本報訊奇虎360昨日發(fā)布風(fēng)險警示，近期，微信等多款安卓流行應(yīng)用曝出高危“掛馬漏洞”：只要點擊好友消息或朋友圈中的一條網(wǎng)址，手機(jī)就會自動執(zhí)行黑客指令，出現(xiàn)被安裝惡意扣費軟件、向好友發(fā)送欺詐短信、通訊錄和短信被竊取等嚴(yán)重后果。包括安卓版微信、QQ、騰訊實時行情微博、QQ瀏覽器、快播、百度瀏覽器、金山瀏覽器等大批應(yīng)用均被曝光同類型漏洞。
掛馬漏洞的說法源于“掛馬攻擊”。掛馬攻擊是指攻擊者在獲取網(wǎng)站控制權(quán)之后，通過篡改網(wǎng)站的網(wǎng)頁內(nèi)容，在頁面中嵌入惡意代碼。360安全中心監(jiān)測到掛馬漏洞信息后，第一時間進(jìn)行了分析，發(fā)現(xiàn)此類漏洞是由于微信等應(yīng)用開發(fā)者錯誤使用了安卓系統(tǒng)WebView開發(fā)接口引發(fā)的。此前，谷歌公司在安卓開發(fā)者文檔中已明確指出，“WebView中的該接口會引發(fā)嚴(yán)重的安全問題。請盡量不要使用這個接口，除非你能保證WebView中加載的內(nèi)容都是你自己編寫的。”國內(nèi)多家應(yīng)用開發(fā)者則忽略了這項安全規(guī)范，導(dǎo)致此次手機(jī)掛馬漏洞大規(guī)模爆發(fā)。
掛馬漏洞的說法源于“掛馬攻擊”。掛馬攻擊是指攻擊者在獲取網(wǎng)站控制權(quán)之后，通過篡改網(wǎng)站的網(wǎng)頁內(nèi)容，在頁面中嵌入惡意代碼。360安全中心監(jiān)測到掛馬漏洞信息后，第一時間進(jìn)行了分析，發(fā)現(xiàn)此類漏洞是由于微信等應(yīng)用開發(fā)者錯誤使用了安卓系統(tǒng)WebView開發(fā)接口引發(fā)的。此前，谷歌公司在安卓開發(fā)者文檔中已明確指出，“WebView中的該接口會引發(fā)嚴(yán)重的安全問題。請盡量不要使用這個接口，除非你能保證WebView中加載的內(nèi)容都是你自己編寫的。”國內(nèi)多家應(yīng)用開發(fā)者則忽略了這項安全規(guī)范，導(dǎo)致此次手機(jī)掛馬漏洞大規(guī)模爆發(fā)。
根據(jù)漏洞攻擊途徑分析，此次手機(jī)掛馬漏洞主要影響聊天應(yīng)用和手機(jī)瀏覽器。在微信等聊天應(yīng)用中，只要點擊公眾賬號或好友發(fā)來的惡意網(wǎng)址消息就會中招，用戶應(yīng)避免點擊陌生可疑鏈接。
