文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

揭秘：安卓木马是如何盗取用户手机银行的

图13：在伪造的登录页显示的流量 下面的视频解释了一个真实的攻击情形，当用户的手机被感染时，他们的网上银行凭据是如何被窃取的。...图14：发送窃取的凭证 截取一次性密码（OTP） 银行经常把短信作为一次性密码（OTP）发送给用户作为用户ID和密码之外的登录凭证。...获取这种额外的登录凭证需要攻击者进入受害者的设备获取接入OTP的权限来获取OTP。 恶意软件通过把自己注册成安卓操作系统的SMS广播接收方来完成OTP获取工作。...第一步：把你的手机或者平板设置为安全模式。...图22：卸载银行木马 第四步：用正常模式重启手机 更多如何找到恶意软件的指示 通过使用如文件管理或者安卓SDK工具的adb第三方应用，你可以浏览额外的存储信息，如SD卡等，然后你可以查看隐藏文件（在文件名前加

4.3K90
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    Android 渗透测试学习手册 第三章 Android 应用的逆向和审计

    我们还将使用工具（如 Apktool，dex2jar 和 jd-gui）来逆向应用程序。 我们将进一步学习如何通过逆向和分析源代码来寻找 Android 应用程序中的各种漏洞。...我们还可以使用file命令来查看它是否是一个有效的压缩包。 Android 应用程序由各种组件组成，它们一起创建可工作的应用程序。 这些组件是活动，服务，广播接收器，内容供应器和共享首选项。...共享首选项（Shared Preference）：应用程序使用这些首选项，以便为应用程序保存小型数据集。此数据存储在名为shared_prefs的文件夹中。...这些小数据集可以包括名值对，例如游戏中的用户得分和登录凭证。不建议在共享首选项中存储敏感信息，因为它们可能易受数据窃取和泄漏的影响。...许多 Android 应用程序在共享首选项，SQLite（纯文本格式）或外部存储器中，存储与用户相关的私密信息或应用程序信息。

    1.9K10

    多因子类身份认证

    首先我们的密码是由用户自我定义设置的，期间不排除用户设置弱口令密码或者使用键盘布局的脆弱密码(当然部分考虑安全的系统会制定对应的密码策略对其进行限制)，其次即便我们使用了极为复杂的密码，也不能完全规避"...社工钓鱼"和"中间人"攻击等威胁，攻击者可以通过脱浏览器端的凭据信息等方式获取用户的密码，再者就是用户都有一个特征就是"惰性"，很多用户在多个网站可能会使用同一个登录密码，故此攻击者可以通过找寻被泄露的账户密码获取到真实的账户密码信息并实现登录操作...OTP的实现方式主要有以下几种： 时间同步OTP(Time-based OTP，TOTP)：基于时间的OTP使用时钟同步机制生成一次性密码，用户和系统之间共享一个密钥，结合当前时间生成密码，常见的实现包括...，用户和系统之间共享一个密钥和计数器，每次使用时计数器增加，常见的实现包括YubiKey硬件令牌 认证实现 下面是几种常见的双因子认证实现技术： 软件令牌 实现方式：用户在登录时会收到一条包含验证码的短信...，系统会将用户输入的验证码与发送到用户手机的验证码进行比对，如果验证成功则允许进行下一步操作 简易示例：当用户登录谷歌账户时谷歌身份验证器应用程序会生成一个动态验证码，用户需要在登录过程中输入正确的验证码以完成身份验证

    3K10

    使用aerogear生成totp

    序 本文主要讲述一下如何使用aerogear-otp生成otp，以及相关源码分析 otp分类 全称是one time password，通常用来支持双因素认证。...由于google的软件在国内被墙，因此可以使用阿里云的身份宝 服务端 服务端的话，google官方有c的代码，java的话很多第三方都有实现，这里选择jboss提供的aerogear-otp-java，...并保存下来 服务端提供该密钥的二维码扫描功能，方便客户端扫描绑定账号 用户手机安装Google Authenticator APP或阿里云的身份宝，扫描二维码绑定该账号的secret 使用otp验证 绑定...默认值是1，即允许那个code在手机端过期30秒之内到服务端验证还有效。 clock aerogear-otp-java-1.0.0-sources.jar!...doc 身份宝 google-authenticator Java 接入 Google Authenticator 使用OTP动态口令（每分钟变一次）进行登录认证 GoogleAuth aerogear-otp-java

    2.1K20

    基于验证码劫持的 WhatsApp 钓鱼攻击机制与防御策略研究

    2025年10月起，新加坡爆发一起大规模 WhatsApp 账户劫持事件，攻击者通过伪造官方短信诱导用户在钓鱼页面提交手机号与一次性验证码（OTP），成功接管超过7000个账户，并利用被盗账号向联系人实施熟人借贷诈骗...该事件中，攻击者发送伪装为 WhatsApp 官方的短信，声称“账户因长期未验证存在风险”，诱导用户点击链接并输入手机号及随后收到的六位数字 OTP。...3 现有防御机制的局限性3.1 OTP 作为单一认证因子的脆弱性WhatsApp 的初始注册流程仅依赖“手机号 + OTP”完成身份绑定，本质上属于单因素认证（Something You Have）。...3.2 两步验证（Two-Step Verification）的启用率与恢复机制缺陷WhatsApp 自2016年起提供可选的两步验证功能，要求用户设置6位 PIN 码，在更换设备或长时间未登录时额外验证...Android 客户端可利用 Keystore 安全存储 PIN 哈希：// 使用 Android Keystore 安全存储两步验证 PINKeyStore keyStore = KeyStore.getInstance

    43010

    Android教程-保存数据-保存键值对

    数字Java文件IO的API 熟悉SQL数据库 大多数Android应用需要存储数据，即使只是在onPause()期间存储有关应用的状态信息，以便用户的操作进度不会丢失掉。...本课程向你介绍向你介绍在Android中存储数据的主要选择，包括: 在一个共享的首选项文件中保存简单数据类型的键值对 在Android的文件系统中保存任意文件 使用有SQLite管理的数据库...每一个SharedPreferences文件由框架来进行管理，并且可以是私有的或者是共享的。 这里向你展示如何使用SharedPreferences API来存储和获取简单的值。...— 如果你需要多个由名称标示的共享首选项文件，就可以使用这个方法....写入共享首选项 为了向一个共享首选项文件写入，通过在你的SharedPreferences上调用edit()，创建一个SharedPreferences.Editor。

    3.5K10

    React Native环境配置、初始化项目、打包安装到手机，以及开发小知识

    可执行文件即可在电脑上投影手机屏幕，如下图 运行可执行文件之前，使用数据线连接Android手机，进行开发者选项设置（不同的手机进入开发者模式略有差异，自行搜索，我用的是华为手机） 电脑端查看连接设备...软件 开发者选项配置修改，最终实现在电脑上可以投屏手机，并可以在电脑上操控手机 7.2、打开 android studio 编辑器，运行项目 npm run android or ---------...，Android允许我们通过ADB，把Android上的某个端口映射到电脑（adb forward），或者把电脑的某个端口映射到Android系统（adb reverse），在这里假设电脑上开启的服务，...Android手机通过USB连接电脑后，在终端直接执行adb reverse tcp:8081 tcp:8081，然后在手机中访问127.0.0.1:8081，就可以访问到电脑上启动的服务了。...解决方法： 快捷键Ctrl+Shift+P，输入setting.json，选择 首选项:打开设置(json)。

    3.4K20

    雅虎日本的无密码认证

    最近，通过在输入元素的autocomplete属性中指定 "一次性代码"，就可以使用建议。Android、Windows和Mac上的Chrome浏览器可以使用WebOTP API提供同样的体验。...然后我们可以分析不同的浏览器和应用程序是如何进行认证的。根据用户的设置、以前使用的认证方法以及所需的最低认证级别，要求用户提供适当的认证。...一旦他们登录了，我们鼓励用户设置FIDO认证。 由于FIDO是按设备设置的，如果设备无法使用，恢复账户可能很困难。因此，我们要求用户保持他们的手机号码注册，即使他们已经设置了额外的认证。...当使用SMS认证从PC上登录时，用户必须检查他们的手机是否有传入的SMS信息。这可能很不方便，因为它要求用户的手机随时都可以使用，而且很容易进入。...苹果公司使用iCloud Keychain在使用同一Apple ID登录的设备之间共享私钥（存储在设备上），这样就不需要为每台设备进行注册。

    2K41

    谷歌账户钓鱼进入“自动化收割”时代，你的Gmail还安全吗？

    凌晨3点，程序员李明被手机震动惊醒。他收到一条来自“Google安全中心”的推送：“检测到您的账户在莫斯科有异常登录尝试，请立即验证身份。”...页面UI与他每天使用的Gmail设置页如出一辙——熟悉的Material Design风格、蓝色主按钮、底部谷歌版权标识一应俱全。他毫不犹豫地输入了邮箱和密码。...受害者看到自己手机弹出验证码，自然认为“这是正常流程”，殊不知验证码正是攻击触发的。二、技术深潜：自动化脚本如何在8秒内完成账户接管？要理解攻击的高效性，必须剖析其后端自动化引擎。...邮件过滤器无法识别“语义诱导”诱饵消息常通过非邮件渠道（如Telegram、WhatsApp）发送，绕过SEG。即便通过邮件，内容也多为“有人共享了文档”等中性语句，无恶意关键词。...用户只需在Android/iOS设置中开启，并在myaccount.google.com/security中注册即可。

    31610

    密码管理和2FA管理软件

    撞库是黑客通过收集互联网已泄露的用户和密码信息，生成对应的字典表，尝试批量登录其他网站后，得到一系列可以登录的用户。...很多用户在不同网站使用的是相同的帐号密码，因此黑客可以通过获取用户在A网站的账户从而尝试登录B网址，这就可以理解为撞库攻击。...用户通过扫描服务提供商显示的二维码将应用程序与帐户配对；然后，应用程序会为每个帐户持续生成基于时间的一次性密码 OTP (TOTP) 或其他软件令牌，通常每 30-60 秒生成一次。...目前使用Microsoft Authenticator可直接设置无密码登录，微软账号体系直接采用推送通知登录，支持删除密码直接使用免密登录。...安全方面，Authy使用pin和生物识别认证系统来保护数据免受未经授权的使用。 Authy身份认证功能： OTP通过短信或语音呼叫双因素认证。 在应用程序中生成TOTP。

    3.1K01

    如何在Ubuntu 14.04上使用双因素身份验证保护您的WordPress帐户登录

    在本教程中，我们将学习如何在WordPress中为登录过程添加额外的安全层：双因素身份验证。这是网络安全领域最重要的发展之一。...登录站点或系统时，双因素身份验证或“2FA”包含两个步骤： 您的用户名和密码 随机生成的，时间相关的代码（即代码在固定的持续时间后到期）称为一次性密码（OTP） 您可以通过多种方式访问OTP： 短信 电话...电子邮件 离线，通过移动应用程序 虽然银行和交易账户等高风险系统使用SMS交付进行敏感交易，但我们将使用离线模式生成OTP。...在本教程结束时，我们还将介绍一种防故障恢复技术，以防您丢失手机。让我们开始！ 准备 一台已经设置好可以使用sudo命令的非root账号的Ubuntu服务器，并且已开启防火墙。...我们将使用此应用程序生成我们的一次性密码以登录我们的WordPress网站。 FreeOTP由RedHat赞助，拥有适用于Android和iOS的应用程序。以下是获取应用程序及其官方项目的链接。

    3.5K00

    【JS】1693- 重学 JavaScript API - Web Storage API

    1.2 作用和使用场景 Web Storage API 具有许多使用场景，比如： 保存用户的首选项和设置 缓存数据以提高应用程序的性能 在不同页面之间共享数据 实现离线应用程序 2....如何使用 Web Storage API 要使用 Web Storage API，步骤如下： 通过 localStorage 或 sessionStorage 对象访问 API； 使用 setItem(...实际应用 以下介绍 5 个实际应用场景： 3.1 保存用户首选项和设置 Web Storage API 是保存用户首选项和设置的理想选择。...通过将用户的偏好保存在本地浏览器中，可以提供更好的用户体验，并在用户下次访问网站时恢复其个性化设置。...：8+ ✅ Edge：12+ ✅ Opera：10.50+ ✅ iOS Safari：3.2+ ✅ Android Browser：2.1+ ✅ Chrome for Android：18+ ✅ 你也可以通过

    1.2K40

    14个UI精美功能强大的Android应用设计模板

    此Android模板含有大量字段和40多个精美的图标，以及15个以上的屏幕，如登录、注册页面、主页、类别列表等。一切都是 以细节为导向的风格，紧跟当今最新的移动趋势。...功能： 登录页面 注册页面 指纹页面 OTP验证 我的交易 优惠页面 搜索页面 我的帐户页面 下载模板 3. Opel Banking - 在线钱包App ?...功能： 登录页面 注册页面 指纹页面 OTP验证 新闻详细页面 我的交易 优惠页面 搜索页面 我的帐户页面 下载模板 9、CoCo News - 新闻阅读App ?...此模板每个XML和JAVA文件中的点都包含注释，以便于理解。它包括一个30多个图标和25个页面，如登录、OTP屏幕、主页等。...功能： 步入式页面 登录页面 主页面 产品视图页面 购物车页面 付款页面 个人资料页面 设置页面 下载模板

    5.1K10

    C# Xamarin移动开发基础进修篇

    2）、本次分享课程包含以下干货知识点: 1、BIOS如何开启Virtual Technology虚拟化技术 2、Android手机(魅蓝NOTE 3)如何开启开发者调试 3、如何快速上手通过Xamarin...小萝贝控机大师：是一款免费的用电脑控制手机的工具,能够帮助你通过USB或WIFI用电脑实时控制手机;可以用一台电脑同时控制操作多台手机;可以录制控制脚本等等。...http://www.udaxia.com/upqd/5254.html 6.2、Android手机(魅蓝NOTE 3)如何开启开发者调试 魅蓝note3怎么进入开发者选项步骤： 1、点击设置按钮...，先进入设置界面，切换到全部设置界面； 2、下滑界面，进入“关于手机”选项，下滑界面，找到“版本号”，在“版本号”的项目栏里，连续点击7次，就会提示开启开发人员选项； 3、回到设置界面，下滑到最后，...C#开挂程序，实现就是通过模拟adb发送指令给手机从而达到控制的目的。

    8.1K20

    VS Code进阶

    VSC在界面布局和使用习惯上承袭了Visual Studio的很多优点，但更加轻量化。...可以通过「首选项/键盘快捷方式」来对IDE的所有快捷键进行自定义设置（默认设置可参考），还能通过「首选项/键映射扩展」快速将快捷键重置为其他IDE的配置，比如习惯了Eclipse开发的开发者只需安装一个...代码调试：插件中提供了python、C++、Javascript、C#、Go等几十种编译器，以后开发和调试也可以一起愉快的玩耍了～ 自定义设置：除了IDE的自身设置外，大部分插件也提供了设置项，都可以通过...「首选项/设置」来进行自定义配置。...当需要重新搭建开发环境时如何快速配置VSC？ A：可以使用Settings Sync对VSC配置进行同步，用你的Gist仓库进行数据托管。

    4.4K90

    后OTP时代：基于AFASA法案的无密码认证架构演进研究

    由于SMS-OTP严重依赖“手机号”这一单一标识符，一旦手机号控制权易主，整个认证体系即刻崩溃。2.2 钓鱼中间人（AiTM）与实时中继攻击除了网络层面的拦截，应用层的钓鱼攻击也在不断进化。...这意味着用户更换手机或电脑时，无需重新注册，即可在新设备上使用生物特征登录。Passkeys的出现极大地降低了无密码认证的使用门槛，使其能够大规模普及。...一旦用户丢失手机或设备损坏，如何恢复访问权限成为关键问题。虽然Passkeys支持云同步，但仍存在云端账户被盗导致密钥链泄露的风险。此外，若用户忘记了云账户密码，也可能导致永久锁定。...从基于共享秘密的SMS-OTP转向基于公钥密码学与生物特征的FIDO2标准，不仅是技术协议的迭代，更是安全哲学的重塑。...未来，随着量子计算等新兴技术的崛起，无密码认证体系也需不断演进，如引入抗量子签名算法等。但无论如何，摆脱对易受攻击的信道与共享秘密的依赖，将是网络安全永恒的主题。

    18110

    IntelliJ IDEA 2023.2 主要更新了什么？(纯文本介绍版)

    在 macOS 上的新 UI 中使用全屏模式时，窗口控件现在直接显示在主工具栏中，而不是像以前那样显示在浮动栏中。 在 “设置”/“首选项”|”编辑 |检查 ，我们为代码示例实现了语法突出显示。...现在，您可以使用下拉菜单快速选择要添加到工具栏的操作。 我们更新了 设置/首选项 |插件 部分，现在包括一组建议的插件，这些插件会根据您的项目细节自动确定。...性能 IntelliJ IDEA 2023.2 具有新的命令行工具 ，只需单击几下即可快速构建和上传共享索引 ，而无需使用多个脚本和服务。 了解更多 。...数据 编辑器和查看器 设置页面具有一个新的 时区 字段，用于设置时区，其中 datetime 应显示值。 我们已经在 Redshift 中实现了对外部数据库和数据共享的支持。...IntelliJ IDEA捆绑的Android插件现在提供Android Studio Giraffe Beta 2的功能，包括对Android Gradle插件（AGP）8.0.0的支持。

    1.6K10

    VS Code进阶

    VSC在界面布局和使用习惯上承袭了Visual Studio的很多优点，但更加轻量化。...可以通过「首选项/键盘快捷方式」来对IDE的所有快捷键进行自定义设置（默认设置可参考），还能通过「首选项/键映射扩展」快速将快捷键重置为其他IDE的配置，比如习惯了Eclipse开发的开发者只需安装一个...代码调试：插件中提供了python、C++、Javascript、C#、Go等几十种编译器，以后开发和调试也可以一起愉快的玩耍了～ 自定义设置：除了IDE的自身设置外，大部分插件也提供了设置项，都可以通过...「首选项/设置」来进行自定义配置。...Q：我有多个开发机器，如何在它们之间同步IDE配置和插件？当需要重新搭建开发环境时如何快速配置VSC？ A：可以使用Settings Sync对VSC配置进行同步，用你的Gist仓库进行数据托管。

    2.4K20

    2FA双重身份验证工具 - GitHub、google、微软、百度、腾讯等全面启用

    现在，越来越多的在线服务和应用程序支持 2FA，推荐用户启用 2FA 以增强账户安全性现在目前github、微软、谷歌用的是手机验证应用程序生成的一次性密码（OTP），断网情况下依然能使用，每次打开生成一个...以下是其核心功能及使用场景的详细说明：核心功能与原理‌动态口令生成：通过算法（如HMAC-SHA1）结合服务器提供的共享密钥和时间戳生成6位动态密码，每30秒自动更新一次，确保密码的时效性和唯一性。...用户友好的使用指南。该应用包含基本步骤的说明，例如如何添加2FA代码。通过 Google Cloud 在智能手机、平板电脑和 Windows PC 之间同步您的帐户。当您设备丢失时，轻松恢复您的帐户。...现在您可以在网站上输入我们应用程序生成的一次性密码（OTP 软件代码）进行登录了！手机商城微软的Authenticator使用 Microsoft Authenticator 安全轻松地登录。...使用 Microsoft Authenticator 时实现轻松便捷的安全登录。使用手机（而非密码）登录到 Microsoft 帐户。只需输入用户名，然后批准发送到手机的通知即可。

    3.9K10
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券