[新聞] 當心! CSS惡意攻擊只要15行程式碼就可讓你的iOS裝置重新啟動

看板MobileComm作者Lyeuiechang (誠誠小屁孩)時間7年前 (2018/09/17 22:06)推噓8(8推 0噓 6→)

留言14則, 13人參與討論串1/1

新聞來源： iThome https://www.ithome.com.tw/news/125922 新聞標題：當心! CSS惡意攻擊只要15行程式碼就可讓你的iOS裝置重新啟動文/陳曉莉 | 2018-09-17發表新聞摘要：新的CSS攻擊只要15行程式碼，就可利用瀏覽器引擎WebKit的弱點，大量消耗裝置的資源導致核心錯誤，為免造成傷害，iOS系統就會重新啟動裝置，不只iOS裝置受影響，macOS 的Safari瀏覽器也會被凍結。示意圖，與新聞事件無關。 https://i.imgur.com/5kaeRI4.jpg

新聞內容：安全研究人員Sabri Haddouche上周六（9/15）藉由Twitter公布了一段針對iOS裝置的攻擊程式，當iPhone或iPad造訪含有該程式碼的網頁時，就會造成核心錯誤（Kernel Panic ），導致系統重新啟動裝置。 Haddouche已將此一只有15行的攻擊程式碼張貼在GitHub上，該程式利用了瀏覽器引擎 WebKit的弱點，藉由在CSS的背景過濾器中嵌入大量的<div> 標籤，消耗了裝置的所有資源，而造成核心錯誤，遭遇核心錯誤的系統通常會重新啟動以避免造成傷害。 WebKit為蘋果Safari瀏覽器所使用的引擎，因此不只是iOS裝置受到波及，該程式碼也會讓macOS上的Safari瀏覽器凍結。 Haddouche向Tech Crunch透露，在iOS上任何可描繪HTML的服務都會受到影響，代表不管使用者收到的是臉書、Twitter或電子郵件中的連結，還是造訪一個含有該程式碼的網頁，都會發生iOS裝置重新啟動的狀況。藉由15行程式碼就攻陷iOS裝置還不是Haddouche最得意的作品，他在一周前曾經只用一行 JavaScript就讓Chrome瀏覽器與Chrome OS凍結。新聞心得： EverythingApplePro 有對此進行實際操作的介紹 https://youtu.be/1VzG_ot7o4E

好消息是這個不太致命，純粹是會讓打開網頁的 iOS 裝置重開機而已，同時接收該連結的 APP 也不會"超☆瘋狂閃退" XD 受影響範圍從 iOS 7 一路到 iOS 12 Gold Master， iOS 6 以前因不支持這種 CSS 形式因此逃過一截(?) 估計蘋果應該會在後續推出 iOS 12.x 更新包來修正這個問題，不過這又會為明後天 iOS 12 正式釋出時的版本與目前的 GM 不同添加了一些變數，雖然我覺得在不測試就直接丟出兩天內生出的 Patched 版本給所有人用，恩.....機率很低啦！(畢竟主打穩定性還搞砸了就蠻糗的 OuO) 以上。 --

推

Lyeuiechang

12/04 23:42,

12/04 23:42

→

Xhocer

12/04 23:44,

12/04 23:44

推

xj654m3

12/04 23:46,

12/04 23:46