定心丸!ZipperDown漏洞分析与修复建议

近日,盘古实验室对外披露了ZipperDown漏洞,该漏洞是盘古团队针对不同客户的iOS应用安全审计的过程中发现的,大约有10%的iOS应用会受到此漏洞的影响。

利用此漏洞可以做很多事情,例如实现目录遍历攻击和App Container目录中任意文件覆盖风险……影响究竟有多大,取决于具体App和对应取得的权限。

ZipperDown获得大量媒体聚焦的同时,也吸引了大量不法分子的目光,一场安全风暴隐约即将到来。

那如何防止ZipperDown漏洞带来的破坏呢?网易云易盾安全专家结合目前披露的信息以及自己的分析,给出了如下分析和建议:

漏洞原理

ZipperDown漏洞并非iOS平台自身问题,而是与Zip文件解压有关。iOS平台没有提供官方的unzipAPI函数,而是引用了第三方库来实现解压功能,由于现有的iOS App基本上采用SSZipArchive或Ziparchive来实现解压,因此漏洞是来自使用第三方Zip库解压Zip文件的过程中没有对Zip内文件名做校验导致的。如果文件名中含有“../”则可以实现目录的上一级跳转,从而实现应用内任意目录的跳转,进一步可以实现文件覆盖,如果把App的hotpatch文件覆盖替换了,可以达到执行黑客指定指令,从而按照黑客的意图实现任意应用内攻击。

这个漏洞不禁让易盾联想到不久前Android平台上的unZip解压文件漏洞,和这个漏洞几乎是完全一样,只是平台和第三方解压库不同而已。Android平台上的被称为unZip解压文件漏洞,网易云易盾安全检测平台已经可以实现扫描检测。

修复建议

开发中在使用第三方解压库对Zip文件解压过程中,要对Zip内部文件名进行“../”过滤,另外存放关键数据的文件如Hotpatch记得进行加密、合法性和完整性校验,使用HTTPS安全传输协议通信等,也可以购买易盾的通信协议加密SDK,做到最大程度的防范。

本漏洞的修复可以参考Android平台的unZip解压文件漏洞修复方案进行修复,下面是Android平台的修复方案:

总结

攻击条件:

  • 使用了第三方解压库。
  • Zip包在解压时没有做完整性校验。
  • APP使用了JSPatch或其他执行引擎,且本地脚本没有加密,只要把脚本放指定目录即可执行 ,本地脚本未做合法性校验。
  • 连接不可靠的WIFI热点进行通信。

类似解压等通用功能的漏洞,一个平台爆出了漏洞,其他平台往往也受到牵连,这个ZipperDown漏洞就是这样的。在最后,网易易盾移动安全专家也向普通用户建议,在相关App未修复之前,不要轻易连接不受信任的公共网络。

原文地址:http://blog.51cto.com/13610827/2117761

时间: 2024-11-09 03:01:18

定心丸!ZipperDown漏洞分析与修复建议的相关文章

jQuery CVE-2019-11358原型污染漏洞分析和修复建议

一.安全通告 jQuery官方于日前发布安全预警通告,通报了漏洞编号为 CVE-2019-11358的原型污染漏洞.由攻击者控制的属性可被注入对象,之后或经由触发 JavaScript 异常引发拒绝服务,或篡改该应用程序源代码从而强制执行攻击者注入的代码路径.奇安信代码卫士将持续关注该漏洞进展,并第一时间为您更新该漏洞信息. 二.文档信息 文档名称 jQuery CVE-2019-11358原型污染漏洞 关键字 jQuery,原型污染 发布日期 2019年4月23日 分析团队 奇安信代码卫士 三

Jenkins-CVE-2016-0792漏洞利用及修复建议

漏洞概述: 国外网站 Contrast Security 于2016年2月24日在公开了Jenkins近日修复的一个可通过低权限用户调用 API 服务致使的命令执行漏洞详情.通过低权限用户构造一个恶意的 XML 文档发送至服务端接口,使服务端解析时调用 API 执行外部命令. 利用方法: 1. 登陆低权限用户test 权限为:Overall的read权限+Job的create权限 将下面xml数据包post到创建项目页面,项目名称任意命名,这里暂取qt-sec ,完整链接如下: http://1

ECSHOP v2.7.3注入漏洞分析和修复

测试版本 漏洞条件 漏洞利用 产生原因 修复方案 1.测试版本 v2.7.3 RELEASE 20121106(最新) v2.7.3 RELEASE 20120411 2.漏洞条件 需登录到后台 3.漏洞利用 1) 登陆到台后,选择模板管理,语言项编辑,搜索“用户信息” 为什么要搜索“用户信息”,还可以搜索其它的吗? 答案是搜索languages\zh_cn\user.php文件里任何一个变量都可以 2) 添加如下后门,将用户信息改为 用户信息${${fputs(fopen(base64_dec

Web常见漏洞及修复建议

1.SQL注入 漏洞描述 Web程序中对于用户提交的参数未做过滤直接拼接到SQL语句中执行,导致参数中的特殊字符破坏了SQL语句原有逻辑,攻击者可以利用该漏洞执行任意SQL语句,如查询数据.下载数据.写入webshell.执行系统命令以及绕过登录限制等. 修复建议 代码层最佳防御sql漏洞方案:使用预编译sql语句查询和绑定变量. (1)使用预编译语句,使用PDO需要注意不要将变量直接拼接到PDO语句中.所有的查询语句都使用数据库提供的参数化查询接口,参数化的语句使用参数而不是将用户输入变量嵌入

phpmyadmin任意文件包含漏洞分析(含演示)

0x01 漏洞描述 phpmyadmin是一款应用非常广泛的mysql数据库管理软件,基于PHP开发. 最新的CVE-2014-8959公告中,提到该程序多个版本存在任意文件包含漏洞,影响版本如下: phpMyAdmin 4.0.1 – 4.0.10.6 4.1.1 – 4.1.14.7 4.2.1 – 4.2.12 0x02 补丁分析 看到bobao.360.cn上提到了这个漏洞,于是我写个小分析吧,给渗透正没思路的人一个思路,也给学习代码审计的朋友一点资料. 前几天phpmyadmin出了个

2015年11月数据安全漏洞分析报告

报告核心观点 1.千帆过尽,SQL注入仍"不改" 2.本月金融业漏洞增长尤为突出 3.11月常见数据泄露原因分析 4.解决弱口令安全建议 报告正文 2015年11月,安华每日安全资讯总结发布了126个数据泄密高危漏洞,这些漏洞分别来自乌云.补天.漏洞盒子等平台,涉及8个行业,公司机构.互联 网.交通运输.教育.金融.能源.运营商.政府.漏洞类型涉及,SQL注入.系统漏洞.弱口令等7类,其中SQL注入仍然是漏洞类型的重灾区. 千帆过尽,SQL注入仍"不改" 数据安全问

手游类App安全防破解攻略-先来做个漏洞分析吧

2014年6月初,爱加密高调推出免费自动化App安全检测平台,这是国内首家自动化智能App安全检测平台,也是爱加密推出的一个重磅产品,甚至在目前整个互联网行业,包括移动互联网行业还没有这样智能完善的服务平台出现,其应用方向和行业前景相当乐观.       只需一键,专业简单,让风险漏洞无处遁形 目前来说,移动应用开发者众多,他们可能不知道自己的应用是否安全,是否容易被他人破解进行二次打包.出于此类需求,爱加密推出爱加密免费漏洞分析平台.该平台集成了目前黑客最常用的各种破解方法与思路,模拟黑客攻击

Apache Tomcat CVE-2017-12615远程代码执行漏洞分析

2017年9月19日, Apache Tomcat官方发布两个严重的安全漏洞, 其中CVE-2017-12615为远程代码执行漏洞,通过put请求向服务器上传恶意jsp文件, 再通过jsp文件在服务器上执行任意代码, 且最新的补丁未完全修复漏洞.中新网安将对该漏洞进行持续关注, 并第一时间为您更新相关漏洞信息. 漏洞编号 CVE-2017-12615 漏洞名称 Apache Tomcat 远程代码执行漏洞 漏洞评级 严重 影响范围 Apache Tomcat 7.0.0 - 7.0.79 漏洞分

(转)Android APP 漏洞分析

由于Android系统开源架构特性,安卓移动应用成为恶意病毒攻击的重点目标.最新调查显示, 绝大多数手机应用都存在着移动应用安全漏洞,这可能会导致它们在未来感染严重的恶意病毒.接下来我们来看一份检测报告是以什么方式进行检测分析的. 爱内测的一份报告(www.detect.cn). 报告中详细指出了apk文件中主要存在的安全问题,以及修复漏洞的建议,文中采用的智能检测方法通过Android组件检测.权限管理.dex保护.数据安全(传输.存储.输出)检测,以及危险调试信息等常见的漏洞风险检测: 全面