AirDrop漏洞曝光:可向iOS和OS X设备推送恶意应用

AirDrop是苹果公司开发出来用于在设备间快速传输文件的技术,但是安全研究人员Mark Dowd却在iOS和OS X系统中发现了一个漏洞,发现它可用于向设备推送安装恶意应用,即使用户并没有选择接收该文件。Dowd早已向苹果汇报过这一漏洞,但是在最新的iOS 9移动操作系统上,该公司仍未对其进行修复。

AirDrop漏洞曝光:可向iOS和OS X设备推送恶意应用的照片

通过一系列技术,攻击者可以绕过询问某款app是否可以信任的安全屏幕,这意味着一款恶意应用可以在没有许可或通知的情况下就被安装。

Dowd利用自己的苹果企业证书创建了一款测试应用,然后顺利地让它在任意设备上运行。通过一个企业配置文件,其能够绕过代码签名保护并安装应用,而不出现任何的提示。

iOS 8.4.1 AirDrop Exploit Demo

除了未经许可地安装应用,该技术也可用于覆盖写入iOS和OS X中的文件。Dowe在接受Threat Post采访时表示:

当你看到一个来自AirDrop的文件时,它会在目标手机上弹出提示,让用户选择接收与否。用户必须解锁手机以选择是否拒绝,但这无关紧要。由于该漏洞的存在,在通知被发向用户的时候,这个bug已经被触发。

[编译自:BetaNews]

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: