[论文解读] Indirect File Leaks in Mobile Applications.

Daoyuan Wu, Rocky K. C. Chang|arXiv (Cornell University)|Oct 31, 2015

Advanced Malware Detection Techniques参考文献 30被引用 17

一句话总结

本文揭示了间接文件泄漏（IFL）攻击，此类攻击通过利用Evernote和QQ等流行应用中的浏览器接口、命令解释器和嵌入式服务器等可信组件，绕过移动应用沙盒机制。攻击可在Android和iOS上远程实施，无需在受害者设备上安装恶意应用，对聊天记录和浏览历史等敏感数据构成严重隐私威胁。

ABSTRACT

Today, much of our sensitive information is stored inside mobile applications (apps), such as the browsing histories and chatting logs. To safeguard these privacy files, modern mobile systems, notably Android and iOS, use sandboxes to isolate apps’ file zones from one another. However, we show in this paper that these private files can still be leaked by indirectly exploiting components that are trusted by the victim apps. In particular, we devise new indirect file leak (IFL) attacks that exploit browser interfaces, command interpreters, and embedded app servers to leak data from very popular apps, such as Evernote and QQ. Unlike the previous attacks, we demonstrate that these IFLs can affect both Android and iOS. Moreover, our IFL methods allow an adversary to launch the attacks remotely, without implanting malicious apps in victim’s smartphones. We finally compare the impacts of four different types of IFL attacks on Android and iOS, and propose several mitigation methods.

研究动机与目标

• 调查尽管有沙盒保护机制，移动应用中的敏感隐私文件如何仍可能被泄露。
• 识别可被滥用以实现间接数据外泄的可信系统组件，如浏览器接口和嵌入式服务器。
• 证明此类攻击在Android和iOS平台上的可行性。
• 评估这些攻击的远程性与非持久性特征，即无需在受害者设备上安装恶意应用。
• 提出缓解策略以应对这些新型攻击向量。

提出的方法

• 通过精心构造的网页内容，利用应用中的浏览器接口访问并外泄私有文件。
• 利用应用内部的命令解释器执行命令，通过非预期的数据通道泄露文件内容。
• 利用嵌入式应用服务器，通过网络访问点暴露私有文件。
• 设计远程攻击链，触发文件泄露，而无需在受害者设备上获得持久访问或安装应用。
• 分析不同应用组件的攻击面，识别Android和iOS平台上的常见攻击向量。
• 比较四种IFL攻击类型在Android和iOS上的有效性，以评估平台特定风险。

实验结果

研究问题

• RQ1 移动应用中的可信组件是否可被滥用，以在不违反沙盒机制的前提下间接泄露私有文件？
• RQ2 间接文件泄漏攻击在Android和iOS平台上的可行性与影响有何差异？
• RQ3 此类攻击在多大程度上可远程实施，且无需在受害者设备上安装恶意软件？
• RQ4 浏览器接口、命令解释器、嵌入式服务器等应用组件中，哪类最易受到间接文件泄露的威胁？
• RQ5 在现实世界移动应用中，四种不同IFL攻击向量的相对优势与劣势是什么？

主要发现

• 间接文件泄漏可成功从Evernote和QQ等流行应用中外泄聊天记录和浏览历史等敏感数据。
• 攻击在Android和iOS上均有效，证明了其跨平台可行性。
• 无需在受害者设备上安装任何恶意应用，即可实现远程利用。
• 浏览器接口和嵌入式应用服务器被发现是特别脆弱的攻击向量。
• 应用中的命令解释器可被滥用，执行非预期的文件访问操作。
• 研究发现，当可信组件被攻破时，现有沙盒机制不足以防止数据泄露。