魔形女漏洞的发现 ， 与信息安全实验室在以下两方面的努力密不可分 。
一方面 ， 实验室在安卓安全研究方面有深入的积累 ， 进入了谷歌安全全球英雄榜前三十强 ， 并在公司总分中排名中国第二 。 凭借对安卓系统的深入了解 ， 该实验室持续追踪安卓系统的每次更新 ， 这样才有可能捕捉到谷歌工程师在为安卓 11 系统不规范地引入新特性时 ， 沙箱防御机制出现的微小缺陷 。
【窃取用户隐私数据，安卓11高危漏洞，京东安全：不怕，我揪出它了】另一方面 ， 信息安全实验室开发了自动化漏洞挖掘框架 ， 是发现魔形女漏洞的关键 。 就技术角度而言 ， 该框架包含「静」、「动」和「专」三个维度 ， 其中「静」为基于 AI 的数据流程序分析技术 ， 「动」为基于遗传算法的动态程序测试技术 ， 「专」为基于专家经验的变异分析技术 。 三者有机结合并互相补充 ， 可对泛 IoT 设备和系统、应用等进行全面而深入的漏洞挖掘和隐私风险发现 ， 仅上半年就发现了十多个通用漏洞披露 （CVE） ， 帮助多个企业修复了大量风险 ， 并获得厂商公开致谢 。
还应看到 ， 只发现了这个漏洞并不够 ， 还需要与其他漏洞与之串联 。 接上文的酒店房间比喻 ， 「我们知道了这些锁有一把万能钥匙还不够 ， 还需要真正有能力找到它 。 」借助自动化漏洞挖掘框架的能力 ， 信息安全实验室希望将找到的漏洞特征录入系统 ， 对各大手机厂商的系统进行自动化扫描 ， 发现了多个可用于此的漏洞 ， 最终将该缺陷升级为一个具有巨大影响力的可利用漏洞 ， 成功找到了这把「可打开所有房间的万能钥匙」 。
Ricky 介绍称 ， 前前后后花了数月时间 ， 大致是在四五月份发现魔形女漏洞 ， 中间经过一系列的研究探索 ， 到七八月份正式提报这个漏洞 。 然而 ， 发现漏洞只是第一步 ， 京东安全做的远不止于此 。
在发现魔形女漏洞后 ， 京东安全已经及时向谷歌和各大手机厂商提报漏洞并提出修复建议 ， 并得到了谷歌、三星等主流安卓厂商的确认修复和致谢 ， 谷歌作为安卓生态的「盟主」 ， 也和各大厂商进行了通报 。

文章图片

谷歌和三星的致谢 。
目前 ， 谷歌和各大手机厂商已在 2021 年 9 月安全补丁版本以上的安卓 11 系统以及 10 月新发布的安卓 12 中修复该漏洞 ， 部分厂商也已在更早前 backport 了对应的补丁 。
与此同时 ， 京东探索研究院信息安全实验室还开发了针对魔形女漏洞的检测工具和 SDK 。 其中 ， 安卓用户可以在该实验室官网下载漏洞检测工具 ， 检测自己手机上的应用有没有被魔形女漏洞攻击过 。

文章图片

实验室官方博客地址（内含下载链接）：https://dawnslab.jd.com/
信息安全实验室还为开发者和手机厂商提供了 SDK 工具 ， 及时在应用中部署 ， 检测应用或系统是否已被魔形女漏洞所攻击修改 。 一旦发现被劫持 ， 用户将被提示在相应的业务中做防御和升级处理 。
追求安全 ， 京东一直在努力
魔形女漏洞的发现 ， 是京东近年来植根于安全领域的真实体现 。 秉持着打造具有自身特色的内生式安全体系 ， 京东安全基于京东的内生安全能力 ， 致力于联手生态伙伴共同打造安全基础设施 ， 将优秀的解决方案对外赋能 ， 打造「京东特色零信任安全体系」 。 这样一来 ， 京东安全既可以帮助那些缺乏专业安全团队的中小型企业 ， 以及传统大型公司的数字化转型 ， 又能协助整个行业提升安全防护水平 。