.com等）发送着请求。这时候黑客只要使用DNS劫持或者污染技术，声称自己的服务器就是“init.icloud-analysis.com”，就可以成功的控制这些受感染的app。”文章源自运维生存时间-https://www.ttlsa.com/news/xcodeghost-five-minutes/

根据乌云的介绍，在受感染的客户端App代码中，有个Response方法用于接收和处理远程服务器指令。Response方法中根据服务器下发的不同数据，解析成不同的命令执行，大致支持4种远程命令，通过命令的单独或组合使用可以产生多种攻击方式，大致可分为四种恶意行为：文章源自运维生存时间-https://www.ttlsa.com/news/xcodeghost-five-minutes/

定向在客户端弹（诈骗）消息：该样本先判断服务端下发的数据，如果同时在在“alertHeader”、“alertBody”、“appID”、“cancelTitle”、“confirmTitle”、“scheme”字段，则调用UIAlertView在客户端弹框显示消息窗口。
下载企业证书签名的App：当服务端下发的数据同时包含“configUrl”、“scheme”字段时，客户端调用Show()方法，Show()方法中调用UIApplication.openURL()方法访问configUrl。
推送钓鱼页面：通过在服务端配置configUrl，达到推送钓鱼页面的目的，客户端启动受感染的App后，钓鱼页面被显示。
推广AppStore中的应用：通过在服务端配置configUrl，达到推广AppStore中的某些应用的目的，客户端启动受感染的App后，自动启动AppStore，并显示目标App的下载页面。