腾讯演示安全漏洞：可冒充银行等机构向用户发送短信-德赢Vwin官网网

垃圾短信通常是由黑产份子利用非法购买的无线电设备，建立“伪基站”所发出，现在，有白帽黑客团队发现，利用通信协议漏洞，也可以“制造”垃圾短信效果。

10月24日，在GeekPwn 2020 国际安全极客大赛上，腾讯安全玄武实验室高级研究员李冠成、戴戈演示了一项最新的5G安全研究发现：利用5G通信协议的设计问题，黑客可以“劫持”同一个基站覆盖下的任意一台手机的TCP通讯，包括各类短信收发、App和服务端的通信均有可能被劫持。

李冠成和戴戈演示了攻破5G消息（RCS）的过程，以“20201024”的号码向一台指定的手机发送了一条消息。

实际上，消息不仅仅是可以以“20201024”的号码发出，而是可以模仿任意号码。

据腾讯方面介绍，这一漏洞意味着，用户收到一条显示为“955**”的银行短信或者App消息推送有可能来自未知的恶意用户，黑产团伙可以利用这个漏洞实施多种形式的攻击，例如伪造银行向受害者发送短信告知异常交易，引导受害者去点击一个链接，实际上这个链接被植入木马，可以窃取受害者银行卡信息;也有可能伪造受害者的手机号向其家人发短信，提出转账或者其他要求;甚至劫持任意HTTP访问，造成用户账号密码等敏感信息泄露。

据玄武实验室透露，这项漏洞是通信协议漏洞，不依赖于任何特定设备或者网络环境，只要攻击者和被攻击者处于同一个基站覆盖下就可以完成攻击，并且整个过程用户侧毫无感知。5G、4G、3G通信协议中均存在这个漏洞。

“这个问题影响世界上所有的手机，”腾讯安全玄武实验室负责人于旸告诉澎湃新闻（www.thepaper.cn）记者，“4G5G下跑的RCS都是可以被劫持，实际上（利用这一漏洞）可以‘劫持’4G和5G下任何的网络通信。”

“随着通信技术的升级换代，从整体上看5G通讯在安全性上有了更大的保障，但并不意味着我们可以对5G安全问题掉以轻心。”腾讯安全玄武实验室高级研究员李冠成表示。

“我们会通知信息安全主管部门，然后也会跟相关的标准组织知会这件事情。”于旸表示。

不过，对于普通用户来说可能不必过多担心。于旸认为，该漏洞攻破的技术难度“相当之大”，“在我们实验室历史研究里，这个算是比较难的。”谈及漏洞的发现过程，腾讯安全玄武实验室高级研究员李冠成和戴戈称，5G的标准文档量非常大，如何从数千万字的海洋里发现漏洞，是非常困难的事情。

发现漏洞，然后将其公布给厂商修复，以免“黑帽黑客”从中盗取信息、牟利，这是“白帽黑客”的工作日常。每年的GeekPwn国际安全极客大赛会汇集大批白帽黑客，在本次比赛中，挑战者演示了自制雷达干扰自动驾驶的汽车等场景。

碁震KEEN公司创始人、GeekPwn大赛发起创办人王琦在大会上表示，“极客不应该是黑色的，也不应该是神秘的。极客其实像医务工作者一样，通过提前发现漏洞来避免问题。我相信极客可以用自己的好奇心去发现未知的缺陷，可以用自己的责任感去吹响提醒的号角。”
责编AJX

声明：本文内容及配图由入驻作者撰写或者入驻合作网站授权转载。文章观点仅代表作者本人，不代表德赢Vwin官网网立场。文章及其配图仅供工程师学习之用，如有内容侵权或者其他违规问题，请联系本站处理。举报投诉

通信

通信

+关注

关注
18

文章
6024

浏览量
135949
短信

短信

+关注

关注
0

文章
38

浏览量
12866
安全漏洞

安全漏洞

+关注

关注
0

文章
151

浏览量
16709

对称加密技术有哪些常见的安全漏洞？

对称加密技术在实际应用中可能面临的安全漏洞主要包括：实现不当：错误的加解密实现、弱随机数生成器或其他逻辑错误都可能导致安全漏洞。漏洞利用：利用已知的弱点或攻击手段，如理论上可行的分组攻击或侧

发表于 12-16 13:59 •58次阅读

物联网系统的安全漏洞分析

设备制造商的安全意识不足许多物联网设备制造商在设计和生产过程中，往往忽视了安全问题，导致设备存在先天性的安全漏洞。这些漏洞可能包括弱密码、未加密的数据传输、不

发表于 10-29 13:37 •351次阅读

如何使用 IOTA 分析安全漏洞的连接尝试

在当今数字化世界中，网络安全变得至关重要。本文将探讨如何利用流量数据分析工具来发现和阻止安全漏洞和恶意连接。通过分析 IOTA 流量，您可以了解如何识别不当行为，并采取适当的措施来保护您的网络和数据。我们将深入研究IOTA的工作流程，以了解如何准确地分析连接尝试，并识别可

发表于 09-29 10:19 •261次阅读

如何使用 IOTA 分析<b class='flag-5'>安全漏洞</b>的连接尝试

漏洞扫描一般采用的技术是什么

漏洞扫描是一种安全实践，用于识别计算机系统、网络或应用程序中的安全漏洞。以下是一些常见的漏洞扫描技术：自动化漏洞扫描：网络扫描：使用

发表于 09-25 10:27 •348次阅读

漏洞扫描的主要功能是什么

漏洞扫描是一种网络安全技术，用于识别计算机系统、网络或应用程序中的安全漏洞。这些漏洞可能被恶意用户利用来获取未授权访问、数据泄露或其他形式的

发表于 09-25 10:25 •389次阅读

小米科技高级安全专家：智能汽车Tbox安全漏洞分析

GeekPwn和汽车安全比赛并荣获多项大奖。精通IOT、移动端和车联网安全。在车联网安全体系建设和漏洞挖掘上有着丰富的安全经验和深入的研究。

发表于 05-27 14:31 •1224次阅读

小米科技高级<b class='flag-5'>安全</b>专家：智能汽车Tbox<b class='flag-5'>安全漏洞</b>分析

Adobe修复35项安全漏洞，主要涉及Acrobat和FrameMaker

值得关注的是，Adobe对Acrobat及Acrobat Reader软件的漏洞修复最为重视，共修复了12个漏洞，其中9个为“远程执行代码”严重漏洞，主要由RAM的“Use After Free”类型

发表于 05-16 15:12 •727次阅读

谷歌迅速修复Chrome浏览器安全漏洞，已向用户推送更新

谷歌已向Mac/Windows及Linux平台分别推出125.0.6422.60/.61与125.0.6422.60版Chrome浏览器，预计数周内完成全网部署。

发表于 05-16 11:43 •437次阅读

PuTTY等工具曝严重安全漏洞：可还原私钥和伪造签名

据报道，知名SSH和Telnet工具PuTTY于4月18日暴露安全漏洞CVE-2024-31497，涉及版本0.68至0.80。仅需使用60个签名，攻击者即可还原私钥。为应对此风险，官方更新推出0.81版本，呼吁使用者尽快升级。

发表于 04-18 10:06 •654次阅读

鸿蒙原生应用元服务-访问控制（权限）开发Stage模型向用户申请授权

一、向用户申请授权当应用需要访问用户的隐私信息或使用系统能力时，例如获取位置信息、访问日历、使用相机拍摄照片或录制视频等，应该向用户请求授权。这需要使用 user_grant 类型权

发表于 04-15 16:44

微软修复两个已被黑客利用攻击的零日漏洞

此次更新的精英账号“泄露型”安全漏洞（代号：CVE-2024-26234）源于代理驱动程序欺骗漏洞。萝卜章利用可信的微软硬件发布证书签名恶意驱动程序。

发表于 04-10 14:39 •556次阅读

iOS 17.4.1修复两安全漏洞，涉及多款iPhone和iPad

　据报道，iOS/iPadOS17.4.1主要解决了Google Project Zero团队成员Nick Galloway发现并报告的两大安全漏洞（CVE-2024-1580）。

发表于 03-26 10:47 •722次阅读

芯盾时代中标秦农银行构建安全便捷的业务体系

芯盾时代中标陕西秦农农村商业银行股份有限公司（以下简称“秦农银行”）！芯盾时代运用统一终端安全、零信任网络访问和智能决策大脑等技术，为秦农银行

发表于 03-12 11:05 •634次阅读

苹果承认GPU存在安全漏洞

苹果公司近日确认，部分设备中的图形处理器存在名为“LeftoverLocals”的安全漏洞。这一漏洞可能影响由苹果、高通、AMD和Imagination制造的多种图形处理器。根据报告，iPhone 12和M2 MacBook Air等

发表于 01-18 14:26 •675次阅读

源代码审计怎么做？有哪些常用工具

源代码审计是一种通过检查源代码来发现潜在的安全漏洞的方法。下面是常用的源代码审计工具： 1、Fortify：通过内置的五大主要分析引擎，对源代码进行静态分析，并与特有的软件安全漏洞规则集进行全面

发表于 01-17 09:35

搜索历史

腾讯演示安全漏洞：可冒充银行等机构向用户发送短信

评论