精华内容
下载资源
问答
  • 转载:... 近年来,手机病毒层出不穷,隐私数据丢失、虚拟财产被窃等事件频频爆发,手机用户正遭受着越来越严重的安全威胁。在这背后,则是以牟利为目标的病毒制造者们,以

    转载:http://www.netqin.com/security/securityinfo.jsp?id=3012&type=2

    重点手机安全事件盘点

    时间:2010-08-10

    随着智能手机的普及和无线互联网技术的飞速发展,人们的生活、工作几乎已经离不开手机了。手机为我们带来了无数的便利,然而,随之而来的,也有更多的安全威胁。

    近年来,手机病毒层出不穷,隐私数据丢失、虚拟财产被窃等事件频频爆发,手机用户正遭受着越来越严重的安全威胁。在这背后,则是以牟利为目标的病毒制造者们,以及盯上手机独有私密性的不法之徒们,手机黑色产业链已经逐渐形成,而以网秦为首的手机安全厂商也在不断提升自身的安全技术,这黑白之间的博弈永远魔高一尺,道高一丈。

    手机病毒:无线互联网的黑色阴影

    2010年1月 “钓鱼王”:直指用户银行账号

    1月11日,网秦全球手机安全中心截获一款名叫InSpirit.A的“钓鱼王”手机病毒,该病毒被打包在一些正常手机游戏软件中,在某些论坛进行传播。用户被诱骗安装后,病毒会生成一条本地诈骗短信,让用户误认为收到银行系统通知短信,短信内容如:“尊敬的客户,招商银行提醒您:您的账号今天有5次密码输入错误,为避免您的资金受损,请速登录http://cmb****.com进行账号保护……”短信看上去像模像样,甚至生成的发送号码就是银行号码,极具欺骗性,但这是一款典型的钓鱼式账号窃取病毒,将诱骗用户到非法钓鱼网站,窃取用户的银行卡账号及密码,从而造成用户严重的经济损失!

    2010年2月  “手机骷髅”:感染超过十万智能手机

    2010年2月9日,网秦全球手机安全中心截获了一款恶性手机病毒,并将其命名为LanPackage。该病毒主要针对S60 3版操作系统的智能手机,伪装成普通应用软件“系统中文语言包”诱骗用户下载安装,中毒的手机会不停的自动联网,并以“章子怡的全部私房短信,尽在:http://xxxxx”等社会热点内容不断向外发送彩信,极大的消耗用户资费,更诱使接收到内容的用户点击恶意链接,进行进一步的传播。该病毒不仅大量消耗用户资费和流量,且还具有破坏系统管理程序的作用,是一款极具危害和传播性的手机病毒。

    仅一个多月时间,此病毒就感染了超过十万智能手机,造成直接经济损失超过2000万元,如此大规模的传播和危害引起了包括运营商、手机安全厂商和媒体等在内社会各界的关注。

    2010年3月  “短信海盗”:话费、隐私都难逃

    3月份,网秦全球手机安全中心截获了一个名叫“短信海盗”的病毒,经分析,它就是之前吸光无数手机用户话费的“手机骷髅”的新变种。“短信海盗”和“手机骷髅”一样,会自动发送彩信,但比“手机骷髅”更为恶劣的是它是将机主收件箱的内容发送给其他机友,既造成用户大量的资费损失,又导致严重的隐私泄露。而且其以受害者隐私来诱骗更多用户点击带毒链接,更是达到了大规模传播的效果。

    该病毒出现后,网秦求助中心接到大量用户的举报,保守估计,已有数万智能手机被感染,为大量用户带来了资费和隐私的双重损失。此病毒作为一个变种,仅仅一个多月的时间就出现,并且其功能极大提升,可见手机病毒发展已经进入了“成熟期”。

    2010年4月  “同花顺大盗”:手机金融账号成为黑客目标

    网秦全球手机安全中心截获了FLStealer手机病毒,并将其命名为“同花顺大盗”,这个病毒主要针对手机著名炒股软件“同花顺”的用户。只要中毒后,用户在登录同花顺软件时,其账户密码会通过短信被转发到某手机号上,造成账号丢失。

    随着移动互联网的急速发展,手机支付、手机炒股等金融类应用不断增多,在给用户带来便利的同时,也让不法黑客看到了“商机”。盗号木马、钓鱼病毒层出不穷,为手机金融应用蒙上了一层阴影。

    2010年5月  “老千大富翁”:暗设机关偷流量

    5月,网秦全球手机安全中心截获了“FC.Portal.A”,并将其命名为“老千大富翁”。该病毒伪装成游戏软件“大富翁”诱骗机友下载安装,中毒后手机每次开机都会自己启动,除了频繁自动联网消耗用户流量外,其还会盗取用户的IMEI号等隐私,并让用户无法正常卸载。

    手机游戏在为人们带来休闲娱乐的同时,也为手机病毒的传播提供了一个重要“渠道”。有越来越多的手机病毒捆绑或伪装成游戏软件,让用户防不胜防。

    2010年6月 “QQ盗号手”:手机账号保护势在必行

    6月,网秦全球手机安全中心截获了一个名叫“QQ盗号手”的病毒,该病毒以“QQ花园助理”、“刷Q币工具”之名诱骗机友下载,中毒后的手机会出现QQ登陆框,诱使手机用户输入QQ账号和密码,此时QQ盗号手会将账号和密码发到某特定手机号上,导致账号和密码丢失。

    QQ和手机已经成为大多数人们日常生活中不可或缺的一部分,黑客阵营也逐步从电脑转移到手机,黑客盗号行为不仅威胁到隐私安全,也威胁到财产安全。由此可见,手机上的账号保护已经成为非常必要的安全需求了。

    2010年7月  “安卓短信卧底”:Android手机首个病毒现身

    7月,网秦全球手机安全中心截获了一个名叫SW.Spyware.A的手机病毒,并将其命名为“安卓短信卧底”。这是首款出现在Android手机中的病毒,它能偷偷窃取手机中的短信内容,造成用户隐私严重泄露。而可怕的是,短期内,网秦又截获了它的变种SW.Spyware.B,这个变种不但能窃取短信,还能监控用户的通话记录!此类病毒的出现,可见Android作为逐渐主流的智能手机平台,已经被黑客盯上,且病毒变种如此迅速,不得不引起关注。

    “安卓短信卧底”病毒的出现,印证了 Android作为日渐主流的智能手机平台,已成为黑客攻击的对象。Android手机最大优势在于它完全开放的平台和五花八门的应用。该病毒恰恰伪装成一款计算交税金额的计算器来诱骗用户安装。

    手机隐私:手机引来各种“门”

    近年来,各种因为手机丢失、手机隐私泄露导致的“门”事件层出不穷,当事人有声名显赫的明星、名人,也有寻常百姓。手机在成为人们通讯、娱乐、金融等一系列生活应用载体的同时,也成为了随时会丢失的“秘密篓子”和随身携带的“手雷”。

    张柏芝遭遇过一次手机泄密事件。问题就出在她随手扔掉了自己的SIM卡。她自己介绍,香港有杂志记者去翻她家的垃圾桶,里面有一张SIM卡,然后“理所当然”地被人“看过”,杂志也据此编了许多花边故事,令张柏芝很生气。也由于这个遭遇,张柏芝参与主演了《第六百零一个电话》。

    相似的情况还有金巧巧,她的手机丢失后,被拾到的男子以匿名邮件曝光了金巧巧手机内存有的富商约饭局的短信,给她带来了极大的名誉影响。更有林志玲因为修手机而导致手机自拍照在网上流传,直接曝光了与言承旭的恋情。而王学兵深陷“手机门”相信大家也并不陌生,2008年一名网友自称捡到了一部属于演员王学兵的手机,手机内存有王学兵与国内另外一位女演员之间大量的秘密照片和肉麻短信,一时间关于两人的绯闻铺天盖地。

    除了明星以外,普通人丢失手机造成的后果也相当严重。工行女一词近期引来上百万的网络搜索量,原因就在于其男友手机遗失,手机里存的限制级视频被人曝光。再到“短信门”爆发,某小学副校长“善吃窝边草”的帖子在网上出现,立刻引起轩然大波,帖子曝光了该名副校长“遗失”的两部手机中的几千条短信……

    随着各种“门”事件的频发,越来越多的个人隐私被裸露在公众眼前,手机信息安全提上日常防护议程。不仅公众人物们人人自危,寻常百姓也开始认识到信息安全的重要性。仅网秦求助中心每周就能接到超过1500起关于丢失手机后数据找回或销毁的用户求助。

    马上拥有网秦手机杀毒(点击下载),保护手机安全。

    手机界重大安全事件报道

    【手机界重大安全事件报道 第6期】Android手机里的黑色007:安卓短信卧底

    【手机界重大安全事件报道 第5期】手机QQ盗号攻防战:绝杀QQ盗号手

    【手机界重大安全事件报道 第4期】老千大富翁 暗设机关偷流量

    【手机界重大安全事件报道 第3期】同花顺大盗 专盗炒股账号

    【手机界重大安全事件报道 第2期】手机骷髅变海盗,话费隐私都难逃

    【手机界重大安全事件报道 第1期】手机骷髅 打劫话费没商量

    更多手机安全资讯>>>

    展开全文
  • 所以我有理由相信这是在设置中进行对 “安全中心”这款App “权限管理" 页面的跳转,于是我遍历了下手机中所有的App的应用信息,发现“安全中心”的包名为:“ com.qihoo360.mobilesafe ”, 接着我用下面的方法找到...

    在处理SDK开发过程中遇到如下问题,在MIUI中,涉及浮窗的APP 需要在对应的软件设置页面打开 浮窗权限 才能正常使用APPMIUI的权限设置入口就在应用管理页面,可以通过如下的代码跳转至该入口:
    private IntentgetAppDetailSettingIntent(Context context) {
    Intent localIntent = new Intent();
    localIntent.addFlags(Intent.FLAG_ACTIVITY_NEW_TASK);
    if (Build.VERSION.SDK_INT >= 9) {
    localIntent.setAction("android.settings.APPLICATION_DETAILS_SETTINGS");
    localIntent.setData(Uri.fromParts("package", getPackageName(),null));
    } else if (Build.VERSION.SDK_INT <= 8) {
    localIntent.setAction(Intent.ACTION_VIEW);
    localIntent.setClassName("com.android.settings","com.android.settings.InstalledAppDetails");
    localIntent.putExtra("com.android.settings.ApplicationPkgName", getPackageName());
    }
    return localIntent;
    }


    但是在奇酷360手机中,这段代码确实可以跳转至“应用管理”页面,但是应用管理页面中的 权限管理的入口是 置灰的,无法点击。:
    而且Android自带的任何Action 都不发正确跳转至“权限”的页面。
    研究了下,这款手机权限管理的正确进入方式为:(操作流程为:设置-->应用权限管理-->权限管理-->按软件查看)
    我玩了下手机,发现手机中有一款内置的App ,名为“安全中心”, 这款App打开后,有个入口也叫权限管理,进去后,如图所示:
    操作流程为:
    安全中心-->权限管理-->按软件查看
    随意点击一个App后进入到真正的“权限管理”页面:
    并且我发现一个现象:
    1.  从设置进去的权限管理页面 在跳转的时候有明显的卡顿,在同款App内部进行跳转的时候,除非在onCreate 、onPostCreate、onStar等生命周期涉及到的方法中进行耗时操作,才有可能导致Activity 启动卡顿
    2.  但是从“安全中心” App进去权限管理的页面,却不会卡顿
    所以我有理由相信这是在设置中进行对 “安全中心”这款App “权限管理" 页面的跳转,于是我遍历了下手机中所有的App的应用信息,发现“安全中心”的包名为:“com.qihoo360.mobilesafe”,
    接着我用下面的方法找到这款App的入口Activity 的ClassName 为:“com.qihoo360.mobilesafe.ui.index.AppEnterActivity
    Intent resolveIntent = new Intent();
    resolveIntent.addCategory(Intent.CATEGORY_DEFAULT);
    resolveIntent.setPackage(pi.packageName);
    
    List<ResolveInfo> apps = getPackageManager().queryIntentActivities(resolveIntent,0);
    
    ResolveInfo ri = apps.iterator().next();
    
    for (int i = 0; i < apps.size(); i++) {
    ResolveInfo ri = apps.get(i);
    System.out.println("packageName:" + ri.activityInfo.packageName +" className: " + ri.activityInfo.name);
    }
    /**
    下面的代码可以跳转至这个APP的入口Activity
    if (ri != null ) {
    String packageName = ri.activityInfo.packageName;
    String className = ri.activityInfo.name;
    
    Intent intent = new Intent(Intent.ACTION_MAIN);
    intent.addCategory(Intent.CATEGORY_LAUNCHER);
    
    ComponentName cn = new ComponentName(packageName, className);
    
    intent.setComponent(cn);
    startActivity(intent);
    }
    
    如果只是想跳转至这个APP的入口Activity,可以更简单:
    Intent intent = new Intent();
    intent.addFlags(Intent.FLAG_ACTIVITY_NEW_TASK);
    intent = getPackageManager().getLaunchIntentForPackage("com.qihoo360.mobilesafe");
    startActivity(intent);
    
    */


    但只是找到入口远远不够,我需要找到“权限管理”页面,于是我通过下面的Adb命令找到了"权限管理"页面所在的Activity的ClassName为: “com.qihoo360.mobilesafe.loader.a.ActivityN1NR0
    1.logcat
    .清除logcat内容,使用命令adblogcat -c
    .启动logcat,使用命令adblogcat ActivityManager:I *:s
    .启动要查看的程序,


    2.dumpsys
    (1)启动要查看的程序;
    (2)命令行输入:adb shell dumpsys windoww |findstr \/ |findstr name=
    做完上述操作的第一步之后,点击“安全中心” ,进入到这个App,一步步点击到“权限管理”页面。操作流程为: 安全中心App-->权限管理-->按软件查看.


    做到这里, 我希望跳转至这个Activity:ActivityN1NR0,我想反编译这个“安全中心”App的代码看看跳转的代码,所以我想root后去/system目录下找这个app的 apk包。
    我尝试root :失败。 使用root工具: 失败。
    我换了种方式,直接通过文件流把这个APP的apk包复制出来也行啊,如下所示:
    try {
    ApplicationInfo appInfo =getPackageManager().getApplicationInfo("com.qihoo360.mobilesafe", 0);
    String apkPath = appInfo.sourceDir;
    if (TextUtils.isEmpty(apkPath)) {
    return;
    }
    FileInputStream fileInputStream = new FileInputStream(apkPath);
    File cacheFile = new File(Environment.getExternalStorageDirectory().toString()+ File.separator + "360safe.apk");
    if(!cacheFile.exists()) {
    cacheFile.createNewFile();
    }
    
    BufferedOutputStream bos = null;
    bos = new BufferedOutputStream(new FileOutputStream(cacheFile));
    
    byte[] buf = new byte[1024];
    int len = 0;
    while ((len = fileInputStream.read(buf)) > 0) {
    bos.write(buf, 0, len);
    }
    
    fileInputStream.close();
    bos.close();
    } catch (Exception e) {
    e.printStackTrace();
    }


    复制成功,但是悲剧了,我zip解压后,发现没有classes.dex 文件,都在assect中,如图所示:
    AndroidMnifest.xml中找到了Activity:ActivityN1NR0
    至此,是我全部的过程,还是没有找到跳转至权限管理页面的 方法。

    后续寻找方法中!!!

    360论坛发帖地址:点击打开链接

    奇酷社区发帖地址:点击打开链接

    后续:

    经后续检测,360权限管理还是可以通过Activity跳转完成,只是还是不知道   需要传递的host等数据格式

    展开全文
  • 移动支付时代的手机和app安全设置

    千次阅读 2016-07-25 15:34:53
    进入移动互联网时代,移动支付已被大多数都市上班族所接受,逛个超市... 然而,移动支付给人民带来方便之外,同样也带来一些安全隐患,假设手机丢失了,在手机本身以及 某些 app 没有做好安全设置的情况下,坏人通过

           进入移动互联网时代,移动支付已被大多数都市上班族所接受,逛个超市如果你说不能支持支付宝或者微信支付,估计会被深深鄙视,甚至就连菜市场买菜都可以随手给阿姨发个红包,虽然她们不一定懂手机淘宝 or 微信上的收付款功能,但在微信上收红包肯定是会的。

            然而,移动支付给人民带来方便之外,同样也带来一些安全隐患,假设手机丢失了,在手机本身以及 某些 app 没有做好安全设置的情况下,坏人通过利用手机验证码这个大杀器足以让个人敏感信息以及财产暴露在安全边界之外。下面我们就以iPhone为例来探讨下手机及app 可以提前做好的一些安全配置,以及一些事后可以做的补救措施。

           设sim卡开机密码即 pin 码。

           pin 码一般有个初始化值,移动一般是1234,联通一般是0000。以iPhone为例, 前往 iPhone 的「设置-电话-SIM 卡 PIN 码」,点击「SIM 卡 PIN 码」,并输入正确的 PIN 码即可。我们希望增强其安全性,可点击「更改 PIN 码」,为其设置最长 8 位的 PIN 码数字。设置 pin 码之后,关机后重启需要输入,如果输错3次将会锁住 sim卡,这时需要 PUK 码才能解锁,PUK 码输错10次的情况下会导致这张 sim 卡完全废掉,这时如果还想用这个号码,只能带上身份证去营业厅补卡了。有两种途径可以查询PUK码:1.去运营商营业厅带上身份证和手机查询;2.在运营商网上营业厅查询,由于此刻手机是尚未真正开启的,接收不到短信,故即使坏人选择动态手机验证码登录,手机也看不到运营商发来的短信。

           但这个开机pin 码随卡走的,锁的是这卡,对应的这个电话号码不解锁就不能用(卡换到另外的手机也需要 pin 码解密),但是此手机换了其他号码的卡,原手机就丧失这个开机解锁程序,手机里装的程序和资料仍然会泄露。这时我们需要第二道防线,即锁屏密码。

           这时有个点需要注意,如果你此时还没来得及对手机挂失,此时坏人也许并不知道你的网上营业厅服务密码(即登录密码),可以选择动态验证码登录。如果 iPhone 中 【设置--通知--信息--在锁定屏幕上显示】此项打开时,即使此时手机正锁屏,还是可以在界面看到信息,进而登录网上营业厅修改服务密码,导致你只能通过带上身份证去营业厅挂失,而争取了一些利用时间。

            二、设锁屏密码,锁屏后就难以操作手机。  

            iPhone 默认是 4为位数字密码,容易被猜解,虽然输错多次会被锁定一段时间,但过后又可以重试,故很容易直接被突破了。对此我们可以升级 iOS 的版本,设置 数字+字母的复杂锁屏密码,并将锁屏时间延长一点比如 5分钟没用操作才锁屏,这样虽然操作麻烦了点,但提高了安全性,对于对安全要求高的人来说,还是可取的。

            但是如果此时坏人既换了卡又通过某种方式成功刷机,那么原有锁屏密码也无效了。这时我们需要第三道防线,即开启使用 TOUCH ID 用于解锁。

            三、开启 TOUCH ID 用于iPhone 解锁。

            如果是支持TOUCH ID的iOS设备,务必开启指纹解锁,指纹解锁绑定账户信息,即使坏人重新刷机(这样的话,手机的数据其实已经被清除,不会泄露了),如果没有指纹信息,也是没办法激活系统的。【设置--Touch ID 与密码 -- 用于iPhone 解锁】       

            列位看官看到这里,也许会说为啥我没提到 iPhone 中强大的 “查找我的iPhone”功能呢?别急,小司机喝口水,马上就开车了。

           假设用户在iPhone 上登录了iCloud,且开启了这个功能,当手机丢失时,用户可以凭借Apple ID登录 iCloud站点,进而在地图上定位设备 or 使用丢失模式锁定设备 or 远程抹去设备的数据。设计此功能的出发点当然是好的,但学会逆向思维的坏人也可以利用此功能来干坏事。如果坏人通过某种途径知道了你的 Apple ID 帐号和密码并修改了密码,那么他可以远程锁定你手里的设备,顺便勒索你一下(当你被提示输入Apple ID 密码时,因为密码错误导致被锁定)。顺便提一下,比较正规的解决途径是找苹果官方,提供当时购买的小票,发票,包装盒,购买地点等信息,然后让客服帮你解锁;如果啥都丢失了,也许你只能花几百块便宜坏人了。

            那么坏人是如何得知你的帐号和密码的呢?

            第一种途径是撞库原理,只要你在网上注册过各种帐号,邮箱帐号多多少少已经泄露了,如果再加上设置的是弱密码(很多人觉得在App Store 下载 app 偶尔需要输入密码,会把密码设置得比较简单),这种情况下账户分分钟就被爆破成功了。也许你会说官方站点多次输错密码应该一段时间内会锁定帐号或者弹验证码,不能自动化爆破?嗯这是个单点思维的典型,假设一个帐号可以尝试3次,那么坏人手里现有1000个帐号,每个都尝试3次,总有设置弱密码的懒人中招。

            第二种是邮箱数据泄露的案例,比如网易邮箱帐号和密码,只要坏人用网易邮箱帐号登录 iCloud,点击忘记密码,自然会有重置链接发到邮箱里,然后Apple ID 的密码就被修改了。就近期发生的勒索案例来看,这种情况占大多数,许多普通人是不知道网易邮箱泄露的事,或者知道了但不当一回事,没去修改邮箱密码导致被勒索,所以说网络安全真的不能说跟普通人没有关系了。

            第三种是手机真的丢了或者被偷了,懂点技术的坏人可以搞个模仿iCloud 网站的页面,发给你邮箱一个邮件,说Apple 官方探测到你手机被盗,处于异常状态,有坏人正在尝试破解密码云云,叫你赶紧上去一个链接修改Apple ID 的密码。有些没有丝毫安全经验的人,即不看地址栏的域名,也不看网站细节,傻乎乎地输入了帐号和密码,后来发生的事大家都懂了。在手机丢失的情形下,更高级的手法还有发给你一个链接,点击了直接进入了自己的邮箱,好像什么都没发生?在某厂商邮箱存在xss 等漏洞的前提下,你的邮箱站点 cookie 已经被偷走了,嗯接着你的邮箱就被盗了,然后也就成了受害者。从邮箱可能存在安全漏洞的现状来看,使用 Google 邮箱作为 Apple ID 帐号是比较安全的,毕竟实力大厂,且就算存在漏洞,要从黑市购买的价格也不是几百块能解决的事,坏人权衡利弊后也许就放弃了,直接把零件拆卖算了。

            钓鱼的case 这里还可以再举一个,方便大家防范。当手机丢失后,很多人的第一反应是找另外一部手机拨打自己的手机号码,在坏人关机或者不接电话的情况下,此时因为手机没用被锁定,即使还不能解锁屏幕,运营商会发一条未接来电的信息,嗯这样坏人就知道了这个额外的号码。接着坏人可以发条短信到这个号码,比如下图1,这里做的还不是很专业,钓鱼网站用短网址加密下就更难第一时间发觉到了。此外,当受害者使用“查找我的iPhone”功能锁定丢失设备时,填入的号码会一并出现在丢失设备的屏幕提示中,如下图2所示,嗯接着叮的一声,钓鱼信息又来了。


             

           如上所述,开启“查找我的iPhone”这个功能有利有弊,在你能够保证自己的Apple ID 和密码不泄露的前提下,它是对抗坏人有利的武器,否则他就是其他人来搞你的凶器。如果iPhone 关机需要锁屏密码的话,应该能提高定位成功的概率,但如果坏人在网络信号特别差的地方开机,这个功能就比较尴尬了。对此其实也有应对的办法,就是开启两步验证,即除了需要Apple ID 和密码,还需要发给某台设备的4位验证码才可以登录iCloud 或者在 App Store 购物。对我来说,悲剧的是忘记当时设置的两三个密保问题,导致不能设置,也许电话客服提供信息可以找回,但我实在是太懒了,直接不在手机登录iCloud 并关闭“查找我的iPhone”功能。于是想出了前面的三个办法来应对手机丢失后的情况,因为我觉得这个功能最重要的就是锁定设备和抹除数据的功能,指望它响起铃声来找回基本是妄想,而我前面说的三个办法最终基本能够达到差不多一样的效果,嗯。还有就是不用iCloud 同步照片等数据,还是觉得说它也不是特别安全的,比如也曾经发生过好莱坞女星照片泄露的事件,别问我怎么知道的。

            前面曾经提到手机号的服务密码,这也是很不让人省心的东西,除了只能设置6个数字密码这个槽点外,容易出问题的点这里再举3个case,它们给大家的启示是当手机无服务时间超过10分钟时或者收到开通莫名的业务时就需要提高警惕了。

            1.服务密码泄露且身份证泄露。坏人通过网上运营厅直接挂失了手机号,用户手机提示无服务,并利用假冒伪造的临时身份证去营业厅补办手机号,营业厅服务人员不仔细鉴别头像和地址等不同点的话就补卡成功,如果你的个人信息再被掌握地完整点如银行帐号密码之类,那么嘿嘿你的资金就危险咯。



            2.服务密码泄露。登录网上营业厅,选择换卡服务,比如2G换4G卡即 microSim卡,插入坏人自己的手机,此时用户手机会收到一条“您的USIM卡验证码为******(六位数字)”的短信,加上之前坏人会随便在网上营业厅给用户手机开通个收费业务,然后发个短信提示说“回复 取消+验证码 可以取消此业务”,用户正在纳闷验证码在哪里的时候,看见USIM卡验证码没多想就发了出去,于是坏人换卡成功,用户原卡作废,提示手机无服务。进一步利用同上。



            3.服务密码泄露且银行卡开通快捷支付。登录网上营业厅,为这个号码开通“短信保管箱”业务,这样就能通过网站查看受害者的短信(保护银行的快捷支付验证码),如果同时银行卡号也泄露的话,可以达到非法转账的目的,如下图所示。 tsrc_team

            


            手机可以做的一些安全设置前面已经说得差不多了,那么 app 方面呢?

            支付宝:支付宝app手势密码开启,关闭小额免密支付而使用指纹支付,支付宝登陆和支付密码相互独立,平时经常检查已授权登陆的支付宝app设备是否有异常并及时解绑不再使用的设备,取消手机号作为支付宝账号。

            微信:微信设置进入钱包需要手势密码【钱包--右上角--支付安全--手势密码】,输错4次就被锁定了,如果不嫌麻烦还可以使用指纹(Touch ID)支付。

            招行:设置后台在线时长最短,以前是1分钟,现在是5分钟,不是一网通用户还不能开启手势密码,汗。


            在手机和 app已经设置了一些安全选项后,在其丢失后,我们能够做些什么以最大限度地减少损失呢?

            1.手机丢失后,立即凭事先设定的服务密码电脑登录移动运营商等的网上营业厅(或者拨打人工客服),立即报这个号码停机,这个号就立即停机了,相当于这个号被暂时废掉,登录或者消费转账等需要手机验证码的功能都不能用了,这样即使拿到手机的人,费劲解锁后,危害已经降低了许多。

            2.招行app里面绑定的银行卡,可能的话尽快转移到另外的卡上,并致电 95555 挂失银行卡。

            3.如果怀疑支付宝被盗,第一时间使用安全设备和网络改登陆和支付密码。

            4.上 weixin110.qq.com 冻结微信号,运营商补卡后可以申请解冻微信号,重新登录。

            5.上qq安全中心修改qq密码。

            6.在安全设备登录某些社交帐号后发消息提醒好友不要被一些转账等信息所欺骗。


            那么,既然已经废话这么多了,继续来安利一些良好的安全习惯。

            1.手机默认不开wifi,只使用家里和办公场所自建的wifi,iPhone 开启询问是否加入网络,手机不存放个人信息如身份证、银行卡号、某些密码以及一些敏感照片:);
            2.不使用任何非自己的充电设备给自己手机充电,非个人充电宝使用需谨慎;Freebuf

            3.身份证不和银行卡、手机放一起,市内通勤不带身份证,很多app找回密码功能需要验证身份证 + 手机验证码;

            4.用于办理各种证件的身份证复印件请写上“仅用于xxx用途,他用无效,日期签名”,防止被用于恶意开户,有些机构公司验证并不严格,不是真人到场也可以开各种账户;
            5.多个iOS设备不要用一个Apple ID 帐号;

            6.手机收到的任何验证码都不要转发出去,注意手机收到的莫名业务开通信息。

            7.看见400打头的电话一般都是诈骗,因为这种电话一般只用于呼入;

            8.快捷支付只绑定钱财比较少的卡,需要时再转账充值;

            9.安卓手机不要乱root,不要下载乱七八糟的应用;手机设置里,关闭USB调试模式,增加通过电脑解锁的难度;

            10.收到各种电信电话信息以及社交网络信息,要求借钱或者转账之类,一定要电话确认是本人,才采取进一步行动。

            11.信用卡不建议设置(交易)密码,国内政策是设置了(交易)密码,自己负责信用卡丢失、盗刷风险,设置个短信通知提醒,每一笔钱划走都会发短信;可以将背面的三位cvv码划掉或者胶布遮住,避免泄露导致被盗刷,特别是境外网站只需要帐号、身份证号、cvv码、过期时间就能刷信用卡。

            12.尽量不要刷储蓄卡,避免卡被复制,特别是一些小商店,要刷pos机尽量用信用卡

            13.更有安全需要的人,可以把移动支付绑定的手机号设置为另一台设备;
            14.多个站点密码不要雷同,不要设置弱密码,推荐使用 keePass 生成并保存复杂密码;


            最后本该结束本篇文章,但想想在手机没用丢失的情况,也有很多其他场景下会产生财产损失,这里给大家打个预防针。

            1.各种手段的电信诈骗,已经把钱转给骗子帐号,怎么办?在5分钟内先报警提供骗子的qq号,银行卡号,手机号等信息,接着通过拨打银行电话或者登录网上银行输错多次密码,锁住帐号24小时,如下图所示。注意这里只是锁定账户,并非冻结账户,只有公安才有权冻结账户。tsrc_team

           2.银行卡(信用卡)还在自己手上,但被其他人盗刷,怎么办?发现被盗刷的5分钟,是止损冻结的“黄金时间”。第一步先致电相关银行锁定账户;第二步,深圳地区可以致电 81234567 反信息诈骗专线,让其协调银行为你紧急止付;第三步,立即去最近的ATM 上进行一笔交易查询,用手机拍下界面并取得交易回执,可以在银行后台留下查询记录,证明这个时间银行卡在你手上(既可用于公安机关侦查认定证据,也有利于下一步赔偿挽损);第四步,拨打110报警,带齐身份证、银行卡、查询照片、交易回执等到就近派出所报案,注意取得报警回执单。深圳经侦


             最后的最后,总结一下,这些各种设备和app以及一些流程存在的已知问题,根本上来说是属于安全如何能够与产品共存共荣的问题,比如产品的用户体验与其安全性、流程的快捷性与其安全性、操作的易用性与其安全性等等。想想“围魏救赵”,想想“马奇诺防线”,所谓黑掉你不在你关注的点上,我们普通用户可以做的就是扩大纵深防御的战线,就像剥洋葱一样,一层层地剥开,非常辣眼睛,坚持剥到深处发现居然是空心的。

             安全第一,并不是一句空话。如果这篇文章能够让普通用户意识到身边已经存在的安全问题,能够有所思考,我也就心满意足了。


    参考:图片和部分案例、建议来自网络








    展开全文
  • 根据sim的变更,判断手机是否被盗,根据协议发送手机中sim卡的信息,和当前手机的位置(经纬度),给安全号码.  快速进入手机防盗  可以远程发送指令,锁屏,工厂重置手机  md5加密 2、通讯卫士: 来电归属地显示,来电黑...
    这个项目的代码大概会有10000行左右,将分为几期来完成
    功能列表:
    1、手机防盗:
    根据sim的变更,判断手机是否被盗,根据协议发送手机中sim卡的信息,和当前手机的位置(经纬度),给安全号码. 
    快速进入手机防盗 
    可以远程发送指令,锁屏,工厂重置手机 
    md5加密  
    2、通讯卫士:
    来电归属地显示,来电黑名单/短信黑名单管理. 电话短信备份. 
    3、软件管理:
    系统软件和本地软件,显示软件的详细信息,启动,删除应用程序. 获取服务器上软件的 评分信息.
    程序锁.
    4、任务管理:
    管理系统任务 显示系统内存信息,杀死,批量杀死进程,widget
    5、上网管理:
    显示出每个程序访问的流量. 漫游管理.
    6、手机杀毒:根据包名和程序的证书识别病毒,查杀 
    7、系统优化: 清理手机缓存
    优化电池管理 
    8、高级工具:
    自动ip拨号
    手机号码归属地查询
    更改归属地位置

    常用号码

    9、设置中心:

    开机是否自动启动
    服务启动是否在状态栏显示
    设置归属地显示在屏幕的位置
    10、 html webview 
    11、bug管理,mantis使用,log管理
    12、打包,混淆加密.发布, 三方广告条的添加



    展开全文
  • 2011年全年,腾讯移动安全实验室一共截获被植入手机病毒软件包数25404个,其中Symbian平台截获被植入病毒软件包数16521个,Android平台截获被植入病毒软件包数8883个。  第一章 安全行业报告概要  2011年...
  • Android项目:手机安全卫士(3)—— 主界面布局1 总纲前面实现了“手机安全卫士”的闪屏界面与版本检测升级问题,接下来的任务就是实现主界面了,这个相对简单,因为没有涉及到具体的功能开发,本文主要内容:九宫...
  • 2014年,手机支付安全的状况越加不容乐观。而Android系统漏洞却加剧了这一现状。2014年2月18日,国内漏洞报告平台乌云发布紧急预警称,淘宝和支付宝认证被爆存在安全缺陷,黑客可以简单利用该漏洞登陆他人淘宝/支付宝...
  • "手机杀毒", "系统优化", "高级工具", "设置中心" }; private static int[] icons = { R.drawable.widget05, R.drawable.widget02, R.drawable.widget01, R.drawable.widget07, R.drawable.widget05, R....
  • 手机银行有哪些安全注意事项

    千次阅读 2012-04-22 00:47:25
    该恶意程序与Zeus和SpyEye非常类似,能够进行远程操控,并通过伪装成用户银行的令牌生成器,窃取用户手机银行的账户信息。与Zeus和SpyEye不同的是,它能在不感染用户电脑的同时,获得移动设备上的初始密码,因此其...
  • 这是系统显示的安全提示信息,检测到用户在系统中安装了CA证书后,就会有这个提示,这是谷歌的原生特性。 卸载安装CA证书的第三方软件,并删除对应的CA证书就好。 进入 设置 > 安全和隐私 > 更多安全设置 >...
  • 很多客户找到我们SINE网站安全公司,说自己的网站被百度网址安全中心拦截了,从百度点击网站进去跳转到博cai网站上去,直接输入网址不会出现跳转。还有的客户网站被百度拦截的时候会有一些红色文字提醒: 百度网址...
  • 【Android项目实战-手机安全卫士】 目标:快速积累开发经验,具备中级Android工程师能力。 如遇到难以理解的逻辑或功能,可以先将程序打断点观察程序的执行逻辑。 第一章项目简介:欢迎界面、主界面 第二章...
  • teamviewer被黑了?做安全防护的?上期我们讲了东南亚赌局为什么都是福建老板了,之前还介绍了APT32组织,这次来...TeamViewer 给黑了,深圳市网络与信息安全信息通报中心 紧急发出几份申明。顺便提供给大家防护措施:
  • 近期,360手机安全中心接到大量用户反馈,称下载的免费Android软件被扣走了大量的话费,经过360手机安全专家分析和排查发现,目 Android平台的扣费采用将恶意代码植入正常软件的方式,比塞班(Symbian)平台更加隐蔽,...
  • 临近2019年底,客户的公司网站被百度网址安全中心拦截了,公司网站彻底打不开了,影响范围很大,于是通过朋友介绍找到我们SINE安全公司寻求帮忙解封,关于如何解除百度的安全拦截提示,下面就将我们SINE安全的解决...
  • 因为工作的关系,之前收集过的一些比较不错的关于安全方面知识和实践的网站资源,统一放在这篇文章里,方便大家查阅。还没有想好如何更好的分门别类,所以,暂时凌乱的放着吧。 Android 移动端,特别是安卓接触的...
  • 获取Android手机短信中心号码

    千次阅读 2016-03-01 16:41:27
    首先到度娘那边找了好久,发现很多讲解,好开心。总之罗列了大约四种方法~...第一种方法 通过向移动运营商(比如10086)发送一条免费短信然后等待对方回复,从对方回复的短信中获取短信中心号;实现方式参见http://blog.cs
  • 今天,狗蛋就给大家安利一下华为手机支付保护中心,来看看它是如何为大家的财产保驾护航的吧。 华为支付保护中心其实是一个手机的系统功能,类似于“蓝牙”、“WLAN”(敲重点:不是一个APP哦),我们可以在设置中...
  • 近期受世界杯的影响,我们Sinesafe接过很多中小企业网站频繁的被黑客入侵篡改了快照内容的网站安全问题导致打开网站被提示博彩页面,在搜索引擎中会被提示百度网址安全中心提醒您:该页面可能已被非法篡改!...
  • 安全基础--22--安全测试

    万次阅读 2018-10-04 21:35:37
    一、安全漏洞评估 1、评估方式 自动化扫描:系统层漏洞大部分情况下使用自动化扫描 手工评估:耗时、不全面、技术要求高 2、评估流程 二、安全配置评估 1、安全配置评估分类 评估 说明 基础安全配置评估 在...
  • 大型企业的业务模式多,涉及的产品也多,特别是互联网业务讲究“小步快跑敏捷迭代”,往往忽视了安全检查或者来不及进行细致的安全检查,同时安全系统本身是程序也会存在各种遗漏,因为互联网业务的在线特性,使得...
  • 2018年8月份初正值炎热酷暑的夏天,我们sine安全公司接到新客户的安全反映,说是他们公司网站首页标题被黑客篡改成赌博的内容,导致网站在百度搜索里红色风险提示,百度快照搜索关键词显示:百度网址安全中心提醒您...
  • 这是作者的系列网络安全自学教程,主要是关于网安工具和实践操作的在线笔记,特分享出来与博友共勉,希望您们喜欢,一起进步。前文分享了分享机器学习在安全领域的应用,并复现一个基于机器学习(逻辑回归)的恶意...
  • 在购买物联网卡时,需要提供正规企业资质,才能办理,物联网卡实名认证与手机卡比较大的区别在于,手机卡用身份证办理只能办理五张手机卡,但是物联网卡只要提供公司营业执照,那么就可以无...
  • 信息安全

    千次阅读 2011-10-24 20:14:22
    网络环境下的信息安全体系是保证信息安全的关键,包括计算机安全操作系统、各种安全协议、安全机制(数字签名、信息认证、数据加密等),直至安全系统,其中任何一个安全漏洞便可以威胁全局安全。信息安全服务至少...
  • 陈树华是阿里巴巴移动安全部负责人,阿里聚安全、阿里钱盾等产品创始人,移动互联网安全体系建设开拓者,也是国内最早的一批移动安全专家。10年前,他加入趋势科技,发现了诸多系统安全漏洞,并主...
  • 信息安全技术

    千次阅读 2010-03-07 09:48:00
    信息安全是指信息网络的硬件、软件及其系统中的数据受到保护,不受偶然的或者恶意的原因而遭到破坏、更改、泄露,系统连续可靠正常地运行,信息服务不中断。信息安全是一门涉及计算机科学、网络技术、通信技术、密码...
  • 安全

    千次阅读 2012-10-08 10:33:08
    云计算中的安全控制其主要部分与其它IT环境中的安全控制并没有什么不同,使用云计算唯一最大的变化是共享资源的使用,即多租户环境,这种变化的影响是可信边界的移动。基于采用的云服务模型、运行模式以及提供云服务...
  • 数据安全

    千次阅读 2018-08-09 10:36:30
    近年来,数据安全形势越发严峻,各种数据安全事件层出不穷。在当前形势下,互联网公司也基本达成了一个共识:虽然无法完全阻止攻击,但底线是敏感数据不能泄漏。也即是说,服务器可以被挂马,但敏感数据不能被拖走。...

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 69,077
精华内容 27,630
关键字:

安全中心手机