资讯 专栏
此为临时链接,仅用于文章预览,将在时失效

在非越狱的iPhone 6上,黑客如何盗取你的App Store密码?

作者:小芹菜
2015/09/20 16:30

【编者按】最近Xcode事件让更多人看到了iOS系统也并非牢不可破,苹果的安全神话已经被打破。本文来自乌云知识库,是2月份时候乌云出的分析文。尽管苹果在iOS 9中已经修复了这些漏洞,但并不影响这篇文章对 iOS 8.1.3 的钓鱼分析。雷锋网希望本文能让读者有所借鉴,正确看待苹果系统背后潜在的威胁。

在非越狱的iPhone 6上,黑客如何盗取你的App Store密码?

注意:本文是针对 iOS 8.1.3,iOS9已经修复。

前言

我们去年3、4月份在iOS还是7.0的时候就发现了一个能在非越狱的iOS设备上进行钓鱼的攻击方法 (可以盗取Apple id的密码,、gmail的密码等),很早就报给了Apple 公司,而到现在Apple也没有修复(事实上在iOS9中已经修复)。为了紧跟Project Zero的潮流(90天的漏洞披露策略),现在打算公开demo和细节: 



首先我来解读一下这个demo。在非越狱的iPhone 6 (iOS 8.1.3) 上盗取App Store密码:


   

在这个demo中,App Store是货真价实的系统App,但是弹出来的登录框不是App Store的,而是另一个在后台运行的app伪造的。

我们知道在沙盒策略中,一个App运行在自己的沙盒空间中,理论上说是无法影响其他App的,如果能够产生影响就是一个很严重的问题。

除了沙盒逃逸外,要让这个demo成功还需要具备以下几点要求:

安装钓鱼app到目标设备。


后台无限运行并开机启动。


检测目标app(比如App Store)的运行状态。


得到Apple ID的用户名以便实施钓鱼攻击。


弹出钓鱼对话框,并将用户输入的密码上传到服务器。


如何钓鱼,

1. 安装钓鱼App到目标设备


钓鱼App会使用一些特殊的API函数(后面会讲到,因为这些API不属于PrivateFrameworks,所以不确定是否是Private API),所以我们需要考虑如果App Store拒绝接受这种App的情况。

如果App Store拒绝接受的话,一般有两个方案:

2.后台无线运行并开机启动


这个有好几种方案,我这里简单介绍两种:

3.检测目标App(比如App Store)的运行状态

这个也有好多方法,简单介绍两个:

4.得到Apple ID的用户名以便实施钓鱼攻击。


5.弹出钓鱼对话框,并将用户输入的密码上传到服务器。

正常的对话框是采用UIAlertView这个类,但是用这个类产生的对话框只能在自己App的view上显示。但如果采用CoreFoundation 这个framework (非private framework)中的CFUserNotificationCreate()和 CFUserNotificationReceiveResponse()方法的话,一个App就可以跳出沙盒的限制,并且在别的app界面上弹出自己的对话框。

比如下图,第一个是真正的对话框,而第二个是我伪造的。为了区分,我故意把K变成了小写。通过CFUserNotificationCreate()这个API,我们可以伪造很多应用的登陆对话框,不光是App Store,还可以是YouTube,Gmail,天猫等等。因为伪造的对话框和真实对话框没有任何区别,用户中招的几率会变得非常大。

这个API本来是为Mac OS X设计的,但是因为iOS和Mac OS X共用了一些基本的底层框架,但是在iOS并没有屏蔽这个API接口,也没有做任何的权限检测,最后导致了沙盒逃逸。


在非越狱的iPhone 6上,黑客如何盗取你的App Store密码?

(真正的对话框)

在非越狱的iPhone 6上,黑客如何盗取你的App Store密码?

(伪造的对话框)

结语

人们往往认为iOS比Android安全,所以在使用苹果手机的时候格外大胆,但事实并非如此。通过几个漏洞的combo,黑客们可以很容易的骗取你的帐号密码。更恐怖的是,本文所展示iOS漏洞也只是冰山一角。关于更多关于iOS远程控制,监控等漏洞的利用等,可以关注乌云知识库

长按图片保存图片,分享给好友或朋友圈

在非越狱的iPhone 6上,黑客如何盗取你的App Store密码?

扫码查看文章

正在生成分享图...

取消
相关文章