鳳凰網(wǎng)科技訊（作者/花子?。?月9日消息，騰訊安全玄武實(shí)驗(yàn)室將應(yīng)用克隆這一移動攻擊威脅模型正式對外披露。

騰訊安全玄武實(shí)驗(yàn)室負(fù)責(zé)人于旸表示，該攻擊模型是基于移動應(yīng)用的一些基本設(shè)計特點(diǎn)導(dǎo)致的，所以幾乎所有移動應(yīng)用都適用該攻擊模型。在這個攻擊模型的視角下，很多以前認(rèn)為威脅不大、廠商不重視的安全問題，都可以輕松克隆用戶賬戶，竊取隱私信息，盜取賬號及資金等?；谠摴裟Ｐ?，騰訊安全玄武實(shí)驗(yàn)室以某個常被廠商忽略的安全問題進(jìn)行檢查，在200個移動應(yīng)用中發(fā)現(xiàn)27個存在漏洞，比例超過10%。在發(fā)現(xiàn)這些漏洞之后，騰訊安全玄武實(shí)驗(yàn)室通過CNCERT向廠商報告了相關(guān)漏洞，并提供了修復(fù)方法。

于旸介紹，在玄武安全研究團(tuán)隊研究過程中，發(fā)現(xiàn)由于現(xiàn)在手機(jī)操作系統(tǒng)本身對漏洞攻擊已有較多防御措施，所以一些安全問題常常被app廠商和手機(jī)廠商忽略。而只要對這些貌似威脅不大的安全問題進(jìn)行組合，就可以實(shí)現(xiàn)應(yīng)用克隆攻擊。這一漏洞利用方式一旦被不法分子利用，就可以輕松克隆獲取用戶賬戶權(quán)限，盜取用戶賬號及資金等。

玄武實(shí)驗(yàn)室以支付寶app為例展示了應(yīng)用克隆攻擊的效果：在升級到最新安卓8.1.0的手機(jī)上，利用支付寶app自身的漏洞，攻擊者向用戶發(fā)送一條包含惡意鏈接的手機(jī)短信，用戶一旦點(diǎn)擊，其支付寶賬戶一秒鐘就被克隆到攻擊者的手機(jī)中，然后攻擊者就可以任意查看用戶賬戶信息，并可進(jìn)行消費(fèi)。目前，支付寶在最新版本中已修復(fù)了該漏洞。

據(jù)介紹，應(yīng)用克隆對大多數(shù)移動應(yīng)用都有效。而玄武實(shí)驗(yàn)室此次發(fā)現(xiàn)的漏洞至少涉及國內(nèi)安卓應(yīng)用市場十分之一的app，如支付寶、攜程、餓了么等多個主流app均存在漏洞，所以該漏洞幾乎影響國內(nèi)所有安卓用戶。

考慮到該漏洞影響的廣泛性，以及配合應(yīng)用克隆攻擊模型后的巨大威脅，騰訊安全玄武實(shí)驗(yàn)室現(xiàn)場發(fā)布了玄武支援計劃。于旸表示，由于對該漏洞的檢測無法自動化完成，必須人工分析，玄武實(shí)驗(yàn)室無法對整個安卓應(yīng)用市場進(jìn)行檢測，所以通過此次新聞發(fā)布會，希望更多的app廠商關(guān)注并自查產(chǎn)品是否仍存在相應(yīng)漏洞，并進(jìn)行修復(fù)。對用戶量大、涉及重要數(shù)據(jù)的app，玄武實(shí)驗(yàn)室也會提供相關(guān)技術(shù)援助。