危害远超“XX神器” APP云端漏洞席卷数亿手机用户

时间:2014-08-05 16:08

      危害远超“XX神器” APP云端漏洞席卷数亿手机用户 

                                                                                                                                               

最近“XX神器”手机病毒在全国爆发,人们惊呼狼来了的同时,智能手机时代更严重的安全危机正在悄然滋生。安全研究人员发现,部分流行APP存在云端漏洞,黑客可利用漏洞攻击手机APP的云端服务器,批量盗取用户手机数据。

360网站安全检测平台抽样分析,国内常见的2000款手机APP中,有298个APP存在云端漏洞,占比高达14.9%,影响用户达数亿规模。

黑客利用APP的API接口入侵云平台服务器

据介绍,手机APP主要是通过服务器进行系统交互和数据存储的,而手机APP与服务器之间有单独的API接口进行连接。一旦API接口存在安全漏洞,黑客就能入侵到手机APP的服务器后台,盗取APP云端存储的数据。

与手机病毒攻击方式相比,黑客对云端漏洞的攻击更隐蔽、影响范围也更广。因为只要有一定安全意识,不点击“XX神器”短信的病毒链接,手机就不会中毒;但是黑客的云端攻击却绕过了手机,直接入侵手机APP服务器,无论用户手机多么安全也无法阻止数据泄露,只有手机APP服务商做好安全防范才能从根本上解决问题。

360网站安全总监赵武表示,尽管云端漏洞对手机APP用户威胁极大,部分APP厂商对此却没有予以重视,甚至成为安全防护的盲区。例如,今年上半年某知名网站泄露部分用户的信用卡敏感信息,就是因为手机APP与网站服务器API接口的“云端”漏洞导致的。

360网站安全检测平台测试发现,市面上常见的2000个手机APP中,有298个手机APP的API接口存在漏洞,更有34个手机APP的接口存在高危漏洞,导致黑客可直接登录APP服务器。分析发现,这些存在云端漏洞的手机APP涉及阅读、游戏、打车、图片制作、音乐、广告统计等多个服务。

赵武认为,利用手机APP云端漏洞侵入服务器,已经成为黑客攻击的新方向。“很多无法从网站入侵的黑客,转而瞄向APP的API接口,由此入侵到云平台的服务器,进而拖库(盗取用户数据库)或进行恶意破坏。”

针对APP服务器端的防护,360提供了网站卫士免费服务,能够有效防止漏洞、DDoS等恶意攻击。此外,360“库带计划”近期也收到多个APP“云端”漏洞的报告,并协助相关APP厂商修复漏洞。