지퍼다운 취약점을 해결하는 방법

zipperDown 보안 취약점에 대한 공격 조건:

1. 앱은 ZipArchive를 사용합니다

2. 앱에서 발행한 zip 패키지의 전송 프로세스는 암호화되지 않습니다.

3. JSPatch 또는 기타 실행 엔진 및 로컬 스크립트는 암호화되지 않습니다. 스크립트를 지정된 디렉토리에 넣어 실행하면 로컬 스크립트의 적법성이 확인되지 않습니다. 4. 사용자는 네트워크 통신을 위해 신뢰할 수 없는 WIFI 핫스팟에 연결합니다. 이 취약점 개발 작성자 고유의 우회 방법:

1. SSZipArchive 라이브러리를 복구하고 unzipFileAtPath 압축 해제 기능에서 디렉터리 탐색을 유발할 수 있는 "../" 문자열을 차단합니다.

2. 클라이언트가 서버와 통신할 때 HTTPS 보안 전송 프로토콜을 사용하여 앱과 서버 간의 상호 작용 데이터가 HTTPS 프로토콜로 암호화되도록 합니다.

3. 전송 프로세스 중 APP는 교체를 방지하기 위해 클라이언트에서 zip 패키지의 무결성과 적법성을 확인하고 보호합니다.

4. APP에서 로컬 스크립트를 암호화하고 로컬 스크립트의 무결성과 적법성을 확인합니다.

Extension

: 지퍼다운은 새로운 취약점은 아니지만 "매우 고전적인 보안 문제"로, 그 영향은 주로 특정 앱과 해당 앱이 얻는 권한에 따라 달라지며 유사한 취약점인 "파일 디렉터리"도 있습니다. Traversal'은 Android 플랫폼 'Vulnerability'에서도 발견되었습니다.

파일 디렉터리 탐색 취약점에 대해, 취약점의 전제는 다음과 같습니다. 동적 로딩 메커니즘, apk/zip ​​다운로드 등 Android 애플리케이션에서 압축 해제된 파일을 사용하고,

취약점 원인

ZipOutputStream 클래스로 인해 파일 압축 시 파일명에 제한이 없으며, 다운로드한 zip 패키지를 악의적으로 가로채서 수정하는 경우 파일명이 변경될 수 있습니다. Android는 Linux 시스템을 기반으로 하기 때문에 "../../../../data/data/xxx.xxx.x/xxx"라는 이름이 붙었습니다. Linux 시스템에서 ../ 기호는 상위 디렉토리에 있으므로 여기에서 몇 가지 기호를 더 얻을 수 있으므로 Android 시스템으로 돌아가서 현재 애플리케이션의 샌드박스 디렉토리에 들어가서 파일을 작성합니다.

지퍼다운 취약점의 위험

이 취약점을 통해 공격자는 애플리케이션 데이터를 파괴하고, 사용자 개인 데이터를 탈취할 수 있으며, 심지어 임의 코드 실행 능력도 얻을 수 있습니다.

개발자 고유의 우회 방법:

1. ZipEntry 압축을 풀 때 특수 문자가 포함된 파일을 필터링하거나 특수 문자를 포함할 수 없는 로컬 파일 이름으로 압축을 푼다.

2. 클라이언트는 HTTPS 보안 전송 프로토콜을 사용하여 앱과 서버 간의 상호 작용 데이터가 HTTPS 프로토콜로 암호화되었는지 확인합니다.

3. 전송 프로세스 중에 앱에서 다운로드한 zip 패키지 파일을 암호화하고 이를 수행합니다. 클라이언트에서 zip 패키지는 교체되지 않도록 무결성과 합법성을 검증합니다.

Ai 암호화 보안 솔루션

1. Ai 암호화는 앱에 이 취약점이 있는지 여부를 감지하기 위한 평가 계획을 제공합니다. . Ai 암호화 통신 프로토콜 사용 암호화 SDK는 통신 중 데이터를 암호화하고 데이터가 변조되지 않도록 보장합니다.

사용자 보안 솔루션

인증되지 않은 WIFI 핫스팟을 사용하지 말고 적시에 휴대폰에서 앱을 업데이트하세요.

위 내용은 지퍼다운 취약점을 해결하는 방법의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!