这里有两个iOS弹窗,你能看出哪个是用来钓鱼的么?

  • 这里有两个iOS弹窗,你能看出哪个是用来钓鱼的么?已关闭评论
  • A+
所属分类:IT资讯

  上周,iOS、Android 应用开发辅助工具 Fastlane 的创始人、安全专家 Felix Krause 公布了一篇文章(链接在此:https://krausefx.com/)。

  其中的内容让雷锋网编辑看的虎躯一震,如果软件开发者想钓到你的 Apple ID ,能做出几乎可以乱真的账号密码对话框。对于我这种游戏党来说,下载各类游戏时经常需要输入密码,一般来说是不会怀疑的。如果被钓到,岂不是可以修改我的密码,远程锁机勒索我?

这里有两个iOS弹窗,你能看出哪个是用来钓鱼的么?

  在没有提示的情况下,你能分清下面哪个是钓鱼软件么?

这里有两个iOS弹窗,你能看出哪个是用来钓鱼的么?不是质疑大家的英语水平,右边是钓鱼的

  作为配置 iOS 和 Android 自动化Beta部署和发布的最简单的工具之一,FastLane可以简化一些乏味、单调、重复的工作,比如截图、代码签名以及发布App,所以深受不少开发者的喜爱。而 Felix Krause 正是在此过程中发现了软件开发者可以做出虚假系统对话框,以此来钓到用户的Apple ID 和密码。

  APP如何钓到用户的账号和密码?

  APP如何才能盗取用户的 Apple ID账号? Felix Krause 在文中解释,iOS应用程序会利用 UIAlertController 来弹出假的Apple ID登陆窗口。

  那啥是 UIAlertController ?

  就是我们经常能见到的这个框框↓↓↓

这里有两个iOS弹窗,你能看出哪个是用来钓鱼的么?UIAlertController的登录和密码对话框示例

  软件开发者可以用 UIAlertController来制作一个可以让用户输入账号和密码的对话框。

  在我们下载各类应用时,经常需要输入密码,那这时候出现的对话框往往是系统发出的请求。

  但是,如果你身处某个应用当中时,比如某款游戏需要充值了,这时候很可能弹出需要输入密码的对话框,这样的界面会让用户放松警惕,输入自己的Apple ID密码。

  这就到了钓鱼软件发挥作用的时候了,你填写进去的账号密码瞬间就能发到黑客的后台。之前雷锋网编辑的手机被偷,就遇到了钓鱼短信,在大神破解后,我们看到了这样的后台↓↓↓简直是触目惊心!

这里有两个iOS弹窗,你能看出哪个是用来钓鱼的么?

  有人会问,那对方得知道我的邮箱才能钓到鱼,如果我的邮箱没被泄露就不会……

  你还是太天真~

这里有两个iOS弹窗,你能看出哪个是用来钓鱼的么?

  对方可以选择让你输入邮箱账号啊↓↓↓

这里有两个iOS弹窗,你能看出哪个是用来钓鱼的么?

  不过,大家不不必过分担忧, Felix Krause 在文中说,

这种钓鱼手法还只存在于概念之中。出于对用户安全考虑,苹果会对上架 App Store 第三方应用进行审核,只有在应用程序被批准之后才能运行某些代码。

  苹果会不会允许钓鱼 APP 的存在?

  就在大家都以为这种事情暂时还没有担心的必要时,Felix Krause 在文中的 Q&A 环节对苹果会不会允许这种钓鱼APP存在的回应,让雷锋网编辑看的又开始心中一紧~

答案是肯定的。虽然App Store有很多的安全机制,但是有很多的办法可以绕过,比如:

使用远程代码, JS桥等;

用 iTunes search API 来比较现在的版本号和App Store中的版本号,这样的话app可以在得到同意后,自动执行恶意代码;

用远程配置工具来配置一个只有Apple通过后才执行的特征;

使用基于时间的触发器,只有当app通过审核或拒绝后才执行;

  如何识别钓鱼攻击?

  既然危险处处都有,我们就要加强防备心,怎样练就火眼金睛?Felix Krause给出了识别真假弹框的建议:

这里有两个iOS弹窗,你能看出哪个是用来钓鱼的么?

如果在应用程序中出现了账户密码弹窗,点击手机“home”键返回主页面,如果回到主页面后弹窗也消失,那么这个窗口就是假的,这就是一次钓鱼攻击行为。

如果回到主页面后,账户密码弹窗依然存在,那么这就是系统自带的弹窗,是真的

这么做的原因在于,系统自带的弹窗使用的进程和应用程序的进程不同。

  万一中招,如何善后?

  如果有天你脑壳方掉,真的是不小心就输入了自己的账号和密码怎么办呢?

  雷锋网特地打电话问了一下苹果客服,得到如下答复↓↓↓

带上你的发票,外包装和三包卡(二选一),去找苹果售后。

为避免出现账号被盗的情况,应立即开启双重验证, ios9 以上的用户都可以开启,即使对方拿到你的 ID 和密码,他要修改密码也得向你的苹果设备发验证码进行再次确认。

  

weinxin
微信
扫一扫