iOS惊现大BUG,用户iCloud密码可能泄露

jopen 9年前

iOS惊现大BUG,用户iCloud密码可能泄露

*来源:arstechnica,TECH2IPO/创见编辑后发布

近日一位安全研究人员公布了一份攻击代码。他表示,黑客利用这份代码可以轻松盗取使用最新版 iOS 系统用户的 iCloud 账户密码。

这份代码已经被验证有效,它利用了 iOS 原生邮件应用 Mail 的漏洞。自从今年四月 iOS 8.3 发布以来,Mail 应用就一直不能适当屏蔽掉新邮件消息中含有潜在危险的 HTML 代码。被公布的攻击代码就是利用这个漏洞:它可以从远程服务器下载一份看起来同 iCloud 原版登录提示一模一样的表格。每当用户打开这个藏有陷阱的信息,假冒的 iCloud 登录界面就会出现。

GitHub 用户 jansoucek 在一份自述文件中说:「远程 HTML 内容可以利用这个 bug 进行加载,然后替换掉原来的邮件信息。」我们无法在这个 UIWebView 中使用 JavaScript,但黑客依旧可以利用简单的 HTML 和 CSS 建立一个可以工作的密码「收集器」。

为了避免用户产生怀疑,黑客可以对这个漏洞进行编程。这样一来他们就可以让密码提示界面只出现一次,而不是每次用户浏览恶意信息时都出现。为了模仿苹果原本用来验证用户身份的登录提示界面,这份攻击代码使用了自动对焦功能在用户点击「OK」按钮之后隐藏对话区域。

只要用户收到了含有「meta http-equiv=refresh」这段 HTML 代码标签的邮件,黑客就可以利用联网计算机远程制造一个假冒的登陆提示界面。接着,黑客会在 Mail 应用的内置浏览器中嵌入恶意邮件中的图片,以便欺骗用户输入自己的密码。除了用来盗取密码之外,黑客还可以利用这个漏洞发送「」指向标。这样他发件人就知 道哪些收件人已经阅读了恶意邮件,何时阅读了恶意邮件,从什么网络地址浏览了恶意邮件。

罗伯·格雷汉姆(Rob Graham)是 Errata Security 公司 CEO,一直以来都使用 IPhone。他认为这个漏洞非常严重,因为正常的 iOS 系统也会多次显示密码登录界面,这增加了用户的受害几率。在他看来,用户遇到要求输入密码提示界面时最好的办法是点击取消,而不是输入任何登录信息。大部 分时候,用户取消密码输入后不会带来什么严重后果,最糟糕的情况也就是系统再次弹出提示要求用户输入密码。如果用户真的需要输入密码,那么他们要确保这时 候自己没有打开任何邮件。

更有经验的 iOS 用户还会利用其他方法防范风险:遇到输入密码的登录提示时,用户可以点击 Home 按钮。iOS 系统的登录提示属于「情态模式」,也就是说用户只能点击确认或者取消按钮,无法进行其他操作。假冒的登录提示界面则不是这样,用户点击 Home 按钮后系统会回到主屏幕。

发现这个漏洞的研究人员表示,自己在一月份就向苹果提交了这个漏洞,但是该公司一直没有对其进行修复。苹果在一份邮件声明中表示:「据我们所 知,还没有任何用户受到这个漏洞的影响。我们正在努力修复,会在即将到来的 iOS 系统更新中解决这个问题。」另外,该公司还强烈建议用户采用双重身份验证。

来自: tech2ipo.com