拿好你们的iPhone,听我讲故事

首先，先来看 以下这个文章 ，文章于2021年9月24号 早上发布的。该文章讲诉了 IOS 的三个0day 的披露问题。

该问题存在多久了，你可知道？

一是：Nehelper Enumerate Installed Apps 0-day

该漏洞允许任何用户安装的应用程序根据捆绑 ID 确定设备上是否安装了任何应用程序。

画外音：看红色的字体，细品

二是：Gamed 0-day

从 App Store 安装的任何应用程序都可以在没有用户提示的情况下访问以下数据：

Apple ID 电子邮件和与之关联的全名
Apple ID 身份验证令牌，允许代表用户访问 *.apple.com 上的至少一个端点
完整的文件系统读取访问 Core Duet 数据库（包含来自 Mail、SMS、iMessage、第 3 方消息传递应用程序的联系人列表和有关所有用户与这些联系人交互的元数据（包括时间戳和统计数据），还有一些附件（如 URL）和文本）
对快速拨号数据库和地址簿数据库的完整文件系统读取访问权限，包括联系人图片和其他元数据，如创建和修改日期（我刚刚在 iOS 15 上检查过，这个无法访问，所以最近肯定已经悄悄修复了）

在Apple 安全赏金计划页面上，此漏洞的评估价为 100,000 美元（对通常受 TCC 提示或平台沙箱保护的敏感数据的广泛应用访问权限。“敏感数据”访问权限包括从联系人获得广泛访问权限（即完整数据库））。

对应的赏金页面是：

https://developer.apple.com/security-bounty/payouts/

画外音：看红色的字体，细品

三是：Nehelper Wifi Info 0-day

XPC 端点com.apple.nehelper接受用户提供的参数sdk-version，如果其值小于或等于 524288，com.apple.developer.networking.wifi-info则跳过权利检查。这使得任何符合条件的应用程序（例如，提供位置访问授权）都可以在没有所需权限的情况下访问 Wifi 信息。

画外音：看红色的字体，细品

没看懂上面的分析？

那就来看看这个

设置 -> 隐私 -> 分析和改进 -> 分析数据

分析数据中可能会存在你的以下隐私

医疗信息（心率、检测到的房颤和心律不齐事件的计数）
月经周期长度、生理性别和年龄、用户是否记录性活动、宫颈粘液质量等。
设备使用信息（不同上下文中的设备拾取、推送通知计数和用户操作等）
具有各自捆绑 ID 的所有应用程序的屏幕时间信息和会话计数
有关设备配件及其制造商、型号、固件版本和用户指定名称的信息
应用程序因包 ID 和异常代码而崩溃
用户在 Safari 中查看的网页语言

再来看刚才的图片中细小的字说明

医疗信息能改善产品？

屏幕的使用时长能改善产品？

再来看下它的协议

Apple 收集了你的所有个人隐私，

你细品，再品。

即使在设置中关闭了“共享分析”，

所有这些数据也会被收集并可供攻击者使用。

看下之前的事件，监听完。事后就说不敢了。你知道它听了多少年？

弱弱的问一句：

“你们在开会的时候，苹果手机在旁边吗？”

举个直观一点的两个案例：

你最近跟朋友、同事，谈论买车细节的时候，你最常用的APP其中一定会有卖车的广告。

你经常在各种输入法、或者页面访问的时候看房子，然后****你最常用的APP其中一定会有卖房子、租房子的广告。

你们可以看下你们自己的这里面

哪些APP在使用了你的Apple 敏感信息访问的权限

请问

有多少人会去细看这个权限管理？

接下来

我在Apple 某自带的程序中抓到了这个

它可没在权限的管理中

图一是出现了我的坐标详细经纬度

图二是我的住所所在的区域

按里面的经纬度定位看下

好了，故事讲完

该睡觉了

你睡的着吗？

洛米唯熊

拿好你们的iPhone,听我讲故事相关推荐

郑州财经学院第54次全国计算机,听爷爷讲故事
我小时候最开心的事情就是坐在爷爷身旁听他讲故事,我觉得爷爷讲的故事像有巨大的魔力一样,我总是听不够.爷爷讲的全是我意想不到的真实故事. 每到星期天回家爷爷就会问我:"你现在上课用毛笔吗?&q ...
成功运营一款 iPhone 应用的六项法则
成功运营一款 iPhone 应用的六项法则 2010-10-22 16:30 0评论阅读数:2134 单独窗口打印放大字号缩小字号昨天下午,Tapulous 联合创始人 CEO Bart Decr ...
征稿 | 听你聊科研，轻松赚稿费！
漫漫枯燥科研路,我愿听你讲故事我们深知科研路上的孤独实验数据的枯燥昼夜不分的无奈虽无法替你承担但愿能做你的情感倾诉地今天,AEIC学者原创征稿再度来袭只为给广大学者提供一个交流的平台与 ...
iPhone 11 Pro 的拍照好在哪？这是专业摄影师给出的答案
来源 | AppSo(ID:AppSo) 作者 | 肖钦鹏相机,无疑是新一代 iPhone 的最大卖点,在之前的 iPhone 11 和 iPhone 11 Pro 评测中,我曾这样评价: 我们以 ...
python怎么认识_用“讲故事”的方式，带你认识Python编码问题的起源和发展！
问题起源我们在学习Python的过程中,可能会经常遇到下方这样的编码问题.有时候我们需要选择gbk,有时候需要选择utf-8.你以为这样就完了吗?我们碰到的还有gb2312,gb18030等各种奇奇 ...
美图手机显示无服务器,iPhone的这些隐秘功能，资深果粉都未必知道
原标题:iPhone的这些隐秘功能,资深果粉都未必知道 iOS操作系统以封闭化的生态而出名,但很多人认为相比安卓系统来说,它的可玩性不高,但老果粉或许都知道,iOS系统也有很多隐藏的小技巧.是时候让你 ...
【转】iPhone QQmusic设计实录
1. 写在前面经过android QQmusic的洗礼后,我们将战场转到了iOS平台,这是一个更加封闭.竞争更加激烈.要求更为严格的战场.国际版图上,spodify.last.fm.pandora已 ...
visual MySQL 教程_MySql轻松入门系列——第二站使用visual studio 对mysql进行源码级调试...
一:背景 1. 讲故事上一篇说了mysql的架构图,很多同学反馈说不过瘾,毕竟还是听我讲故事,那这篇就来说一说怎么利用visual studio 对 mysql进行源码级调试,毕竟源码面前,不谈隐私 ...
对大龄程序员的五大误解
最近我过了40岁生日. 一个朋友开玩笑的对我说:嘿,我想这个意味着你已经老的不适合再去编程了吧!,我表面上哈哈一笑,但心里却触动不少. 年龄歧视在我们这行里并不可笑. 就像今天用Java的兄弟沦落到这 ...

拿好你们的iPhone,听我讲故事

拿好你们的iPhone,听我讲故事相关推荐

最新文章

热门文章