越狱有风险，iPhone抢红包外挂陷阱（真实窃密案例）
fenggou，信息安全，鸡尾酒，电吉他，摄影。
iPhone 的越狱可以安装一些昂贵的 APP、游戏等；但它同时也让 iOS 系统的权限更加暴露在黑客或一些不靠谱的程序开发团队面前，对用户隐私进行惨无人道的揉虐。
有乌云白帽子（@i_82）发现很多使用了 iOS 红包外挂的用户都反应其账号莫名其妙的参与了 App Store 刷榜，所以动手分析某款红包外挂。意外的发现原来这批心怀鬼胎的开发团队竟然真的在越狱的 iPhone 手机上记录、收集用户的 iCloud 账号与明文密码！目前已经有 22 万余用户已经被黑，乌云漏洞报告链接：
因为红包抢到的都是真金白银，所以用户会降低智商主动安装各种来历不明的外挂捞红包，嗯，利益面前安卓与苹果用户是平等的。所以有人盯上了这个群体，开发了很多功能强大的红包外挂。比如：秒抢红包、透视红包等等猥琐而强大的插件，性质或免费或收费，如图：
因为这种外挂需要运行在已经越狱的 iPhone 上，权限大开，所以对于这些土匪团队简直就是天赐良机啊。白帽子对这软件进行了逆向分析，发现真的有敏感的动作
像远程服务器 POST 用户信息，而这个接口过于粗糙，存在一个可以将窃取用户信息拱手送人的漏洞。。。
图中既是窃取到的用户 iCloud 账号与密码，目前总计 22 万用户中招。为了确认这些账号真的是 iCloud 账号并且有效，白帽子选了几个账号尝试登录。
中了！！！眼熟的伙计赶紧改了自己密码吧。至于这些账号盗窃来干嘛，有什么影响？乌云君有三个猜测。
AppStore 刷榜
人类最原始的窥私欲（艳照门？还真别不信，真的有人在为各种色情信息的收集奋斗终身）
恶意锁机敲诈勒索
总之，iPhone 越狱后黑客玩你的方式会有很多，不仅仅是某个插件，国内会有数不清的团队个人会做此类勾当，不知道已经有多少用户的 iCloud 账号已经&阵亡&。
最后再次感谢 @i_82 提交的漏洞报告，向业界曝光这些不良开发者的行为。
（尾图来自于网络，如有不适，可用联系删图）
推荐关注微信公众账号： wooyun_org连着几周大作缺席实在令人提不起精神来，我们的新作推荐也持续着小品当家的状态，迫切...
这种棘手的问题，你是否遇到过？
到底是从什么时候起，游戏圈里开始兴起了“情怀”这个高频热点词。
《仙境传说》2003年进入中国大陆，经历数个资料片变迁，10余年里已成为端游在中国发展...
Awa和苹果的Siri类似，但它是为Mac而专门打造的。
不说了，现在要去先买一部车了。
有人认为苹果股票没救了，也有人认为它依然潜力无限。
不知道这次Moto G4/Moto G4 Plus能掀起智能手机世界的波澜不~
刀塔的故事背景我想不少朋友已经很熟悉，再重复灌输难免显得有些啰嗦，详细的剧情小...
总的来说，作为一款Roguelike游戏，本作中的相关内容是完善的，尤其是玩家需要小心不...
《Boom》是一款开发商 GlobalDelight 制作的 Mac 端音效增强应用，近日这款应用登陆 i...
《昭和杂货店物语2》是日本手游开发商 GAGEX 所制作的一款放置养成类的游戏，是《昭和...
游戏采用的是第一人称的视角，这种视角所给予玩家的代入感是更强的。
本作作为一款休闲类的游戏，主要考验的是玩家的抉择与反应能力。
近日，游戏开发商 Alan Thomas 在苹果商店中推出了其新作《沃克斯像素射击2（VOXPLODE...
以前苹果店内销售的第三方配件用的都是自家品牌的包装，苹果打算改变这种混杂的状态。
十分之一的价格提供同样的效果，用的是一些经典的技术，所以说，经典不代表就是过时的...
其实原理很简单，不知道有没有动手达人自己DIY一个出来呢~
大多数 Lightning 线缆看起来都是一样的，它们可能在外表颜色上会有所区别，但是内部...
Smart Connector 配件解决方案能给用户提供更加无缝的体验，也能够让用户更多利用设备...
它的作用不止“保护”这么贴心，不知道苹果会不会考虑自己也推出一款。
如果你还在寻找贴满施华洛世奇水晶的 iPhone 6s 保护壳的话，Otterbox 水晶限量版保护...
oDocs Eye Care公司希望通过这两款配件为那些视力受损者带来福音。
关于卖红包外挂的都进来
注册时间 最后登录
在线时间1050 小时 UID
主题帖子人气
白苹果, 积分 936, 距离下一级还需 564 积分
这个人都是骗子大家记好了！
(119.59 KB, 下载次数: 29)
20:37 上传
(91.07 KB, 下载次数: 19)
20:37 上传
(206.74 KB, 下载次数: 19)
20:37 上传
(102.63 KB, 下载次数: 20)
20:38 上传
注册时间 最后登录
在线时间1556 小时 UID
主题帖子人气
现在竟然还有红包外挂。。。。。我还以为早挂掉了
注册时间 最后登录
在线时间1103 小时 UID
主题帖子人气
我想私奔，只是还缺了
无聊的人啊
注册时间 最后登录
在线时间1050 小时 UID
主题帖子人气
都是骗子一个回楼主sony128于半小时前发表的: 这个人都是骗子大家记好了！& &......
注册时间 最后登录
在线时间192 小时 UID
主题帖子人气
& & 为了利益，啥人都有。
注册时间 最后登录
在线时间355 小时 UID
主题帖子人气
红包挂还真有，现在9.0.2正用着呢&&偶尔会不管用&&但还好，有利益就有人创造出来
注册时间 最后登录
在线时间545 小时 UID
主题帖子人气
带着思念的等待
有的，拿出来分享下
在这个城市做一次匆匆的过客只为了一个神
注册时间 最后登录
在线时间4 小时 UID
主题帖子人气
分享一下呗回5楼hatier于1 小时前发表的: 红包挂还真有，现在9.0.2正用着呢&&偶尔会不管用&&但还好，有利益就有人创造出来......
注册时间 最后登录
在线时间164 小时 UID
主题帖子人气
想用这东西的人心态就不对，骗你也正常
注册时间 最后登录
在线时间0 小时 UID
主题帖子人气
提示: 作者被禁止或删除 内容自动屏蔽
威锋旗下产品
Hi~我是威威！
沪公网安备 29号　|　沪ICP备号-1
新三板上市公司威锋科技（836555）
增值电信业务经营许可证：
Powered by Discuz!手机抢红包外挂势头不减，有什么措施能够防范么？
随着春节临近，大家抢红包的热情越来越高。也能发现个别群友固定前几名抢到的情况。开挂抢红包的迹越来越明显。部分抢红包插件号称通吃微信手Q红包，使用起来也相当便捷。微信公开课虽然发文说对使用外挂者采取封号措施，感觉仅能起到震慑作用，效果并不明显，真正执行起来不太容易吧。所以问题是大家怎么看待使用外挂抢红包的行为，是否有更好的建议来避免这种现象愈演愈烈，让红包成为部分不守规矩的人赚取利益的工具呢。
按投票排序
第一步，先验证外挂。群里可以由几个人发测试红包，就选1个，1分钱，如果每个人的发一个红包他都可以抢到，是初步检测出他用的外挂。而后发5个1分钱，如果他第一个抢到，验证，而且他一直不说话，可以证明他99%是用外挂了。各种验证一一截图第二步，踢出去这是最简单的阻止他的办法了第三部提供截图
向微信产品团队举报。
脚本挂不好检测。
在做社群营销的时候，很多朋友提出这样一个问题：微信群里除了有一些人抢了红包不做事之外，还有一小撮投机分子使用抢红包神器，这事应该怎么破？当时我不以为然，说这些只是小概率事件而已啦！无关紧要，但是——西西说了这句话之后，群里有人开始发红包测试，还真测试出有一个人在用红包神器，不过他刚开始不承认自己用红包神器：但是有一句话暴露了他，他说：装外挂为什么要T？我想不懂。西西是这样回复他的：几个朋友在屋子里打牌玩，小赌怡情，带个几块钱玩，而你却玩作弊，谁还和你玩？你还能在这个屋子里待着吗？因为没有什么好的方法去证明他是否使用了这个东西，所以西西就像息事宁人，睁一只眼闭一只眼算了，就说：大家都是圈子里的人，开挂体验一下也未尝不可，但是这不是什么生财之道，以后卸载了就好，别玩这个了。没想到对方居然得意洋洋的炫耀自己的抢红包神器，不过这也着实让西西大开眼界：他还得意洋洋的炫耀说：市面上的外挂太他妈差了...傻逼用用的...群里很多都外挂...我能肯定...他们抢不过我就是因为淘宝买了垃圾货... 一番炫耀之后，仿佛一下子由群里的罪人变为群里的大神，大家纷纷向他讨教……西西怕这个人误人子弟为祸人间，所以就毫不留情的T了对方关于抢红包神器，其实腾讯官方早已注意到这一事件，以下为微信团队声明全文：春节越来越近，红包越来越火。但近期微信团队发现有个别用户利用网上各类所谓的“抢红包神器”，违背微信平台运营规则，利用不正当的手段在微信上刷抢红包，并给用户体验以及微信安全带来极大损害。对此 微信团队声明：1. 对于此类利用第三方软件刷抢红包的危害用户安全和体验的行为将给予严厉打击;2. 对于屡次违反微信运营规则，利用第三方软件抢红包的用户将会暂时将其微信帐号关闭，直至用户卸载已安装的抢红包插件后方可解封。同时，微信团队也提醒广大用户，在分发以及抢红包时务必认清官方红包，切勿使用刷抢红包插件刷抢红包威胁自身以及他人微信聊天、微信支付安全。如果广大用户在使用微信的过程中，发现了此类利用第三方插件刷抢红包的行为，可在微信客户端上的各个入口进行举报，或通过以及进行举报。APP是通过安卓系统“辅助功能”里的一个接口，实现在手机通知栏里实时检测红包推送消息，一旦判定是微信红包，软件会自动触发安卓底层功能，快速模拟人工点击。也就是说，这个APP通过一个接口，能够检测红包，并模拟人工点击，快速帮用户去抢红包，整个过程完全自动。不过举报与否，其实很少有人去举报，我喜欢碉堡联盟创始人梁家民说的这样一句话：开挂一时爽，人品丢光光，人脉都玩完，被T无人帮。PS:怪木西西没有想法和任何人结仇结缘，不管是线上还是线下，西西只是阐述一下自己的观点。作者 怪木西西
微信号 jzybing
已有帐号？
无法登录？
社交帐号登录}