看板 MobileComm 關於我們 聯絡資訊
在Andoroid SDK 22 (含)以前時,App的權限都是在最一開始安裝時整套授予的, 要不你就安裝,然後同意授予此App所有權限; 你不同意所有權限,那你就不要裝,掰。 Andoroid SDK 23 新增了 AppOpsManager, 利用AppOp方式控管兩大一小類權限, 兩大類為: - Normal permissions:安裝時直接授予。 - Dangerous Permissions:預設關閉,Apps開啟時可單一或多項詢問。 一小類為: - Special Permissions:必須發送一個Intent,讓使用者自行至設定開啟。 而這一小類目前只有String OPSTR_SYSTEM_ALERT_WINDOW (重疊圖層) 與String OPSTR_WRITE_SETTINGS (修改系統設定) Android 6.0.0 剛推出時,有兩個情況: 一、App開發者把重疊圖層權限忘了或不知道要跟上, 導致很多地方回傳Null,App就卡住或者崩潰。 二、使用者每安裝一個需要圖層權限的App,就必須要至設定更改,很煩。 所以6.0.1時,谷哥大神為了不給使用者帶來麻煩, 在下載安裝時把SYSTEM_ALERT_WINDOW自動允許開啟了, 就類似對Normal permissions的方式那樣。 好,看到這邊你有沒有覺得這是個「漏洞」呢? 在我個人認為,其實基本上算是個「隱藏風險」,而不算個「漏洞」。 CheckPoint前幾天指出的這件事, 其實早在6.0.1出來後很多人就反映過, 谷哥大神也認為這不是個漏洞, 畢竟你從Google Play按下安裝時會跳出視窗, 跟你說你安裝的這個App會使用甚麼權限, 你自己要按下確定的呀,簡單來說這就是誘姦? 反正使用者還是可以自己到設定去把特定App的權限關閉, 所以7.0出來後,當然也不會因此而有改變。 那有些人就會說啦: 「可是CheckPoint訪問谷歌,谷歌說安卓8有針對這個問題改善耶!」 我直接了當跟你說,沒有,這個問題沒有改, 只是加了兩個東西進去。 一、int TYPE_APPLICATION_OVERLAY:依然要請求SYSTEM_ALERT_WINDOW,所以根本沒差呀。 二、Overlay Notification:在通知欄多出了「某某程式正在最上層顯示」。 基本上比較有幫助的是第二點, 因為以前你同意了重疊圖層的權限, 他如果是透明的,你根本不知道他正在跑。 安卓8之後,在通知欄跟你說誰正飄在上面, 如果你不想看到也可以選擇隱藏。 題外話: 對於SYSTEM_ALERT_WINDOW其實最安全的是小米, MIUI在很早的時候就封殺SYSTEM_ALERT_WINDOW, 有一陣子App收到很多使用者的問題回報, 一看居然全都是小米手機。 後來抽絲剝繭才發現重疊圖層直接被MIUI擋住, MIUI就這樣給你預設擋,阿也不跟你說擋了,沒半個人知道發生甚麼事。 所以後來有很多人乾脆趁機直接改用Type_Toast, 就是系統中有時候會出現在螢幕上一個小小的黑色橫條, 因為在SDK 19後Toast也可以做到跟Alert_Window做到類似效果, 只是接收其他觸控事件。 好最後有點跑題了,簡單說結論: 一、這在我認知不是個漏洞。 二、如果你認為他是漏洞,就算安卓8也還是不會改。 三、如果你認為他是漏洞,你自己就可以關掉補洞了。 -- 車禍實錄、各類訊息、影片翻譯、志工服務 更多第一時間的第一手消息 就觀看一百五粉絲團! https://www.facebook.com/YiBaiWu -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 103.227.42.20 ※ 文章網址: https://www.ptt.cc/bbs/MobileComm/M.1494571816.A.C9C.html
rex1135 : 專業推 05/12 14:52
※ 編輯: IloveBlack2 (103.227.42.20), 05/12/2017 14:54:52
BIGETC : push 05/12 14:56
Kismeter : 推 05/12 14:57
rtact : 下載app時normal跟dangerous的都會列出來嗎? 05/12 15:07
SleepingWalk: 推一個 05/12 15:08
mainline : 大推 其實現在也有個API能讓app檢查自己上層有沒人 05/12 15:09
mainline : 在繪圖 我看法不一樣的地方是安卓8的改進 對用戶沒 05/12 15:09
mainline : 差 對系統安全性差很大 manifest裡的圖層權限雖然還 05/12 15:09
mainline : 是同一個 但是對應的危險API system_overlay被depre 05/12 15:09
mainline : cated 必須使用新的application_overlay 新的方式 05/12 15:09
mainline : 差很大 因為它被擺在系統圖層與應用圖層之間 由系統 05/12 15:09
mainline : 管理 可被系統調整大小 位置 透明度等 05/12 15:09
Moscato : 那4.2開始加入的AppsOps是啥啊… 05/12 15:09
supermars : 其實大部分用戶只覺得 1.X 又卡了而且不知道該怎樣 05/12 15:10
supermars : 調開關 05/12 15:10
mainline : 樓上 AppOps的確是4.2就加入的 那時的主要目是給谷 05/12 15:18
mainline : 歌自己做API測試用的 並沒有主動公開 安卓嘛 被發現 05/12 15:18
mainline : 後三方ROM都把它放出給用戶 接著在6.0前就添加權限 05/12 15:19
mainline : 管理功能的中國廠UI就是建立於AppOps之上的 安卓6.0 05/12 15:19
mainline : 的權限管理也是基於AppOps 05/12 15:19
MusicD : 專業推 05/12 15:53
jeff101234 : 專業好文推 05/12 15:58
tom282f3 : 專業推 05/12 16:00
hinabi : 專業推 05/12 16:05
Pictor : 專業推 05/12 16:08
relio : 紅明顯:專業又會打標點符號,推! 05/12 16:12
ohmylove347 : 專業推 05/12 16:12
longya : 每次看到紅明顯就是一些沒什麼建樹的話又要刷存在 05/12 16:15
longya : 感 05/12 16:15
o8bito : 專業推,長知識 05/12 16:22
james732 : 推開發者專業說明 05/12 16:23
insanityboy : 快推免得被笑文組 05/12 16:36
s213092921 : relio就是專業的H黑 05/12 16:38
wuxozi : 專業推 05/12 17:18
ntustjc : 專業推, 我自從5.0之後就沒再碰app了覺得現在變好 05/12 17:23
ntustjc : 多QQ 05/12 17:23
nk950357 : 專業推 05/12 17:33
hangtenboy : 長知識推 05/12 17:46
k829173564 : 跨謀 05/12 17:46
Zenfone2 : 推推唷 05/12 17:57
swing0610 : miui的重疊圖層要去它自己的安全中心開, 05/12 18:08
swing0610 : 一開始用時也是超崩潰 05/12 18:08
loydhua : 推 05/12 18:36
weselyong : 身為開發者,同感 05/12 20:34
prudence : GJ 05/12 21:31
a58524andy : 有專業有推 05/12 21:43
pd3mnd : 推專業 05/12 23:03
xutsm788 : 推,這根本不是漏洞 05/13 10:56