西秦公子
·
记一次发现小宇宙 iOS 版的跳转注入漏洞
💡
原文中文，约2000字，阅读约需5分钟。
📝
内容提要
本文讨论了小宇宙 iOS 版的跳转注入漏洞。通过分析其 URL Scheme，发现该漏洞可导致跳转至任意网站，包括恶意网站。由于小宇宙未设置 URL 跳转白名单，存在安全隐患。建议应用限制可跳转的域名以降低风险。
🎯
关键要点
- 小宇宙 iOS 版存在跳转注入漏洞，允许跳转至任意网站，包括恶意网站。
- 漏洞源于小宇宙未设置 URL 跳转白名单，导致安全隐患。
- 通过分析小宇宙的 URL Scheme，发现多个可用的跳转链接。
- 建议应用限制可跳转的域名，以降低安全风险。
- 漏洞的风险取决于跳转的网站类型，常规网站风险较小，但跳转到诈骗网站则风险较大。
❓
延伸问答
小宇宙 iOS 版的跳转注入漏洞是什么？
小宇宙 iOS 版的跳转注入漏洞允许用户通过特定的 URL Scheme 跳转至任意网站，包括恶意网站。
这个漏洞是如何被发现的？
漏洞是通过分析小宇宙的 URL Scheme 发现的，研究者构建了特定链接并成功跳转到自己的博客，从而识别出漏洞。
小宇宙为什么会出现这个漏洞？
小宇宙未设置 URL 跳转白名单，导致用户可以跳转到任意网站，从而产生安全隐患。
如何降低小宇宙跳转注入漏洞的风险？
建议小宇宙限制可跳转的域名，避免用户跳转到恶意网站，从而降低安全风险。
跳转到常规网站和诈骗网站的风险有什么不同？
跳转到常规网站的风险较小，而跳转到诈骗网站则可能导致较大的安全风险。
小宇宙在发现漏洞后采取了什么措施？
在文章发布前，小宇宙已经修复了这个跳转注入漏洞。
➡️
