垃圾网易，开发 iOS 还用黑苹果？ Xcode 还在百度上去下载？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 3355 天前的主题，其中的信息可能已经有所发展或是发生改变。

关于最近非官方渠道下载的 Xcode 编译出来的 app 被注入了第三方的代码问题分析： http://drops.wooyun.org/news/8864

网易云音乐也被注入了！
文明语言的网易，用了这么久，哎。
以后都不敢用网易的东西了，太不严谨了。
三石还是去卖你的猪吧

第 1 条附言 · 2015-09-18 13:26:24 +08:00

防止文章被删，我截图做个保存吧

第 2 条附言 · 2015-09-18 13:58:37 +08:00

事情大条了，

第 3 条附言 · 2015-09-18 14:13:36 +08:00

第 4 条附言 · 2015-09-18 14:33:15 +08:00

根据热心网友举报，投毒者网名为” coderfun ”。他在各种 iOS 开发者论坛或者 weibo 后留言引诱 iOS 开发者下载有毒版本的 Xcode 。并且中毒的版本不止 Xcode 6.4 ，还有 6.1 ， 6.2 和 6.3 等等。

第 5 条附言 · 2015-09-18 14:55:27 +08:00

第 6 条附言 · 2015-09-18 15:26:31 +08:00

第 7 条附言 · 2015-09-18 15:35:09 +08:00

第 8 条附言 · 2015-09-18 15:39:25 +08:00

关于”？“的梗，如果给我一次编辑的机会，我会改成：我在微博上看到别人说网易用黑苹果，我就是质疑一下，有必要骂人吗？

第 9 条附言 · 2015-09-18 15:43:46 +08:00

第 10 条附言 · 2015-09-18 17:54:51 +08:00

感谢 @5up3r 提供的 XcodeGhost 感染的 App 列表
https://github.com/zengyun-programmer/XcodeGhostApps/blob/master/XcodeGhost%20Apps.md

Xcode

网易

注入

下载

263 条回复

1 2 3

❮

❯

201

zonghua

2015-09-18 18:49:43 +08:00

@kingname 从这里就能体现出苹果是多么伟大的公司，能不能 app 留后门去感染苹果的服务器呢？作为报复。

202

fogisland

2015-09-18 18:56:26 +08:00

@WangYue7477 我也遇到过，但是弹出的地方是在桌面啊。不越狱的情况下， app 里即使注入了恶意代码，也不能实现这样的效果吧？ alert 窗口应该是只能在 app 内部弹出的啊。

203

holong2000

2015-09-18 19:00:11 +08:00

@kingname 苹果最多能力有不济之处，有什么好谴责的。

204

beimenjun

2015-09-18 19:09:01 +08:00

@kingname 苹果审核不出这个请求是不是第三方加上的，因为这个表现行为其实看不出什么猫腻的。

苹果的黑点是修改了的包居然能够安装。

205

lisonfan

2015-09-18 19:11:00 +08:00

@beimenjun 系统默认设置是无法安装的，开发者手动修改的

206

beimenjun

2015-09-18 19:13:59 +08:00

@5up3r 微信的版本最新版是 6.2.6 ，没问题啊。

207

freed

2015-09-18 19:15:23 +08:00

哎垃圾腾讯开发 IOS 居然也用黑苹果(这是学习楼主的语句,无恶意)

微信当前版本是 6.2.6,官方也承认上一个版本.也就是 6.2.5 版本中也有这个后门..
其实腾讯应该也没发现.要是发现了应该早就公开了.只是刚好运气好最新版本不是同一个..........

208

lisonfan

2015-09-18 19:18:29 +08:00

@freed ..
我的意思不是感染和黑苹果有关系，只是单纯的质疑一下网易这么大一个公司给 iOS 开发既然 Mac 都不配？

209

datou552211

2015-09-18 19:24:30 +08:00 via iPhone

不是一个 app 感染，对事不对人，不能只盯着网易一顿喷。好歹免费享受了网易云音乐的服务…

210

fetich

2015-09-18 19:24:42 +08:00

@lisonfan
感覺用 Mac 開發的人員沒從官方渠道下載，從而中招的可能性更大。

211

Smilecc

2015-09-18 19:24:43 +08:00

@lisonfan 且不说为啥一副要诛网易全家的样子第三方的 dmg 和黑苹果有什么关系我不是很明白

212

fetich

2015-09-18 19:25:20 +08:00

現在直接對編譯工具下手了，手段真是越來越高了。

213

freed

2015-09-18 19:26:22 +08:00

@lisonfan 不可能没 MAC 的.腾讯网易这些大厂就算没配开发者自己也早自备了
影响范围这么大不可能国内那么多开发者都用的黑苹果吧
主要原因应该还是苹果那边下载速度的问题.很多人没法忍受就找第三方下载了

214

konakona

2015-09-18 19:32:23 +08:00

- - 卸载网易云音乐 ING...不知道 QQ 音乐有没有事儿...

215

rainmakeroly

2015-09-18 19:36:01 +08:00 via Android

即使所言的都是事实，也有不尊重实际做事的人劳动成果的意味，至于是否严重到损害三石公司的名誉的层面未可知，同行何苦为难同行，可以不用或者不推荐使用。

216

lisonfan

2015-09-18 19:37:11 +08:00

@fetich 就是没有从官方渠道下载 Xcode 导致的这个问题

217

lisonfan

2015-09-18 19:38:39 +08:00

@Smilecc 我仅仅是质疑一下网易这么大的公司为什么不给 iOS 开发配 Mac （微博上看到的消息），并没有说本次事件和黑苹果有关...

218

lisonfan

2015-09-18 19:39:42 +08:00

@freed 我仅仅是质疑一下网易这么大的公司为什么不给 iOS 开发配 Mac （微博上看到的消息），并没有说本次事件和黑苹果有关

219

moonou

2015-09-18 19:40:29 +08:00 via Android

气氛被渲染得太奇怪，重点是 Xcode 竟然能这么容易被植入代码。

220

lisonfan

2015-09-18 19:41:16 +08:00

@rainmakeroly 我觉得有影响，至少在我这已经对网易心存芥蒂。
推向公众之前都不做自查，不严谨不负责。

221

lisonfan

2015-09-18 19:43:59 +08:00

@moonou OS X 的默认安全设置按理来说是无法安装被修改的 Xcode 的（至少我用默认的安全设置，下载安装破解的 CMM 是安装不了的，提示我文件损坏）

222

beimenjun

2015-09-18 19:45:54 +08:00

微信 6.2.5 谁有装嘛试着抓一下包？ 6.2.3 以及 6.2.6 都没有抓出相关请求，我觉得中间版本出现这种感染的情况可能性不大。

223

lisonfan

2015-09-18 19:51:05 +08:00

@beimenjun 207 楼在微博上咨询了腾讯用户服务，官方承认 6.2.5 受到感染

224

Caringor

2015-09-18 19:52:13 +08:00 via Android

@yhxx 我們公司也是這個配置，幫你們網易遊戲部搞外包的 ←_←

225

lenran

2015-09-18 19:53:12 +08:00

这怎能怪 apple ，要怪就怪那些没有一点安全意识的开发者们

226

JohnChu

2015-09-18 20:02:20 +08:00

请不要全文转载文章

227

lwd2136

2015-09-18 20:06:13 +08:00

@freed 被挟持了？微博删了？

228

SharkIng

2015-09-18 20:27:52 +08:00

为什么这样有危险的 App 还能给正常审核发布到 App Store 呢？

229

dartabe

2015-09-18 20:38:14 +08:00

@SharkIng 就像法律一样很多漏洞都要人去撞

230

beimenjun

2015-09-18 20:38:21 +08:00

@lisonfan 这个截图不可信，没有完整的对话。

231

shizzmk

2015-09-18 20:46:13 +08:00

好利害一大波鏈條中招
不明覺歷 !!!!

232

agassi_yzh

2015-09-18 20:57:19 +08:00

http://adcdownload.apple.com/Developer_Tools/Xcode_7/Xcode_7.dmg
这个网址下载的需要 Apple Developer 权限的。迅雷下载明显不靠谱啊

233

realpg

2015-09-18 20:57:22 +08:00

早就发现这问题了……
在滴滴打车新版发现的……
因为一个打车软件还跟我要 icloud 密码……
果断发现有问题……

234

shanigan

2015-09-18 20:57:43 +08:00

这个事情跟苹果没一毛钱关系。 app 上传非隐私相关的使用数据是完全允许的，且不违反任何规则。审查是不会去审查这些东西的。

这事情跟黑苹果也没一毛钱关系，不论黑还是白，开发者都可以强行使用被修改过的 xcode 安装包。

最后，根本没有必要去算 hash 。任何在 mac 上运行的软件都是要有开发者签名的，否则 gatekeeper 会警告。被修改过的 xcode 开发包肯定是没有合法签名的。开发者安装的时候完全无视了 gatekeeper 的警告么？

235

wj2061

2015-09-18 21:02:40 +08:00

@beimenjun 感觉不可信，微信团队 2 个月发一条微博，会闲的没事，留言给自己招黑？

236

yksoft1

2015-09-18 21:18:41 +08:00

@shanigan Gatekeeper 只对支持 File Quarantine API 的应用程序下载的文件有效。

237

reeonce

2015-09-18 21:29:35 +08:00

最主要的原因还是 Xcode 本身就 3 点几 G ，在大陆下载很慢。所以很多人会在从百度云等地方下载。

没有去检测 hash 确实是开发者的疏忽。

238

fan5013

2015-09-18 21:38:49 +08:00

我想问问网易云邮件有问题没？各位大大

239

aa45942

2015-09-18 21:46:55 +08:00

影响力这么广的事件，受影响的 app 中还囊括了几大国企，估计 zf 也坐不住了吧。投毒者如果真在国内，估计要现形了

240

maemolee

2015-09-18 21:56:19 +08:00

@lisonfan 在另一篇帖子里面有疑似云音乐成员表示他们用的 Mac 进行开发的。 http://www.v2ex.com/t/221717#reply65

241

loading

2015-09-18 21:57:55 +08:00 via Android

是不是 mirrors.163.com 要加上这些了 233

242

janxin

2015-09-18 22:00:54 +08:00

@maemolee mac 是自己配的...我听说公司不提供机器....

243

ambilight

2015-09-18 22:19:07 +08:00

吓得我赶紧看了看我的黑苹果。。大哥根本一点关系都没好吗，要怪首先怪苹果那间歇抽风的 mas 吧

244

johnny1996

2015-09-18 22:26:02 +08:00 via Android

你们不觉得这东西要是出现在 Android 才更可怕

245

xustrive

2015-09-18 22:27:47 +08:00

好吧，那我估计安卓下面也有了。前一段时间我使用网易音乐听歌，在耗电管理中发现网易耗电量比屏幕翻倍切机器很烫。恢复后用自带的播放器就没有问题了。

246

xustrive

2015-09-18 22:28:25 +08:00

@johnny1996 我估计已经有了。。。只是没人去查吧？

247

sixgod

2015-09-18 22:38:19 +08:00

@johnny1996 想想国内安卓那些下载市场，还用确认吗。。。。。

248

railgun

2015-09-18 22:38:28 +08:00

没必要骂它垃圾吧，用黑苹果和不从官方下 xcode 没关系啊

249

ryanyu104

2015-09-18 23:09:18 +08:00

微信都中招了

250

RqPS6rhmP3Nyn3Tm

2015-09-18 23:11:42 +08:00 via iPad

我觉得黑点应该是签名吧，这种重要的软件竟然不会检查签名，苹果也有一定责任。
如果是 Windows, UAC 和 SmartScreen 都可以很好的防护。卡巴斯基说苹果的安全落后微软十年的确没错。
个人就遇到过 pkg 签名有效，然而无法安装上的问题。对比了 hash 才发现下载的文件应该有损坏。这种情况还不高警，我觉得绝对是苹果的锅。