2014年移动安全漏洞报告

2014年移动安全漏洞报告

2014年度移动安全漏洞报告首页需要设计一下阿里巴巴移动安全

2014年移动安全漏洞报告

目录

漏洞总体情况

重点行业漏洞解析

log典型漏洞原理 o安卓Fake ID系统漏洞安卓Webview远程代码漏洞 iOS假面攻击

漏洞发展趋势

应用漏洞系统层漏洞漏洞风险分析

金融行业游戏行业网购行业

Webview Android OEM Android和iOS漏洞持续爆发

2014年移动安全漏洞报告

1漏洞总体情况 约86%移动应用有漏洞，均值10个，高风险漏洞占33%。 各行业top5应用平均有25个漏洞，总漏洞量占整体市场漏洞量15%。

应用漏洞

系统漏洞

2014年Android系统漏洞共11个，环比上涨57%。

2014年iOS系统漏洞共109个，环比上涨21%,iOS系统漏洞量高于Android系统890%,iOS也不再安全。

漏洞风险

移动应用漏洞以Webview明文存储为主，占比40%,大多知名应用含该漏洞，若被黑客利用，会影响数亿用户。

数据来源：阿里聚安全监控数据

2014年移动安全漏洞报告

1.1应用漏洞 约86%的安卓移动应用含有漏洞，且以Webview明文存储漏洞为主。 安卓10000个应用共有97,983个漏洞，平均每个应用有10个漏洞。top10000移动应用的漏洞类别和数量Webview明文存储 Webview远程代码执行 38,660

拒绝服务SharedPrefs配置错误 HTTPS未校验证书 Webview未校验HTTPS证书 File模式配置错误调试开关未关闭 file跨域访 Database全局读写文件目录遍历漏洞弱加密控件劫持风险从sdcard加载dex数据来源：阿里聚安全监控数据 732 177 151 54 50 15 1 6,422 5,715 3,074

log 11,880 o 11,542

19,510

Thank You

无线万里来往，有道，必安全

2014年移动安全漏洞报告

1.1应用漏洞 95%的top55应用含漏洞，平均25个，且相对于top10000应用的平均漏洞量高150%,可看出热门应用的安全漏洞不容乐观。 top5应用共有1,359个漏洞，其中34%属于高风险漏洞如Webview远程代码执行。

用户量大的行业如游戏、社交等，虽漏洞量少和高风险占比小，但用户影响大，仍需注意。各行业top5应用的漏洞情况漏洞数350 300 250 200 150 100 50 0阅读类旅游类娱乐类新闻类购物类教育类健康类金融类社交类安全类21.8% 39.2% 307 48.6% 41.3% 30.4% 181 36.2% 175 25.8% 155 150 149 125 21.2% 85 17.1% 70 52 3.8% 38.4%

高风险漏洞比例60.0% 50.0% 40.0% 30.0% 20.0% 10.0% 0.0%

217

游戏类

数据来源：阿里聚安全监控数据

2014年移动安全漏洞报告

1.2系统层漏洞 Android系统漏洞近年居高不下，2014年系统漏洞量环比上涨57%,风险高。 代码执行漏洞占37%,占比最高且风险最大。 多数系统漏洞具有组合型，单一漏洞可能存在多种风险。

近年Android系统漏洞量趋势11机制绕过, 9 8 9%

Android系统漏洞分类

提权, 9% sql注入, 9%溢出, 9%代码执行, 37%

75

1

拒绝服务,

信息泄露, 18%

2009年

2010年

2011年

2012年

2013年

2014年

9%

数

据来源：阿里聚安全监控数据

2014年移动安全漏洞报告

1.2系统层漏洞 iOS系统漏洞近年持续爆发，2014年iOS漏洞量环比上涨21%,iOS也不再安全。 iOS漏洞包括系统和设备(驱动)漏洞，其中设备(驱动)漏洞占比较远超50%。 由于iOS系统安全机制比较复杂，iOS的攻击或者越狱需要多种类型漏洞配合进行。

近年iOS系统漏洞量趋势112 90

iOS系统漏洞分类跨域脚本攻 109任意路径访问, 0%

击, 0%提权, 3%内存破坏, 9%溢出, 13%

信息泄露, 24%

32 27 1 9

37

拒绝服务, 14%代码执行, 15%

机制绕过, 22%

2007年 2008年 2009年 2010年 2011年 2012年 2013年 2014年数据来源：阿里聚安全监控数据

2014年移动安全漏洞报告

1.3应用漏洞 97,983个风险漏洞中，33%属于高危漏洞、67%属于中危漏洞，可见移动应用漏洞问题的严峻性。

移动应用漏洞的风险等级分布低危 0%

高危高危中危 67% 33%中危低危

数据来源：阿里聚安全监控数据

2014年移动安全漏洞报告

2重点行业漏洞解析 金融行业top应用平均含13个漏洞。 金融类应用，Webview明文存储和Webview远程代码执行漏洞最多，分别占33%和27%。

金融行业

游戏行业

游戏行业top应用平均含9个漏洞。

游戏类应用，Webview明文存储和Webview远程代码执行漏洞最多，分别占43%和22%

网购行业

网购行业top应用平均含22个漏洞，远超于金融和游戏。 游戏类应用，Webview明文存储和拒绝服务漏洞最多，分别占36%和19%

数据来源：阿里聚安全监控数据

2014年移动安全漏洞报告

2.1金融行业漏洞解析金融行业top应用，平均每个含13个漏洞。其中33%是Webview明文存储漏洞，可导致用户账号密码泄露；27%是Webview远程代码执行漏洞，可导致用户手机被远程控制、隐私泄露等风险。金融行业top应用的漏洞分布File模式配置错误 1%调试开关未关闭 1% Webview明文存储 33%

SharedPrefs配置错误 7% Webview未校验 HTTPS证书

9%拒绝服务 10%

HTTPS未校验证书 12% Webview远程代码执行 27%

数据来源：阿里聚安全监控数据

2014年移动安全漏洞报告

2.2游戏行业漏洞解析游戏行业top应用，平均每个含9个漏洞。其中43%是Webview明文存储漏洞，可导致用户账号密码泄露；22%是Webview远程代码执行漏洞，可导致用户手机被远程控制、隐私泄露等风险。游戏行业top应用的漏洞分布File模式配置错误 Webview未校验 3%调试开关未关闭 HTTPS证书 4% HTTPS未校验证书 5% SharedPrefs配置错误 10% Webview明文存储 43% 1%

拒绝服务 12%

Webview远程代码执行 22%

数据来源：阿里聚安全监控数据

2014年移动安全漏洞报告

2.3网购行业漏洞解析网购行业top应用，平均每个含22个漏洞。其中36%是Webview明文存储漏洞，可导致用户账号密码泄露；19%是拒绝服务漏洞，可导致特定恶意数据被写入组件导致应用崩溃，造成拒绝服务，影响应

用开发者和用户体验。购物行业各类别漏洞占比File模式配置错误 SharedPrefs配置错[类别名称]问 1%[百分比]误 6% Webview未校验 HTTPS证书 10% HTTPS未校验证书 13% Webview明文存储 36%调试开关未关闭 1%

Webview远程代码执行 13%拒绝服务 19%

数据来源：阿里聚安全监控数据

2014年移动安全漏洞报告

3典型漏洞案例

安卓 Fake ID

安卓2.1至4.4均存在该漏洞，设备最高权限可被利用。

恶意应用植入到安卓手机的“受信任凭据”中，利用Fake ID漏洞影响用户。

安卓 Web view

安卓3.0至4.1均存在该漏洞，谷歌眼镜、小米手机也被爆出含有此漏洞，可远程控制手机，获取用户隐私。

iOS假面攻击

iphone信任此电脑，容易导致恶意应用安装，获取用户隐私信息。

2014年移动安全漏洞报告

3.1安卓Fake ID漏洞

Android 2.1-4.4的最高权限可能被利用。

Android手机“设置-安全”处“受信任 …… 此处隐藏：2377字，全部文档内容请下载后查看。喜欢就下载吧 ……