This topic created in 3932 days ago, the information mentioned may be changed or developed.
 |
zhouzmJan 30, 2016
1
你看看作者自己是怎么分析安全风险的：
http://blog.cnbang.net/works/2767/ |
 |
chmlaiJan 30, 2016 via iPhone
2
Apple 允许 app 动态下载可执行代码就应该预想到这种事
|
 |
IxiziJan 30, 2016
3
热更新需要保证从服务器下发代码不会被拦截，主要还是代码传输的一个加密吧。
|
 |
TheOutgoingJan 30, 2016 via iPhone
4
@chmlai 这并不是可执行代码，这是脚本
|
 |
breezexJan 30, 2016
5
FireEye 所要表达的是恶意开发者会利用 JSPatch 的动态更新特性，往 APP 中插入恶意代码。。
|
|
breezexJan 30, 2016
6
|
 |
mornlightJan 30, 2016
7
下发脚本过程中可能会被恶意篡改，这个很容易理解和解决，不能叫 JSPath 有安全漏洞。
如果这个叫漏洞的话，我也可以说「中国几千万网站存在安全漏洞」，因为他们都是 http 的。 |
 |
8
@breezex 看了一下，确实是这个意思，那这就不是 JSPatch 的问题了。
Consequences: The app developer can utilize all the Private APIs provided by the loaded frameworks to perform actions that are not advertised to Apple or the users. Since the developer has control of the JavaScript code, the malicious behavior can be temporary, dynamic, stealthy, and evasive. Such an attack, when in place, will pose a big risk to all stakeholders involved. |
 |
hoogleJan 30, 2016 via iPhone
9
JSpatch 趟枪
|
 |
pljhongluFeb 1, 2016
10
作者已经明确指出了安全风险，并建议加密 JS 或者使用 HTTPS ，开发者不重视有什么办法啊~
|
 |
simon4761Feb 1, 2016
11
Dispatch 好冤~
|
 |
tedzhouFeb 2, 2016
12
https 是必须的
|
|
tedzhouFeb 2, 2016
13
|
Select Language