笛里谁知壮士心，沙头空照征人骨。这篇文章主要讲述“核弹级”Android漏洞Janus，黑客可以任意篡改App相关的知识，希望能为你提供帮助。
【“核弹级”Android漏洞Janus，黑客可以任意篡改App】美国时间12月9日，Google披露了一个名为“Janus”安卓漏洞。该漏洞可以让攻击者绕过安卓签名机制，从而让攻击者对App进行篡改，安卓5.0到8.0等个版本系统均受影响。
顶象安全专家提醒广大安卓用户，尽快升级到最新版安卓系统，并到App官方网站下载或更新App。同时，建议开发者将App APK（安装包）升级为V2签名机制，或者为App配置上顶象技术的安全SDK，以防范该漏洞带来的威胁。
文章图片
这是一个“核弹”级的安全漏洞“Janus”漏洞是Google在12月发布的安卓系统的安全公告中披露的，由移动安全公司GuardSquare 的研究团队发现，漏洞编号：CVE-2017-13156。
该漏洞的是基于安卓jarsigner机制建立起来的签名和校验机制signature scheme V1。签名和校验是安卓系统的关键机制，用于确保App不被他人修改、伪造和篡改。而“Janus”漏洞却可以让攻击者绕过安卓的签名机制，导致攻击者可以对任何App进行篡改。
一旦攻击者将植入恶意代码的仿冒的App投放到安卓商店等第三方应用市场，就可替代原有的App，进行公开下载、更新。网友安装这些仿冒App后，不仅会泄露个人账号、密码、照片、文件等隐私信息，手机更可能被植入木马病毒，进而或导致手机被ROOT，甚至被远程操控。
由于安卓系统的其他安全机制都是建立在签名和校验基础之上，“Janus”漏洞可以说是突破了安卓整个安全机制，导致安卓整个安全体系的沦陷。因此，该漏洞也被国内安全研究者定位“核弹”级别。
不过，“Janus”漏洞只针对于安卓5.0-8.0系统下、基于signature scheme V1签名机制的App，使用了Siginature scheme V2签名机制的App不受影响。此外，Google最新版的安卓系统也已经修复了该漏洞。
顶象技术紧急发布App防护方案顶象技术安全专家泮晓波建议广大安卓用户：
1、尽快升级到最新版安卓系统；
2、尽量到官方网站更新、下载App，短期内不用使用第三方安卓应用市场更新或下载App。
针对广大安卓开发者，泮晓波建议：
1、将App APK升级到最新的Signature scheme V2签名机制；
2、开发者及时校验App APK文件的开始字节，以确保App未被篡改;
3、使用顶象技术提供的安全SDK。
针对“janus”漏洞的由来、影响和解决方案，顶象技术将做详细技术分析。
* 更多业务安全类的技术分享，请关注顶象官方博客：https://www.dingxiang-inc.com/blog
推荐阅读
- Android_开发板有哪些（如何选择_4412开发板简单易学_功能强大）
- android开发学习 ------- 弹出框
- spring 代码中获取ApplicationContext(@AutoWired,ApplicationListener)
- 安卓端KODI能检测到nfs设备但无法进入的问题
- android开发学习 ------- volley网络请求的实例
- Cannot declare class apphomecontrollerCases because the name is already in use
- Win10系统显示器含糊怎样办？
- Win10系统任务栏变宽怎样还原?
- Win10系统开机黑屏怎样办？