通过安卓复制 APP 漏洞获取虚拟货币私钥文件

This topic created in 3045 days ago, the information mentioned may be changed or developed.

99%的人是无法一直持有虚拟货币的。
曾经提过扫描网盘 BTC 钱包文件，有人收获了不少。
这次说一下安卓复制 APP 漏洞，可以轻松得到目前市面上几乎全部 wallet app 后，直接导出私钥。只需要做一个 web 页面，诸如什么撒币，抢红包的吸引人用手机打开就可以了。
不要认为 ios 就安全了，苹果不允许虚拟货币钱包应用，所以如果想 ios 安装那些 wallet，就需要手动关掉 ios 里的安全开关，因此其实这样的 iphone 早就更透明了。

私钥

wallet

iOS

App

11 replies • 2018-01-14 23:17:25 +08:00

xiaozuo

Jan 14, 2018 via iPhone

ImToken 是上架应用啊

laoyur

Jan 14, 2018

> 苹果不允许虚拟货币钱包应用
所以你告诉我，我手机里装的 huobi wallet、imtoken 啥的是从哪来的

> 所以如果想 ios 安装那些 wallet，就需要手动关掉 ios 里的安全开关
作为一个低端 iOS 开发者，表示不知道啥叫安全开关，信任企业版证书？

won

Jan 14, 2018

@laoyur huobi wallet 的安全性，不予以评价……企业证书，是大忌吧

laoyur

Jan 14, 2018

@won #3 你说的是「苹果不允许虚拟货币钱包应用」，我反驳你，你又说「 huobi wallet 的安全性，不予以评价」
好吧，我不说了

chengzhoukun

Jan 14, 2018 via Android

复制 app 那漏洞不就是一些用自定义 webview 的才有么，说得好像每个应用都有似的

r00tt

Jan 14, 2018

『只需要做一个 web 页面，诸如什么撒币，抢红包的吸引人用手机打开就可以了。』这个漏洞有这么好利用么，只要做个网页就能『几乎全部 wallet app 』？
哪有这么简单，首先钱包 app 要有 Exported 内嵌 Webview 的 Activity ;支持 url schema 打开，允许通过 url 的形式访问文件，且没过滤一些敏感的访问。要把这些条件都具备，看起来没这么容易啊。
不要见风就是雨，随随便便就搞个大新闻啊兄弟