ZipperDown漏洞分析與修復(fù)建議是怎樣的

本篇文章給大家分享的是有關(guān)ZipperDown漏洞分析與修復(fù)建議是怎樣的，小編覺得挺實(shí)用的，因此分享給大家學(xué)習(xí)，希望大家閱讀完這篇文章后可以有所收獲，話不多說，跟著小編一起來看看吧。

那如何防止ZipperDown漏洞帶來的破壞呢？網(wǎng)易云易盾安全專家結(jié)合目前披露的信息以及自己的分析，給出了如下分析和建議：

漏洞原理

ZipperDown漏洞并非iOS平臺(tái)自身問題，而是與Zip文件解壓有關(guān)。iOS平臺(tái)沒有提供官方的unzipAPI函數(shù)，而是引用了第三方庫(kù)來實(shí)現(xiàn)解壓功能，由于現(xiàn)有的iOS App基本上采用SSZipArchive或Ziparchive來實(shí)現(xiàn)解壓，因此漏洞是來自使用第三方Zip庫(kù)解壓Zip文件的過程中沒有對(duì)Zip內(nèi)文件名做校驗(yàn)導(dǎo)致的。如果文件名中含有“../”則可以實(shí)現(xiàn)目錄的上一級(jí)跳轉(zhuǎn)，從而實(shí)現(xiàn)應(yīng)用內(nèi)任意目錄的跳轉(zhuǎn)，進(jìn)一步可以實(shí)現(xiàn)文件覆蓋，如果把App的hotpatch文件覆蓋替換了，可以達(dá)到執(zhí)行黑客指定指令，從而按照黑客的意圖實(shí)現(xiàn)任意應(yīng)用內(nèi)攻擊。

這個(gè)漏洞不禁讓易盾聯(lián)想到不久前Android平臺(tái)上的unZip解壓文件漏洞，和這個(gè)漏洞幾乎是完全一樣，只是平臺(tái)和第三方解壓庫(kù)不同而已。Android平臺(tái)上的被稱為unZip解壓文件漏洞，網(wǎng)易云易盾安全檢測(cè)平臺(tái)已經(jīng)可以實(shí)現(xiàn)掃描檢測(cè)。

修復(fù)建議

開發(fā)中在使用第三方解壓庫(kù)對(duì)Zip文件解壓過程中，要對(duì)Zip內(nèi)部文件名進(jìn)行“../”過濾，另外存放關(guān)鍵數(shù)據(jù)的文件如Hotpatch記得進(jìn)行加密、合法性和完整性校驗(yàn)，使用HTTPS安全傳輸協(xié)議通信等，也可以購(gòu)買易盾的通信協(xié)議加密SDK，做到最大程度的防范。

本漏洞的修復(fù)可以參考Android平臺(tái)的unZip解壓文件漏洞修復(fù)方案進(jìn)行修復(fù)，下面是Android平臺(tái)的修復(fù)方案：

攻擊條件：

1. 使用了第三方解壓庫(kù)。

2. Zip包在解壓時(shí)沒有做完整性校驗(yàn)。

3. APP使用了JSPatch或其他執(zhí)行引擎，且本地腳本沒有加密，只要把腳本放指定目錄即可執(zhí)行 ，本地腳本未做合法性校驗(yàn)。

4. 連接不可靠的WIFI熱點(diǎn)進(jìn)行通信。

以上就是ZipperDown漏洞分析與修復(fù)建議是怎樣的，小編相信有部分知識(shí)點(diǎn)可能是我們?nèi)粘９ぷ鲿?huì)見到或用到的。希望你能通過這篇文章學(xué)到更多知識(shí)。更多詳情敬請(qǐng)關(guān)注億速云行業(yè)資訊頻道。