今日头条与木马

近期，央视新闻报道了今日头条选择性推送广告的行为，即，今日头条有选择地避开一线城市，将虚假广告推送给二三线城市。

虽然定向推送这种技术并不新鲜，今日头条用这种技术偷偷作恶，却着实令人担忧。幸好，作恶的对象是二三线的居民，生活在一线城市的我们，似乎还可以心存侥幸？

可惜，并非如此。因为今日头条客户端在设计上，就是一个功能强大的木马。它可以做什么呢？

窃取你手机里的机密文件，今日头条能做到。

随时对你进行定位，顺带记录和识别你和别人的谈话，外加无声拍照，今日头条能做到。…………总体来讲，只有它想不想做，没有它做不到。

今日头条是不是一个木马？

这个问题如果由今日头条回答，是个公关问题，答案肯定是否定的。然而它实际上是否如此呢？我们就要看看它的客户端，用技术说话了。

今日头条几乎获取了所有权限

从信息安全的角度来讲，应用应仅取得必要的权限，但是今日头条基本把敏感权限都请求了。

对今日头条客户端APK的分析结果，显示今日头条申请的权限如下：

上述的这些权限能做什么，各位可以通过百度查找。

这里面有几个尤其敏感的：

基本上木马梦寐以求的各种权限，作为一个新闻客户端的今日头条都要了。

今日头条的热补丁机制随时可以运行木马代码

确实，申请了过多权限并不一定代表今日头条代码里会进行木马行为。

然而你知道神奇的地方是什么吗？今日头条的客户端安装包只有20M，里面基本上没什么东西。

它的许多功能都是通过热补丁按需下载安装的，不要误会，不是按照你的需要，而是按照今日头条的需要。

比如它一个典型的热补丁列表，这个"robust_hotfix_for_66509"就是一段未加验证就加载的可执行代码。

今日头条有能力随时下发一段代码，让手机里的客户端去执行。至于下发什么代码、给什么人下发、什么条件下下发，那完全能是看人下菜碟。就像今日头条对二三线城市用户做的事情那样。

苹果为什么禁止热补丁，一个原因就是担心这样的情况发生。

模拟演示

口说无凭，我们来看一看。

这个热补丁包是一段单纯的二进制代码（DEX文件），没有任何保护。

我们使用二次打包的方式，把它修改成木马代码，然后利用中间人，仿冒今日头条的服务端去下发这段代码。

注意：今日头条的服务端可以实现一模一样的事情，我只是在冒充它的服务端。

我使用的官方下载的今日头条客户端，仅仅是修改了网络请求，下发了木马热补丁，可见木马控制端已经连接。

而今日头条热补丁升级的HTTPS证书校验也并没有实现行业推荐的SSLpinning（也或许它就不重视安全），也就是说，即便今日头条不下发木马，你在不安全的WIFI下只要使用了今日头条，照样可能被黑客在手机里种上木马。

有人说，国内知名应用大都有热补丁。没错，先不说别人没这么不自律，人家的热补丁大都实现得很安全，您一个单dex直接加载，黑客不劫持都对不起观众了吧？

而且看看评论区的态度，人家应用都是知道热补丁对用户很危险所以小心谨慎地做好安全，而您面对安全是“有几个应用不用热补丁？”，pardon me?

结论

在信息安全领域里，攻击是否会发生要从两个维度考虑，即能力与意愿。

从今日头条客户端的设计上看，今日头条具有木马的一切能力，唯一的问题是，今日头条是否有作恶的意愿？

从今日头条选择性虚假广告上看，这并不是一个足够自律的企业，它是否能抵御用户隐私的诱惑呢？要打一个巨大的问号。但是即便今日头条能抵御诱惑，其客户端设计存在的安全问题，也给了别有用心的黑客太多的机会。

因此，公众有必要知道，使用今日头条客户端存在严重的安全风险。

在这个安全风险得到解决之前，

建议涉密部门、涉密设备禁止安装今日头条客户端；

建议禁止安装今日头条客户端的手机连入企业内网；

建议对个人隐私有要求的用户卸载今日头条客户端。

在互联网时代，信息安全的确不一定能跟得上业务的快速变化，相关国家标准的制定也必然慢于新技术的发展。可以说，存在安全风险是必然的，厂商获得不受监管的巨大权力也是必然的。

在这种条件下，厂商面对作恶的态度和自律就显得尤为重要，应该珍惜用户这份信任。但是倘若厂商作恶，不要心存侥幸，因为有人会站出来，我们信息安全从业者众多，自会用我们的方式守护公众的安全。