復(fù)旦研討小程序漏洞獲頂會(huì)出色論文獎(jiǎng),微信支付寶都中槍 |
發(fā)布時(shí)間:2022-08-21 文章來(lái)源:本站 瀏覽次數(shù):2500 |
2022年信息安全范疇四大頂會(huì)之一USENIX Security拉開帷幕。 今年又有好音訊傳來(lái)——復(fù)旦大學(xué)教授楊珉等研討員宣布的論文被評(píng)為“出色論文獎(jiǎng)”。 USENIX Security,始于上世紀(jì)90年代初,被我國(guó)計(jì)算機(jī)學(xué)會(huì)(CCF)認(rèn)定為網(wǎng)絡(luò)安全A類世界學(xué)術(shù)會(huì)議,據(jù)廣州大學(xué)統(tǒng)計(jì),過(guò)去30年國(guó)內(nèi)僅有20篇左右成果在該世界會(huì)議宣布,宣布難度極高。 作者之一楊珉教授長(zhǎng)時(shí)間從事信息安全范疇研討,得知獲獎(jiǎng)音訊后表示: 從13年宣布國(guó)內(nèi)榜首第二篇網(wǎng)安頂會(huì)ccs的移動(dòng)安全研討論文,十年白手起家,我們還要更進(jìn)一步! 讓我們先來(lái)重視一下這篇獲獎(jiǎng)?wù)撐难杏懥耸裁矗?/p> 研討內(nèi)容互聯(lián)網(wǎng)年代下,每個(gè)人的手機(jī)里簡(jiǎn)直都裝置了很多的APP,而本篇論文聚焦的便是這些APP背面的安全漏洞問(wèn)題。 許多APP在開發(fā)的時(shí)候,就會(huì)把一些不那么核心的功用托付給其他平臺(tái)完結(jié),自己專注于服務(wù)現(xiàn)有用戶和招引新用戶。 而這些被托付出去的功用也被稱為“子APP”,常見的莫過(guò)于微信小程序。 微信便是一個(gè)很典型的比如,從剛出現(xiàn)時(shí)簡(jiǎn)直只要聊天功用,到現(xiàn)在成了一個(gè)超級(jí)巨無(wú)霸。 功用越來(lái)越齊全的背面是380萬(wàn)個(gè)被托管出去的子APP,這一數(shù)量甚至超過(guò)了谷歌Play中所有安卓使用的總數(shù)。 這些子APP不僅能像一般APP相同加載第三方資源,還能夠拜訪APP提供的特權(quán)API(Application Program Interface)。 但就引出了一個(gè)重要的研討問(wèn)題——究竟哪些子APP能夠拜訪這些特權(quán)API? 研討人員發(fā)現(xiàn),現(xiàn)行的APP往往選用3種身份來(lái)確定API拜訪權(quán)限——即網(wǎng)絡(luò)域、子APP的ID和功用。 然而在實(shí)踐使用中,由于這3種身份核實(shí)的辦法都存在一定問(wèn)題,所以經(jīng)常會(huì)放過(guò)一些“漏網(wǎng)”的子APP,這一概念在論文中被初次界說(shuō)為“身份混雜(identity confusion)”。 為了搞清這一問(wèn)題,他們研討了47個(gè)流行APP基于webview的攻擊和防御機(jī)制,如抖音、微信、支付寶、今天頭條等。 結(jié)果顯現(xiàn),上述的三種身份混雜在所有47個(gè)被研討的APP中普遍存在。 更重要的是,這種混雜會(huì)導(dǎo)致嚴(yán)重的結(jié)果,比如某些子APP會(huì)暗中操縱用戶的財(cái)務(wù)賬戶,在手機(jī)上裝置歹意軟件等等。 別的,研討團(tuán)隊(duì)還負(fù)責(zé)任地向以上APP的開發(fā)者們報(bào)告了這一結(jié)果,并協(xié)助他們進(jìn)行漏洞修復(fù)。 研討團(tuán)隊(duì)本篇論文來(lái)自復(fù)旦大學(xué)和約翰斯·霍普金斯大學(xué)的研討團(tuán)隊(duì)。 共同一作是復(fù)旦大學(xué)的博士生張智搏和助理研討員張磊。 張磊,復(fù)旦大學(xué)系統(tǒng)軟件與安全實(shí)驗(yàn)室助理研討員,曾獲得ACMSIGSAC我國(guó)優(yōu)博獎(jiǎng)和ACM我國(guó)優(yōu)博提名獎(jiǎng)。 主要在移動(dòng)安全、系統(tǒng)安全和區(qū)塊鏈安全范疇進(jìn)行安全漏洞相關(guān)研討,包含程序代碼剖析技能、軟件自動(dòng)化測(cè)驗(yàn)技能以及漏洞發(fā)掘技能等。 別的,值得一提的是楊珉教授,現(xiàn)任復(fù)旦大學(xué)計(jì)算機(jī)科學(xué)技能學(xué)院科研副院長(zhǎng)、教授、博士生導(dǎo)師。 在國(guó)內(nèi)率先開展移動(dòng)生態(tài)系統(tǒng)安全問(wèn)題研討,研討方向主要包含歹意代碼檢測(cè)、漏洞剖析發(fā)掘、安全、區(qū)塊鏈安全、Web 安全和系統(tǒng)安全機(jī)制等。 |
|