1
“嗨，這是你的照片嗎？”
你低頭一看，自己的照片赫然出現(xiàn)在對方的手機上，心臟一提。
“您于XX點XX分消費XX元，如非本人操作，請立即咨詢……”
你以為是詐騙短信，哪知一查發(fā)現(xiàn)余額真的少了，不知所措。
看過昨晚3·15晚會內(nèi)容的讀者肯定知道我在說什么。手機連接一個看似普普通通的充電樁，照片就被泄露，短信就被查看，賬戶就被消費，這一切都發(fā)生在你毫無防備的情況下。
【圖片來源315晚會截圖】
那么，視頻演示中的攻擊者到底是如何做到這一切的呢？難道以后大家都不敢用大街上的充電樁了？是否有防范的方法？雷鋒網(wǎng)宅客頻道在此為讀者一一解析。
如今許多充電樁都會有這樣的提示：
iOS 用戶：”須點擊信任按鈕“
Android 用戶：“須打開USB調(diào)試模式，并點擊信任后才能充電”
【某充電樁的標(biāo)識】
只要用戶按照提示進行相應(yīng)操作，就等同于將手機的內(nèi)部權(quán)限拱手交給了充電樁。
那么攻擊者在整個過程中，到底做了什么呢？騰訊玄武實驗室的移動安全專家馬彬?qū)暨^程的技術(shù)原理進行了分析和猜測：
315晚會演示的讀取照片、向任何人發(fā)送短信等操作，對于開啟USB調(diào)試并授權(quán)的Android手機，只需要在電腦上輸入些簡單的“adb命令”就能實現(xiàn)。
用受害者的賬戶買電影票，則可以通過命令安裝惡意軟件來讀取手機短信并攔截用戶短信，使用驗證碼登錄受害者的支付賬戶來實現(xiàn)，整個過程原理并不復(fù)雜。
隨后雷鋒網(wǎng)聯(lián)系360手機衛(wèi)士安全專家王冬，確認了攻擊者的手法：
攻擊者可以直接獲取保存在存儲卡的照片等文件，同時也可以通過推送APP來監(jiān)聽手機收到的驗證碼短信。
通過支付軟件的找回密碼方式以及竊取到的驗證碼短信便可更改受害者的賬號密碼，從而達到竊取錢財?shù)哪康摹?/p>
其實早一年前就有相關(guān)報道，有充電樁涉嫌在用戶不知情的情況下靜默安裝推廣軟件，哪知如今便發(fā)展成了直接攻陷用戶的手機。這些惡意充電樁一般有這幾種：
有心機的充電樁會在用戶的手機上安裝各種APP，以賺取推廣費和廣告費；
有壞心眼的充電樁會提取短信、照片，甚至微信聊天記錄，正如315晚會的演示；
喪心病狂的充電樁則會直接通過漏洞來獲取手機的最高 Root 權(quán)限（針對安卓手機而言），并種植病毒木馬等。
本質(zhì)上來講，當(dāng)你手機連接到充電樁的那一刻，你并不知道充電線的另一頭是充電適配器，還是一臺小型電腦。而當(dāng)你開啟USB調(diào)試，并點擊“信任”或者“允許”時，你已經(jīng)主動授權(quán)這臺電腦控制你的手機。
然而，360的安全專家王冬告訴雷鋒網(wǎng)，這并不是什么安全漏洞，而是手機的正常功能。在安卓手機上，USB調(diào)試本是用來方便程序員調(diào)試和開發(fā)使用的。開啟該功能后，電腦就能直接對手機進行任意操作：查看照片、聊天記錄、收發(fā)短信、甚至破解鎖屏密碼等等。
其實國內(nèi)的各大手機應(yīng)用市場、手機助手等手機輔助軟件都依靠了該功能來對手機進行管理和操作，備份聯(lián)系人、短信、刷機等。
相對于安卓手機，iOS手機的安全性略高，但也只是略高。獵豹漁村安全局告訴雷鋒網(wǎng):
未越獄的高版本iOS系統(tǒng)，基本上不存在比較容易直接導(dǎo)致你金錢上損失的問題。除非出現(xiàn)那種能一鍵越獄，然后竊取你數(shù)據(jù)的神洞，俗稱0DAY漏洞（比如iOS三叉戟漏洞），不過除非你是重要人物，否則你基本上是享受不到這種待遇的。
但這并不意味著iOS用戶可以高枕無憂。iOS 雖然沒有安卓上那個叫“USB調(diào)試”的選項，但也類似，只要點擊“信任”，電腦同樣可以擁有讀取手機上照片、聯(lián)系人、安裝APP等權(quán)限。當(dāng)你的iPhone插上陌生設(shè)備時，一旦選擇信任，隱私信息基本拱手相讓。
一個充電樁就能控制你的手機，聽起來人心惶惶。那我們還能不能好好用充電樁充個電了？答案是能！
王冬告訴雷鋒網(wǎng)：惡意充電樁如果要控制手機，繞不過的一步就是獲取用戶授權(quán)。對于android手機來說，關(guān)鍵點在于允許USB調(diào)試。
【左為安卓界面，右為ios界面】
所以從原理上來講，只要用戶不主動進行授權(quán)，充電樁就無法控制你的手機，你依然可以愉快地使用充電樁。
此外，王冬建議，如果手機連接充電線后，可以勾選“僅限充電”的選項，或者直接使用充電線代替數(shù)據(jù)線。（充電線無法傳輸數(shù)據(jù)，只能充電），這樣就可以保障手機的安全。
當(dāng)然，如果你帶了個充電寶，先給充電寶充上電，再用充電寶給手機充電，那自然是更安全的，除非你買的是個假的充電寶。
另外還需要注意的是，手機在連接其他陌生的電腦和設(shè)備時，在沒有確定安全的情況下，最好也不要點擊“允許“或、”信任“之類的彈框，不僅限于充電樁。因為還是那句話，你未必能確定數(shù)據(jù)線的另一頭有什么。
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
