安卓存恶意漏洞 或影响iOS和Windows

近日消息，据国外媒体报道，加利福尼亚大学和密歇根大学的研究者发现了安卓系统的一个漏洞，它允许应用程序被强行控制，而他们相信这个漏洞能够以相同的方式被用来攻击iOS和Windows的移动应用程序。

这个漏洞涉及到这样的事实，虽然有沙箱以分隔应用程序以避免其共享记忆发生问题，但应用程序仍然共享着记忆空间。

尽管移动设备上的应用程序被设计为在自己的沙箱内运行代码，但他们都大体依赖共同的图形界面框架，即窗口管理，它在共享的记忆空间中操作。窗口管理负责在用户的移动设备屏幕上表现图形界面元素。

名为“虽未真正看到您的应用程序，却能窥见它：用户界面状态推理和异常安卓攻击”的论文将于周五发表在加利福尼亚圣地亚哥高等计算机系统协会安全专题论文集中，作者为奇-阿尔弗雷德-陈(Qi Alfred Chen)和Z-莫尔里-毛(Z. Morley Mao)，他们来自加利福尼亚大学，这篇文章描述了他们如何利用这个漏洞。

对系统的攻击要求下载一个恶意应用程序，并在安卓设备的后台运行它。恶意程序被设计得不显眼，它消耗很低的能量和最低的权限。它的工作是监视窗口管理记忆空间并推断其他应用程序的行为。

通过在屏幕上监视其他应用程序的图形元素，恶意程序能够理解这些应用程序正在做的事，然后精确地注入同步的虚假界面元素，例如登陆界面，以截获登陆证书或欺骗用户。这种技术通常被称作“中间人攻击”。