usdt法币交易api接入(www.caibao.it):WhatsApp的破绽可能会让黑客远程入侵移动装备

USDT交易所

U交所(www.9cx.net)是使用TRC-20协议的Usdt官方交易所,开放USDT帐号注册、usdt小额交易、usdt线下现金交易、usdt实名不实名交易、usdt场外担保交易的平台。免费提供场外usdt承兑、低价usdt渠道、Usdt提币免手续费、Usdt交易免手续费。U交所开放usdt otc API接口、支付回调等接口。

WhatsApp最近解决了其Android应用程序中的两个平安破绽,这些破绽可能被远程攻击者用来在目的装备上执行恶意代码,并可能窃听通讯。

行使此破绽,攻击者可以举行“man-in-the-disk”攻击,尤其是当移动应用程序错误地治理在装备上所有应用程序之间共享的外部存储时。

这种攻击源于攻击者通过操作应用程序与外部存储之间交流的某些数据从而损坏应用程序的能力。

“我们将研究通过Android新闻转达应用程序举行的简朴网络钓鱼攻击将会若何导致外部存储(/ sdcard)中的数据直接泄露。然后,我们将展示上述两个WhatsApp破绽若何使攻击者可以远程网络TLS 1.3和TLS 1.2会话的TLS加密质料。”Census Labs研究职员提交的剖析讲述中这样写道,也正是Census Labs最初发现了Whatsapp的两个破绽之一(CVE-2021-24027)。“掌握了TLS的隐秘,我们将演示中央人(MitM)攻击若何导致WhatsApp通讯的受损,若何在受害装备上远程执行代码,以及若何提取用于用户通讯中端到端加密的噪声[05]协议密钥。”

CVE-2021-24027的破绽源于 Chrome中content provider的实现,这是一种IPC机制,应用程序使用该机制与任何其他应用程序共享资源,而且在浏览器中绕过同源战略(CVE-2020 -6516)。

攻击者可以通过WhatsApp将特制的HTML文件发送给受害者,从而触发该问题。WhatsApp在受害者的浏览器中打开后,将执行HTML文件中包罗的攻击者的代码。

该代码还可以使攻击者接见存储在外部存储器中的数据。行使此攻击可以接见WhatsApp存储的数据,包罗存储在子目录中的TLS会话密钥。

“以某种方式获得了接见外部缓存目录(例如通过恶意或易受攻击的应用程序)的攻击者可以窃取TLS 1.3 PSK密钥和TLS 1.2主密钥。正如前文所述,这可能会导致乐成的man-in-the-middle攻击。”文章剖析道。“我们将使用先前形貌的Chrome中的SOP绕过破绽来远程接见TLS会话隐秘。攻击者所需要做的就是诱使受害者打开HTML文档附件。WhatsApp将通过content provider在Chrome中出现此附件,攻击者的Javascript代码将能够窃取存储的TLS会话密钥。”

,

usdt支付接口

菜宝钱包(www.caibao.it)是使用TRC-20协议的Usdt第三方支付平台,Usdt收款平台、Usdt自动充提平台、usdt跑分平台。免费提供入金通道、Usdt钱包支付接口、Usdt自动充值接口、Usdt无需实名寄售回收。菜宝Usdt钱包一键生成Usdt钱包、一键调用API接口、一键无实名出售Usdt。

,

获得会话密钥后,威胁介入者可以执行中央人攻击,以实现远程代码执行,甚至窃听用于实现用户通讯的端到端加密的 Noise协议密钥对。

“WhatsApp带有调试机制,它的开发团队可以行使该机制在宣布的前几天捕捉到在野外发生的致命错误。更详细地说,若是引发OutOfMemoryError异常,则会挪用自界说异常处置程序,该处置程序网络系统信息、WhatsApp应用程序日志以及应用程序堆的转储(使用android.os.Debug :: dumpHprofData()网络)。这些已上传到crashlogs.whatsapp.net。”讲述云云写道。

当抛出OutOfMemoryError异常时,WhatsApp将编码的密钥对以及其他数据上传到日志服务器。仅当装备运行新版本的应用而且“距当前版本的宣布日期不到10天时”,才会发生这种情形。

攻击者可以有意抛出异常,以强制将数据发送到服务器并对其举行阻挡。

Google通过引入“scoped storage”模子缓解了这种攻击,该模子允许每个应用程序仅接见其自己特定于应用程序的缓存文件。

以上破绽已由WhatsApp在2.21.4.18版本中解决。

“CENSUS强烈建议用户确保他们在Android平台上使用的是WhatsApp 2.21.4.18或更高版本,由于以前的版本容易受到上述破绽的影响,并可能允许远程用户监视。CENSUS已在CVE-2021-24027下跟踪了TLS 1.2磁盘中的破绽。”讲述继续说道。

“WhatsApp中另有许多子系统可能会受到攻击者的极大关注,与上游服务器的通讯和端到端加密实现是两个值得注重的方面。此外,只管这项事情的重点是WhatsApp,但其他盛行的Android新闻转达应用程序(例如Viber、Facebook Messenger)甚至手机游戏都不会愿意将类似的攻击面露出给远程攻击者。”

本文翻译自:https://securityaffairs.co/wordpress/116833/hacking/whatsapp-flaws-remote-hack.html

添加回复:

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。