|
最近时间少了, 隔了这么久, 才做了一个网站 |
XCode编译器里有鬼 – XCodeGhost样本分析：
http://drops.wooyun.org/news/8864
XcodeGhost感染的App列表：
https://github.com/zengyun-programmer/XcodeGhostApps/blob/master/XcodeGhost%20Apps.md
共收到16条回复
据说微信也中招了，苹果用户颤抖吧！
未越狱情况下， app 只能拿自己沙盒的数据，访问媒体库等隐私资料的时候，系统会弹框询问用户是否授予权限，所以正常应用没那么容易偷隐私数据。但是像某些文章里推测说的，它可以假装弹一个 view 让你输入 iCloud 密码然后获取密码。
现在的开发者太不严谨了，拖下来的开发工具不校验sha1吗？黑客直接在编译工具上下手，这思路也是高明。
早就习惯了，安卓用户都是光明正大地获取这些基本信息。。。
重点是 Xcode 竟然能这么容易被植入代码，还能通过正常审核发布到 App Store？
作者已经现身，并且代码已经开源了
下载编译软件，操作系统不验证官方sha1, md5 ？
关于此次事件，国家互联网应急中心的通报是9月14日，厂商应该比这个更早获得消息。
http://www.cert.org.cn/publish/main/12/2015/20150914152821158428128/20150914152821158428128_.html
但是直到昨天公众网络上才开始传播这个消息。。。
这个作者不用洗了，故意的！
三个人分这口锅吧——
1,作者无良
2,水果的Xcode被移植代码了编译后还能正常通过审核上架，也要背一口锅
3,开发者不校验编译软件的哈希，也有锅
武汉一哥们写的：Xcode事件十问
手把手科普告诉你发生了什么
我司中招了...
验证hash一定有效吗
最傻逼的地方是，居然发布机器和开发机器没有物理隔离。尼玛这不是大学生宿舍作品啊。
