# 你的 iMessage 里不仅藏着澳门，还藏着这个危机 - 作者：果壳网 - 发布时间：2019-08-17 12:25 - 分类：软件 - 原文：https://www.ifanr.com/1249115 ![你的iMessage里不仅藏着澳门，还藏着这个危机](https://s3.ifanr.com/wp-content/uploads/2019/08/imported-1249115-1566015235.jpeg "你的iMessage里不仅藏着澳门，还藏着这个危机") [本文](https://mp.weixin.qq.com/s?__biz=MTg1MjI3MzY2MQ==&mid=2651714841&idx=2&sn=9496d0177af9a30b98eaf7b2e471a3c3&chksm=5da1d18b6ad6589d0de159d0e5ef261c5652f17e9b8132719d2768e46d960c545770cecf3c2a&mpshare=1&scene=1&srcid=&sharer_sharetime=1565863040957&sharer_shareid=bed4b55b0250f72ac3ed1c850cc3beed#rd)来自公众号果壳网（ID：Guokr42），作者 Lily Hay Newman，译者巴利思坦，爱范儿经授权发布。 许多人对手机安全隐患的理解还很单纯。我们总觉得，只要不点击可疑链接，不下载钓鱼软件，提高警惕性就万事大吉了。但人生总是防不胜防，哪怕你用的是iPhone也一样：现在不法分子只用给你的iMessage发一条消息，就能黑进你的手机了。 ### 无交互漏洞 上周三在拉斯维加斯的黑帽安全大会(Black Hat Security Conference)上，谷歌公司Project Zero项目研究员纳塔利·西尔瓦诺维奇（Natalie Silvanovich）展示了一系列「无交互（interaction-less）漏洞」。 「无交互漏洞」的可怕之处在于，哪怕你没在手机上进行任何操作，也有被黑的风险。今年5月，WhatsApp就出现过这样一个漏洞，不需用户应答，黑客也可以通过拨打电话入侵他们的手机。 ![你的iMessage里不仅藏着澳门，还藏着这个危机](https://s3.ifanr.com/wp-content/uploads/2019/08/imported-1249115-1566015235.jpeg "你的iMessage里不仅藏着澳门，还藏着这个危机") ▲WhatsApp上已出现过类似漏洞 \| express.co.uk 起初，研究人员纳塔利试图从手机短信、彩信、可视语音信箱中找到类似漏洞，基本上毫无斩获。后来她尝试对iMessage进行分析，没想到一下就搞出了个大发现。 ### 什么都没做就被攻击了？ 纳塔利在iMessage里发现了一系列「无交互漏洞」，不法分子能通过它们远程执行恶意代码，读取用户数据。其中一个漏洞尤为奇特，攻击者发送一条特制的信息给目标用户，iMessage服务器就会发回特定数据，比如用户的短信或是图片等。这种攻击过于强悍，甚至不需要用户打开iMessage就能实现。iOS虽然有防止类似攻击的保护措施，但是由于这个漏洞利用了系统的底层逻辑，能够骗过iOS的层层防护 。 但是iMessage为什么会出现这样的问题呢？这可能是因为它是一个功能过于复杂的平台。它能发表情包、照片和视频，还有第三方 app 接入，连接你手机上大大小小各种应用。这些扩展和关联实际上都增加了被攻击的风险。 ![你的iMessage里不仅藏着澳门，还藏着这个危机](https://s3.ifanr.com/wp-content/uploads/2019/08/imported-1249115-1566015236.jpeg "你的iMessage里不仅藏着澳门，还藏着这个危机") ▲ iMessage的安全风险可能源自其功能的多样性 \| 图虫创意 纳塔利表示，iMessage的整体安全性很强，但这种漏洞属于设计层面的问题。iMessage这样的程序有很多功能，开发者使用的每一个程序库都会成为额外的攻击面（attack surface）。苹果也肯定不是唯一一个出现这类问题的开发者。 ![你的iMessage里不仅藏着澳门，还藏着这个危机](https://s3.ifanr.com/wp-content/uploads/2019/08/imported-1249115-1566015236-1.jpeg "你的iMessage里不仅藏着澳门，还藏着这个危机") ▲ 攻击面：软件环境中可以被未授权用户输入或提取数据，而受到攻击的点位 \| hopzero.com 「这也许是安全领域被人们忽视的一个问题，我们往往更关心加密保护措施的实现，但如果接收端的应用出了问题，加密技术做得再好也无济于事。」纳塔利说。 ### 怎么办？升级保平安！ 一个不经用户操作就能泄漏信息的漏洞，毫无疑问是价值连城的。iOS上的「无交互漏洞」一经发布，就在黑市上备受瞩目。据媒体报道，类似于谷歌此次公布的这些漏洞，每条的价格可能超过100万美元，这些漏洞信息的总价值甚至可能高达1000万美元。 纳塔利指出，这类漏洞几乎是无处不在的。在过去的一年里，她在WhatsApp，FaceTime和视频会议协议webRTC中都发现了类似的问题。 如何才能让自己免受「无交互攻击」的侵扰呢？答案是尽快更新手机操作系统和应用程序。苹果公司在最近发布的iOS 12.4和Mac OS 10.14.6中修复了纳塔利提出的6个iMessage漏洞。除此之外，开发人员也应该在代码中排查这类错误。针对「无交互漏洞」的攻击一旦发生，恶意消息和呼叫会疯狂涌入，用户可是毫无还手之力的。 参考来源: https://www.wired.com/story/imessage-interactionless-hacks-google-project-zero/