百度Android开发工具存漏洞 数千款应用受影响-阿里云开发者社区

开发者社区> 云栖大讲堂> 正文

百度Android开发工具存漏洞 数千款应用受影响

简介:
+关注继续查看

今日上午消息,百度提供的一个软件开发包(SDK)被曝光存在后门,而黑客可以利用这一后门入侵用户的设备。这一SDK被用在了数千款Android应用中。

趋势科技的信息安全研究人员周二表示,这一SDK名为Moplus。尽管没有公开发布,但这一SDK被集成至超过1.4万个应用,其中只有约4000个应用为百度开发。

趋势科技估计,受影响的应用被超过1亿用户使用。根据该公司的分析,Moplus SDK在用户设备上启动了HTTP服务器。这一服务器没有使用任何验证机制,会接受互联网上任何人的请求。

更糟糕的是,通过向这一隐藏的HTTP服务器发送请求,攻击者可以执行SDK中预定义的命令。这意味着攻击者可以获得位置数据和搜索关键词等敏感信息,并执行新增联系人、上传文件、拨打电话、显示伪造消息,以及安装应用等操作。

在被root的Android设备上,这一SDK允许应用的静默安装。这意味着,用户在没有看到任何确认消息的情况下,应用就可能被安装至设备。实际上,趋势科技的研究人员已经发现了一种蠕虫病毒,利用这一后门安装用户不需要的应用。这一恶意软件名为ANDROIDOS_WORMHOLE.HRXA。

趋势科技表示,从多个方面来看,Moplus漏洞都要比今年早些时候Android Stagefright库中发现的漏洞更严重。利用后一漏洞,攻击者至少需要向用户手机发送恶意的多媒体消息,或是欺骗用户打开恶意链接。而如果希望利用Moplus漏洞,那么攻击者可以扫描整个移动互联网,寻找Moplus HTTP服务器开启的IP地址。

百度已经发布了新版SDK,删除了一些命令。但趋势科技表示,HTTP服务器目前仍会开启,而一些功能仍可能被滥用。

百度一名发言人表示,百度已修复了10月30日报告给该公司的所有信息安全漏洞。“关于趋势科技最新报告的可能存在问题的其余代码,在我们的修复之后已成为无用代码,不会产生影响。”

这名发言人表示,百度没有提供“后门”。而在该公司的下一版应用中,这些未激活代码将会被删除。

不过目前的问题在于,第三方开发者将会在多长时间内用最新SDK去升级自己的应用。趋势科技列出的前20大受影响应用中包括非百度开发的应用,而其中有一些仍在谷歌Play中提供下载。


原文发布时间为:2015-11-03

本文来自云栖社区合作伙伴至顶网,了解相关信息可以关注至顶网。






版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
Centos7下Docker上部署webgoat(用来演示Web应用程序中的典型安全漏洞的应用程序)
Centos7下Docker上部署webgoat(用来演示Web应用程序中的典型安全漏洞的应用程序)
652 0
怎么设置阿里云服务器安全组?阿里云安全组规则详细解说
阿里云服务器安全组设置规则分享,阿里云服务器安全组如何放行端口设置教程
8367 0
Android SDK工具(谷歌提供的16个工具)简介
    Android SDK包含了许多可以帮助你开发Android平台应用的工具。这些工具分为两类:一是SDK工具;而是平台工具。SDK工具独立于平台,任何开发Android应用的平台都需要配置。
950 0
不可错过的四款 Android 开发工具
Android以其极强的开放性吸引着世界各地的开发者去开发各种各样的移动应用开发,而各种SDK更是为各个层次的开发者提供了一个可以尽情展示他们专业技能和创造性的平台。虽然Java是各种平台最常用的编程语言,但是一些其它的工具包只支持C、C++和Ruby。除此之外,所要开发应用的特性在一定程度上也决定了开发环境的选择。
34 0
+关注
云栖大讲堂
擅长前端领域,欢迎各位热爱前端的朋友加入我们( 钉钉群号:23351485)关注【前端那些事儿】云栖号,更多好文持续更新中!
3918
文章
1754
问答
文章排行榜
最热
最新
相关电子书
更多
《2021云上架构与运维峰会演讲合集》
立即下载
《零基础CSS入门教程》
立即下载
《零基础HTML入门教程》
立即下载