iOS UIActivity Sharing危险实现的攻击方式与危害原理咨询

核心危害 #

• 敏感数据无授权泄露：如果APP未限制分享接收方范围，用户分享隐私数据（如聊天记录、银行卡后四位、身份信息）时，恶意APP可通过注册对应UIActivity类型直接接收数据，导致隐私外泄。
• 恶意操作诱导执行：恶意APP可伪装成合法分享目标（如笔记、云盘APP），接收内容后篡改数据（比如把转账链接换成钓鱼链接），再诱导用户二次操作；甚至利用分享接口触发系统权限申请、跳转至恶意网页。
• 身份冒充与会话劫持：若分享内容包含会话令牌、用户认证Cookie等敏感凭证，恶意APP获取后可直接冒充用户身份访问后台服务，窃取账号资产或进行非法操作。

典型攻击实施流程 #

1. 恶意APP注册接收类型：攻击者开发恶意APP，在Info.plist中注册目标APP常用的分享类型（如com.apple.UIKit.activity.Message、自定义活动类型），并将APP伪装成普通工具类应用（比如备忘录、文件管理器）上架或通过企业证书分发。
2. 诱导用户触发分享：通过社交工程手段（比如虚假中奖提示、APP内钓鱼弹窗），让用户在存在漏洞的目标APP中发起分享操作，并选择恶意APP作为接收方。
3. 窃取/篡改分享数据：用户确认分享后，恶意APP的UIActivityItemSource或UIActivityViewController回调会接收到目标APP传递的原始数据，攻击者可直接存储数据，或篡改后重新转发给合法接收方（比如把正常分享内容替换成钓鱼链接）。
4. 后续滥用数据：利用窃取的隐私信息实施电信诈骗，或使用会话凭证登录用户关联账号（如电商、社交平台）进行非法操作。

对应MASTG测试要点补充 #

MASTG-TEST-0071核心是验证APP是否对UIActivity分享做了安全限制：

• 检查APP是否仅允许向信任的预定义接收方分享数据；
• 确认分享数据是否做了脱敏处理（比如隐藏敏感字段的部分内容）；
• 验证是否对接收方合法性做了校验（比如检查接收APP的Bundle ID签名）。

内容的提问来源于stack exchange，提问作者mob2024