利用后门小米能在你的手机上安装任意应用

利用后门小米能在你的手机上安装任意应用

荷兰的一位小米4用户发现手机预装了一个叫 AnalyticsCore.apk(com.miui.analytics)的应用,会自动在后台运行,他不喜欢未经许可收集用户信息的应用,因此对它进行了逆向工程。他发现该应用每24小时会访问小米官方服务器检查更新,在发送请求时它会同时发送设备的识别信息,包括手机的IMEI、型号、MAC地址、Nonce、包名字和签名。如果服务器上有名叫Analytics.apk的更新应用,它会自动下载和安装,整个过程无需用户干预。应用安装时没有任何验证,也就是说该漏洞能被黑客利用,或者小米只需要将想要安装的应用重命名为Analytics.apk就可以将其推送给用户。不出乎任何人意料的是,设备是通过HTTP发送请求和接收更新,这意味着用户很容易遭到中间人攻击。

内容版权声明:除非注明,否则皆为本站原创文章。

转载注明出处:https://www.heiqu.com/b83014baea899ebf80b1a456616015b8.html