引用:
原帖由 eva3d 于 2015-9-18 13:41 发表
posted by wap, platform: Firefox
一点都不稀奇，网易iOS开发部一水的黑苹果
随后很多留言的小伙伴们纷纷表示中招，@谁敢乱说话表示：”还是不能相信迅雷，我是把官网上的下载URL复制到迅雷里下载的，还是中招了。我说一下：有问题的Xcode6.4.dmg的sha1是：a836d8fa0fce198e061b7b38b826178b44c053a8，官方正确的是：672e3dcb7727fc6db071e5a8528b70aa03900bb0，大家一定要校验。”另外还有一位小伙伴表示他是在百度网盘上下载的，也中招了。
原帖由 @route 于 2015-9-18 13:02 发表
网易云音乐是用非官方下载的Xcode编译的？
网易用这种Xcode？
原帖由 eva3d 于 2015-9-18 13:41 发表
posted by wap, platform: Firefox
一点都不稀奇，网易iOS开发部一水的黑苹果
原帖由 @wangmax 于 2015-9-18 15:48 发表
不是很明白，非法代码是如何能骗过编译器的？
即便出奇迹发布成功了，在未越狱环境中是如何能再绕过安全机制的
原帖由 @wangmax 于 2015-9-17 19:48 发表
不是很明白，非法代码是如何能骗过编译器的？
即便出奇迹发布成功了，在未越狱环境中是如何能再绕过安全机制的
原帖由 @banditcat 于 2015-9-17 19:48 发表
网易就这水平？？
太失望了等了这么久这片那片都没几个进来洗地的 原帖由 @pacman 于 2015-9-18 16:04 发表
这还有审批呢，苹果吃屎的啊，必须死
原帖由 @pacman 于 2015-9-18 16:04 发表
这还有审批呢，苹果吃屎的啊，必须死
原帖由 beterhans 于 2015-9-18 15:53 发表
posted by wap, platform: Chrome
带和是合法的 编译器被动了手脚
比如我要完成 功能 A
正常编译器 完成了功能 A
但是被动了手脚的编译器 给你加了 功能B
编译出来的东西自然也能运行 是合法的 这个手段太高 ...
原帖由 jun4rui 于 2015-9-18 15:54 发表
posted by wap, platform: Chrome
源代码是正常的，编译器动了手脚会在某些地方插入特定的代码，而这些代码其实也是正常的API调用只是做了不正常的事情而已，例如向某个服务器发数据。
所以发布也能成功，APPStor ...
原帖由 @beterhans 于 2015-9-17 20:15 发表
不过看这个原理来说 Android 也可能有相同问题
一个程序员可以 从国内 下载网站 下载 被修改的 编译器
那么其他 Android程序员也可能下载到 被修改的 编译器
原帖由 beterhans 于 2015-9-18 16:15 发表
posted by wap, platform: Chrome
不过看这个原理来说 Android 也可能有相同问题
一个程序员可以 从国内 下载网站 下载 被修改的 编译器
那么其他 Android程序员也可能下载到 被修改的 编译器
原帖由 @wangmax 于 2015-9-17 20:17 发表
"正常的API调用只是做了不正常的事情"
相信我，没有这种可能。
同时，这个和app审核没有关系，即便没有审核，也无法安装到ios上去。
ipa，并不是只有app store上才有的，说的是非越狱环境。
原帖由 jun4rui 于 2015-9-18 16:25 发表
posted by wap, platform: Chrome
我没看那个理论，我常识解析一下，不对咱们再分析；
正常的编译方式是： 源码->语法分析->编译成二进制
我猜测这个办法可能是：源码->源码中插入特定代码->语法分析->编译成二进 ...
原帖由 chronicle1st 于 2015-9-18 16:25 发表
真有意思，xcode是一码事，程序审核又是另外一码事。
如果xcode编译通过就绝对安全，那要审查机制有屁用。
哦反正这个锅还是网易背
原帖由 @wangmax 于 2015-9-18 16:30 发表
你的理解错误，很多合法ipa，都是不需要审核机制就可以给用户安装的。
原帖由 beterhans 于 2015-9-18 16:41 发表
posted by wap, platform: Chrome
那个是 企业 APP
企业 自己制作 APP给员工使用 可以不通过 APP Store 也不用审核
但是企业要向 Apple 提出 证书申请。
但是 聪明的 你国人 用这个证书来做盗版 APP
原帖由 无印凉粉 于 2015-9-18 16:42 发表
你们赶紧告诉我appstore下载的云音乐和12306还能不能用！我已经被吓得删了！
原帖由 无印凉粉 于 2015-9-18 16:20 发表
等等，这可以理解为appstore里的app被挂马？云音乐和12306必须删了？
原帖由 @wangmax 于 2015-9-18 16:45 发表
问题就是，我们玩了N年的企业版证书，也没发现圈子里谁能发布出超出sdk规范的ipa。
所以在这里求案例，如果有，也是能派大用场了。
原帖由 yang_yii 于 2015-9-18 16:58 发表
posted by wap, platform: MAC OS X
上传你的通信录，上传你的使用app时间和习惯等信息。这些动作都是正常动作，不会超出sdk规范。
现在天朝的环境下，要想避开恶意软件，信任机器，信任开发软件都没有任何用的。只 ...
原帖由 @wangmax 于 2015-9-18 17:03 发表
OC调用通信录，是要先注册权限，是要用户授权的。
这个谁能绕开？求案例
原帖由 @qyqgpower 于 2015-9-18 17:06 发表
这个不是什么注入编译器，而是作为一个编译时的插件一起给编译进去了，这是本来就允许的，没多高的技术含量。
牛的是想到在xcode里挂马，而且这挂了马的xcode还有这么多傻逼程序员去下载
原帖由 yang_yii 于 2015-9-18 17:13 发表
posted by wap, platform: MAC OS X
通信录，相机，照片等，都需要用户授权。
但是现在的app随便编一个借口就让用户点同意，或者用户不同意，app主要功能不让用。
原帖由 @beterhans 于 2015-9-17 21:18 发表
第三方下载是傻逼
但是有的人是找出了官方的隐藏地址下的不过没有用浏览器下 而是贴到迅雷里下
结果 迅雷偷梁换柱 下来的是被动了手脚的
原帖由 @wangmax 于 2015-9-18 17:24 发表
没地方写“借口”，授权界面是框架提供，除了app显示名称外，其他都无法定制。
你这个就不属于非法代码了，而是业务层面的恶意获取了。
用ip拍不雅视频，就是这类行为了，但这个和突破SDK，绕过安全机制，不是一个概念。
原帖由 @jun4rui 于 2015-9-18 17:26 发表
其实迅雷只是一个猜测吧？按道理来说下载软件会匹配哈希的吧？不过我用QQ旋风下也被替换过比的，而且是个差别挺大的软件
原帖由 @qyqgpower 于 2015-9-17 21:32 发表
别说hash，这种情况下dmg的大小都应该是不一样的，迅雷连最基本的文件大小都没有匹配就用了自己库里的文件
原帖由 qyqgpower 于 2015-9-18 17:30 发表
posted by wap, platform: SONY Xperia Z2
iOS7的授权接口就可以加入提示信息告诉用户获取权限的理由了，你做iOS开发这么久不知道？
原帖由 532 于 2015-9-18 16:47 发表
先别运行就是了233
原帖由 @qyqgpower 于 2015-9-18 17:30 发表
iOS7的授权接口就可以加入提示信息告诉用户获取权限的理由了，你做iOS开发这么久不知道？
原帖由 小文 于 2015-9-18 18:38 发表
posted by wap, platform: iPhone
还有一个方法就是在弹出系统授权窗口之前先弹出一个窗口，上面写些坑蒙拐骗的话引诱用户点确认
原帖由 wangmax 于 2015-9-18 19:59 发表
AlertView的确认，无法直接调用授权确认，所以没有什么意义。
授权确认是强制用户触发，不能是程序调用，这个机制是绕不过去的。
原帖由 小文 于 2015-9-18 20:11 发表
你没见过那种吗？先app自己弹出一个窗口，说些允许访问通讯录如何如何好，想怎么醒目怎么醒目，然后再去访问通讯录触发授权确认。这样可以大大提高用户点允许的几率。
原帖由 @wangmax 于 2015-9-18 20:59 发表
前面也说了，这些都是业务层面的引导或是诱导，但并没有突破框架约束，也没有绕过安全机制。
现在关注的是非越狱环境，有无突破的可能，暂时没看到成功案例。
原帖由 @wangmax 于 2015-9-18 20:59 发表
前面也说了，这些都是业务层面的引导或是诱导，但并没有突破框架约束，也没有绕过安全机制。
现在关注的是非越狱环境，有无突破的可能，暂时没看到成功案例。
原帖由 @zztg 于 2015-9-18 09:54 发表
喷了，xcode还能从非官方渠道下载啊，不都是app store么。
本帖最后由 zztg 于 2015918 09:56 通过手机版编辑
原帖由 memorywind 于 2015-9-18 21:38 发表
360扫描了TOP1000，出问题的见下表，还有1000以外的，这次估计要团灭了。
12306 4.5
51卡保险箱 5.0.1
Lifesmart 1.0.44
滴滴出行 4.0.0.6-4.0.0.0
滴滴打车 3.9.7.1 - 3.9.7
电话归属地助手 3.6.5
愤怒 ...
原帖由 ninggu2008 于 2015-9-18 21:22 发表
posted by wap, platform: Firefox
我好奇的是苹果的xcode这么容易就被修改了。文件程序签名都没有？微软的VS怎么没人搞？
原帖由 zhang777 于 2015-9-18 21:12 发表
posted by wap, platform: Chrome
你理解的恶意代码和这里的恶意代码是两回事。这里说的就是把被编译的程序中的信息往第三方服务器上传，就算不能获得机器里面其他app的数据，或者全局的数据，只要这段代码能把有程序 ...
原帖由 wangmax 于 2015-9-18 22:42 发表
回看了下帖子，确实是我想错了方向。
被篡改的xcode，等于集成了一个第三方分享的sdk，功能就是把TextField的输入值上传外网，而这也确实算是个合法的ipa。
不过这种就是属于恶意业务逻辑了，app store审核 ...
原帖由 limboking 于 2015-9-18 22:55 发表
app store哪知道你代码里写的什么...
原帖由 @wangmax 于 2015-9-18 23:18 发表
编译器是他们的，反编译什么的都是轻轻松松，但据说他们没空看代码，肯定有自动化手段。
app store审核政策非常严格，合法ipa都是屡屡被卡。
看看他们的政策：
17.4 收集、传输以及分享未成年用户个人信息(比如名字、地址、邮件、位置、照片、视频、绘画、聊天信息以及其他个人数据，或者与以上所述相关的永久性标示符)的应用程序必须遵守应用儿童隐私法规，并且必须包含隐私条款。
17.5 包含账号注册或者访问用户现有账号的应用程序必须包含隐私策略，否则将会被拒绝。
所以想通过alertview的确认，就直接调用上传功能，应该是会被卡的，也不知道国内这些app是怎么混过去的。
XcodeGhost事件的爆出着实让全国的iOS应用开发者和用户吓出一身冷汗，今天凌晨4:40分，该事件的始作俑者以@XcodeGhost-Author的身份在新浪微博贴出致歉声明，称其只是一个实验性项目，并没有任何包含威胁性的行为。并公开了源码，从源码看可信度较高。
| 欢迎光临 TGFC Lifestyle (http://bbs.tgfcer.com/) | Powered by Discuz! 6.0.0 |
