復(fù)旦研究小程序漏洞獲頂會杰出論文獎，微信支付寶都中槍
小程序“陷阱”被發(fā)現(xiàn)？
羿閣 發(fā)自 凹非寺
量子位 | 公眾號 QbitAI
2022年信息安全領(lǐng)域四大頂會之一USENIX Security拉開帷幕。
今年又有好消息傳來——復(fù)旦大學教授楊珉等研究員發(fā)表的論文被評為“杰出論文獎”。
USENIX Security，始于上世紀90年代初，被中國計算機學會（CCF）認定為網(wǎng)絡(luò)安全A類國際學術(shù)會議，據(jù)廣州大學統(tǒng)計，過去30年國內(nèi)僅有20篇左右成果在該國際會議發(fā)表，發(fā)表難度極高。
作者之一楊珉教授長期從事信息安全領(lǐng)域研究，得知獲獎消息后表示：
從13年發(fā)表國內(nèi)第一第二篇網(wǎng)安頂會ccs的移動安全研究論文，十年篳路藍縷，我們還要更進一步！
讓我們先來關(guān)注一下這篇獲獎?wù)撐难芯苛耸裁矗?/p>
研究內(nèi)容
互聯(lián)網(wǎng)時代下，每個人的手機里幾乎都安裝了大量的APP，而本篇論文聚焦的就是這些APP背后的安全漏洞問題。
許多APP在開發(fā)的時候，就會把一些不那么核心的功能委托給其他平臺完成，自己專注于服務(wù)現(xiàn)有用戶和吸引新用戶。
而這些被委托出去的功能也被稱為“子APP”，最常見的莫過于微信小程序。
微信就是一個很典型的例子，從剛出現(xiàn)時幾乎只有聊天功能，到現(xiàn)在成了一個超級巨無霸。
功能越來越齊全的背后是380萬個被托管出去的子APP，這一數(shù)量甚至超過了谷歌Play中所有安卓應(yīng)用的總數(shù)。
這些子APP不僅能像普通APP一樣加載第三方資源，還可以訪問APP提供的特權(quán)API（Application Program Interface）。
但就引出了一個重要的研究問題——究竟哪些子APP可以訪問這些特權(quán)API？
研究人員發(fā)現(xiàn)，現(xiàn)行的APP往往采用3種身份來確定API訪問權(quán)限——即網(wǎng)絡(luò)域、子APP的ID和功能。
然而在實際應(yīng)用中，由于這3種身份核實的方法都存在一定問題，所以經(jīng)常會放過一些“漏網(wǎng)”的子APP，這一概念在論文中被首次定義為“身份混淆（identity confusion）”。
為了搞清這一問題，他們研究了47個流行APP基于webview的攻擊和防御機制，如抖音、微信、支付寶、今日頭條等。
結(jié)果顯示，上述的三種身份混淆在所有47個被研究的APP中普遍存在。
更重要的是，這種混淆會導(dǎo)致嚴重的后果，比如某些子APP會暗中操縱用戶的財務(wù)賬戶，在手機上安裝惡意軟件等等。
另外，研究團隊還負責任地向以上APP的開發(fā)者們報告了這一結(jié)果，并幫助他們進行漏洞修復(fù)。
研究團隊
本篇論文來自復(fù)旦大學和約翰斯·霍普金斯大學的研究團隊。
共同一作是復(fù)旦大學的博士生張智搏和助理研究員張磊。
張磊，復(fù)旦大學系統(tǒng)軟件與安全實驗室助理研究員，曾獲得ACMSIGSAC中國優(yōu)博獎和ACM中國優(yōu)博提名獎。
主要在移動安全、系統(tǒng)安全和區(qū)塊鏈安全領(lǐng)域進行安全漏洞相關(guān)研究，包括程序代碼分析技術(shù)、軟件自動化測試技術(shù)以及漏洞挖掘技術(shù)等。
另外，值得一提的是楊珉教授，現(xiàn)任復(fù)旦大學計算機科學技術(shù)學院科研副院長、教授、博士生導(dǎo)師。
在國內(nèi)率先開展移動生態(tài)系統(tǒng)安全問題研究，研究方向主要包括惡意代碼檢測、漏洞分析挖掘、安全、區(qū)塊鏈安全、Web 安全和系統(tǒng)安全機制等。
參考鏈接：
[1]https://secsys.fudan.edu.cn/26979/list.htm
[2]https://www.usenix.org/conference/usenixsecurity22/technical-sessions
[3]http://jsj.gzhu.edu.cn/info/1027/2516.htm
[4]https://weibo.com/2280128311/M0uPPEApT?
- 英特爾遭遇「災(zāi)難級」財報！裁員、砍業(yè)務(wù)、董事會主席辭職，甚至給不出2023業(yè)績預(yù)期2023-01-28
- 阿里賈揚清：新一輪AI爆發(fā)的推動機制是工程化和開源 | MEET20232023-01-30
- 未知物體也能輕松識別分割，效果可遷移 | DeepMind研究2023-01-26
- 基因療法讓小鼠剩余壽命翻倍，人類長生不老還遠么？2023-01-26
