峰會預告 |是誰推開我的“窗”：iOS App介面安全分析

Editor發表於2019-07-18
原文網址 : https://zhuanlan.kanxue.com/article-8944.htm
iOSAPP


對於廣大的開發者而言，WebView和URL Scheme並不陌生。WebView一直以來都是iOS的核心元件，而URL Scheme是iOS APP重要的介面之一。


峰會預告 |是誰推開我的“窗”：iOS App介面安全分析


目前，移動客戶端業務需求及開發模式變更越來越多采用WebView渲染頁面，不僅開發成本低，而且易維護。


但缺點也十分明顯，主要體現在WebView可以實現的功能十分有限，絕大多數系統API無法直接呼叫，開發者為了增加WebView功能，不得不新增多個 js 與 Native 程式碼互動介面，系統 API 仍由 Native 程式碼進行呼叫；通過這些介面訪問那些Js無法訪問的資源，比如攝像頭、檔案系統和NFC等等。


峰會預告 |是誰推開我的“窗”：iOS App介面安全分析


隨著功能增加，需要更多應用間的通訊和呼叫，開發者會註冊一個到多個URL Scheme以保證程式間的通訊及相互跳轉，與此同時程式也增加更多的外部可訪問介面。安全隱患隨之接踵而來。


在通過審計大量移動iOS APP後，張一峰先生髮現由於URL Scheme和JSBridge介面設計不當，會導致如遠端Cookie竊取，程式碼執行、遠端沙箱任意檔案上傳等漏洞。


而且由於目前介面安全性研究較少，已有的研究也主要集中在Android系統，忽略了iOS 應用的安全性。

來自長亭科技的安全研究員張一峰先生將在本次2019 SDC峰會上，首次披露 iOS APP URL Scheme和JSBridge介面導致的安全漏洞，並在議題中會詳細介紹漏洞成因和防禦。


嘉賓簡介


峰會預告 |是誰推開我的“窗”：iOS App介面安全分析

 
張一峰 北京長亭科技移動安全負責人，負責移動APP安全審計、原始碼審計等漏洞挖掘工作。全球網際網路技術大會網路安全專場演講嘉賓 2018華為終端安全獎勵計劃大會圓桌會議嘉賓 2018 DEFCON Demo Labs speaker。






鑽石贊助

峰會預告 |是誰推開我的“窗”：iOS App介面安全分析峰會預告 |是誰推開我的“窗”：iOS App介面安全分析


黃金贊助

峰會預告 |是誰推開我的“窗”：iOS App介面安全分析峰會預告 |是誰推開我的“窗”：iOS App介面安全分析峰會預告 |是誰推開我的“窗”：iOS App介面安全分析峰會預告 |是誰推開我的“窗”：iOS App介面安全分析峰會預告 |是誰推開我的“窗”：iOS App介面安全分析


武漢科銳，助力2019 第三屆看雪安全開發者峰會，引航創新！

豹趣科技，助力2019 第三屆看雪安全開發者峰會，引航創新！



贊助

合作

聯絡我們：

13611684418（同微信）



峰會預告 |是誰推開我的“窗”：iOS App介面安全分析


相關文章