iOS的系统，扫描带有攻击信息的二维码会中招么？

This topic created in 4576 days ago, the information mentioned may be changed or developed.

前两天看到电视上在说有人的支付宝余款被莫名的转走，金额非常大。说是因为被害人通过手机扫描了一个二维码，而这个二维码里面含带了相关的攻击网站信息，使用者在不知情的情况下，手机会访问到该钓鱼网站，自动下载相关的应用程序并安装，同时该软件会拦截所有发送至用户的短信和电话（此时被害人的手机上是不会显示有任何消息或者电话的）并转发至指定的接收人这里。对方就是通过这种办法把支付宝里面的钱给转掉的。
我的问题是，这种办法是不是对安卓系统是有效的（没怎么用过安卓的系统，不确定），但是iOS不受影响？

二维码

iOS

支付宝

15 replies • 1970-01-01 08:00:00 +08:00

neodreamer

Nov 28, 2013 via Android

自动下载应用并安装？

受害人自己乱点的吧。

lichao

Nov 28, 2013

人笨才是主因，别赖手机

mille

Nov 28, 2013

“...自动下载相关的应用程序并安装...”

在未越狱的iOS设备上，这是不成立的。
已越狱的设备不予置评，出来混迟早要还。
Android未root的也应该不会有问题，root绝壁中招。

manhere

Nov 28, 2013

@neodreamer @lichao
android下面确实已经有网页木马了可以自己悄悄安装
黑圈有人用AndroRat搞出来了

iOct

Nov 28, 2013

@neodreamer
@lichao
其实不一定说人笨，毕竟二维码比起显性的网址来说，就更隐蔽了。无法查别
一个我能想象的场景就是：比如某网站搞App推广，只要扫二维码下载了app就送什么什么，但是该网站已经被黑客渗透了，通过在二维码内增加钓鱼网站的方式，就肯定能抓到不少用户.
其实我就想确定，是否未root的安卓系统或者未越狱的iOS系统是不会发生这种被私自安装应用的这种事情的？

GordianZ

Nov 28, 2013

扫二维码肯定不会中毒，傻叉应用（例如微信）自己打开链接才是关键……

ihacku

Nov 28, 2013

@neodreamer Android之前webview爆过漏洞只要访问链接就可以种马

9hills

Nov 28, 2013

@mille root也不会的，浏览器也不申请root权限，安装还是要浏览器自己后台静默安装才行

9hills

Nov 28, 2013

@manhere 给个链接，我试试我的Android能中么

txx

Nov 28, 2013

@iOct 如果是用iOS 企业账号的话倒是有可能扫完了弹出是否安装....

fox

Nov 28, 2013

似乎企业应用是可能的。当然也要你操作。

meta

Nov 28, 2013

这个跟二维码有什么关系？直接给你个链接或者就藏在一张图片后面，你去点了安装难道不是一样的。

a2z

Nov 28, 2013

谁说ios没越狱不可以的，有mobile权限就能干很多事情了……
mobile safari的洞还是不少的，参见今年的pwn2own里面的中国队

liuyi_beta

Nov 28, 2013

@iOct 对于未越狱的iOS设备，是没法安装非官方的app的。这里假设这个二维码是一个App store的连接，扫描后手动打开app store，然后安装该程序（假设该程序是木马程序，而且通过了App store的审核，这种可能性太小了。。。），然后打开程序运行，程序开始干坏事儿，但是首先它必须向你申请各种权限，而且即使这样它能干的事儿也不多，苹果对app的权限管理相当严格。所有楼主的假设就目前的技术手段来说是根本不可能的。
还有一种可能是该app有企业签名，这种情况下可以不通过App store而手动安装，然后这种企业签名的app带有木马和后门的可能性。。。。貌似还是不可能，它同样需要申请权限，而且能干的事儿很少很少。
综上所述，对于未越狱的iOS设备，压根儿不需要担心安全问题，Apple已经做得很好了。

noir

Nov 28, 2013

@GordianZ 为什么我的微信不会自动打开链接？