手机app漏洞

去年八月，手机我在一个二手交易平台上买了台号称“九成新”的手机扫地机器人。卖家催我确认收货时，手机我正蹲在地上研究它为什么总往同一个墙角撞。手机后来才发现，手机问题不在机器，手机而在配套App——那个App会在后台偷偷调用摄像头权限，手机每次启动都自动上传一张模糊的手机客厅照片到某个服务器。我没法证明这是手机故意的，但一个扫地机器人需要摄像头干什么？手机

这不是孤例。手机App漏洞分两种：一种是手机技术层面的，代码写得烂，手机缓冲区溢出、手机加密密钥硬编码；另一种是手机设计层面的，功能故意留后门，手机权限能多要就多要。前者像没关好的窗户，后者像房东偷偷配了你家钥匙。

我做过一个小实验。在安卓手机上装了某款下载量过亿的输入法，用抓包工具看它的网络请求。结果每隔四十分钟，它会向一个IP地址发送一串加密字符串。字符串长度和我当时打字的字数高度相关。卸载后换了个开源输入法，同样的操作，网络请求干净得像刚擦过的玻璃。你说这是漏洞还是“特性”？

更隐蔽的是那些不联网也能用的App。比如某款手电筒，安装时要求读取通讯录。你点拒绝，它直接闪退。这种强制授权在安卓早期很常见，现在少了，但没绝迹。去年有个安全团队测了三百款常用App，发现其中十七款会在用户不知情的情况下读取剪贴板内容。剪贴板里有什么？你刚复制的验证码、刚粘贴的银行卡号、刚搜过的关键词。这些数据被打包、压缩、上传，整个过程不到两秒。

有人觉得“我没什么秘密，随便看”。但漏洞利用是连锁反应。你的手机号泄露了，骗子能撞库试出你的社交账号密码；你的定位数据被卖了，保险公司能据此调整你的保费；你相册里那张身份证照片，足够在某个小贷平台开个户。单个数据点不值钱，拼在一起就是你的数字分身。

开发者不是不知道这些问题。我认识一个做独立App的朋友，他告诉我，很多漏洞是“赶工期”赶出来的。老板要求两周上线，安全测试只给半天。加密？用现成的库，参数懒得调。权限？先全要了，用户投诉再删。他说得直白：“用户骂的是卡顿和广告，没人骂权限多。”这话听着刺耳，但点出了真相：市场不为安全买单，漏洞自然没人修。

那普通用户能做什么？别指望应用商店的审核。我试过向某商店举报一款偷偷录音的App，两周后收到回复：“经核实，未发现违规行为。”后来我用系统自带的权限管理器，手动关了它的麦克风权限，世界才安静下来。安卓和iOS现在都有“仅在使用时允许”的选项，把定位、麦克风、相机全设成这个模式，能挡掉八成后台偷窥。剩下的两成，靠定期查“隐私报告”——iOS的“App隐私报告”和安卓的“权限使用记录”，能看到哪些App半夜三点还在读你的位置。

最让我不安的不是技术漏洞，是那种“反正躲不掉”的麻木。我在地铁上问过旁边的人：“你知道这个App在后台传数据吗？”他头也没抬：“知道啊，但不用它我点不了外卖。”这句话比任何漏洞报告都让我后背发凉。我们不是不知道窗户没关，是觉得屋里没什么可偷的。可小偷不这么想。