研究人员展示如何利用SQLite数据库漏洞攻击iMessage

小编来报：这名来自CheckPoint的技术专家向观众展示了如何利用此类漏洞，并呼吁业内专家对此进行研究。

据外媒报道，在拉斯维加斯举办的DEF CON安全会议上，来自CheckPoint的安全研究员Omer Gull向观众展示了如何利用SQLite的漏洞来攻击iOS设备。

在会议上，Gull将恶意软件伪装成一个名为“AddressBook.sqlitedb”的文件，当iMessage查询此SQLite文件时，该恶意软件将会自动启动并持续潜伏在iMessage程序中。Gull解释到，因为苹果公司并未签署SQLite数据文件，所以他可以轻而易举地将恶意软件代码隐藏到SQLite数据库中。当第三方应用程序（如iMessage）读取藏有恶意代码的SQLite数据库时，恶意软件将被激活并隐藏在受害者的设备上。

Gull表示，此类漏洞是双向的，就像黑客可以对iMessage进行攻击，技术人员也可以利用SQLite漏洞进行反击。据悉，浏览器会把用户保存的账号密码储存在SQLite数据库中，而为了窃取此类文件，黑客会使用信息窃取程序将其提取并下载到远程命令和控制（command-and-control，简称C&C）服务器中。而技术人员可以将特殊代码伪装成数据文件，诱导黑客进行下载并趁机接管黑客的C&C服务器系统。

据了解，依赖于SQLite数据库的应用程序数量众多，包括Skype、所有的网页浏览器、安卓系统应用程序、Dropbox同步客户端及汽车多媒体系统等。Gull呼吁安全行业应该就此类问题展开研究和探讨，以保证网络社区的安全。

注：本文由E安全编译报道,转载请注明原文地址

https://www.easyaq.com