谷歌发现iOS严重漏洞！只需简单JavaScript字符串：就能入侵手机

mynccs

谷歌威胁情报小组近期披露了一条名为＂Coruna＂的iOS漏洞链，共计涉及23个严重安全漏洞，攻击者仅需通过简单的JavaScript字符串，即可远程入侵iPhone并窃取设备内的敏感数据。

值得注意的是，苹果早在2023年底就在iOS 17及后续版本中，修复了这些特定的安全漏洞，但并未向无法升级系统的旧机型提供补丁。

由于iPhone 6s、iPhone 7、iPhone SE、iPhone 8系列及iPhone X等机型被大量长者与儿童使用，导致受害案例持续激增，近三年来，苹果才开始发布iOS 15.8.7与iOS 16.7.15更新。

据谷歌披露，该漏洞链利用方式极为隐蔽，攻击者将恶意代码整合至JavaScript框架，当用户通过Safari浏览器访问被感染的网站时，WebKit引擎会自动加载该代码，瞬间完成设备入侵。

谷歌在报告中展示了攻击者使用的混淆代码片段，包括简单的字符转换数组和异或运算，这种低技术门槛的混淆方式反而增加了检测难度。

攻击流程分为两个阶段：首先启动指纹辨识模块，收集设备型号、iOS版本等信息；随后根据目标特征加载对应的WebKit远程代码执行漏洞程序，并绕过苹果的指针认证码（PAC）防护机制。

一旦入侵成功，攻击者即可获取银行账户、加密货币钱包等核心隐私数据。