由于安卓操作系统容许应用访问外部存储中的文件，用户通过 WhatsApp 和 Telegram 消息应用传输的媒体文件可被黑客窜改。
赛门铁克告诫：由于安卓操作系统容许应用访问外部存储中的文件，用户通过 WhatsApp 和 Telegram 消息应用传输的媒体文件可被黑客窜改。
安卓应用可在装备内部或外部存储中存储文件和数据。内部存储中的文件只可由其相关应用访问，以是谷歌提议开发者用内部存储存放不应被用户或其他应用访问的数据。与之相对，外部存储中的文件用户和其他应用均可察看和修改。
赛门铁克的研究职员介绍了这种名为 “媒体文件挟制” (Media File Jacking) 的打击方法：WhatsApp 和 Telegram 收发文件时在写入磁盘和加载到应用用户界面之间存在时间差，具有外部存储写权限的安卓应用便可趁此间隙快速修改文件。
该打击对保持默认设置的 WhatsApp 和 勾选了 “保存到图库” 选项的 Telegram 有用。
恶意应用可在后台运行，监视目的消息应用的文件吸收行动，伺机操作图片、发票、音频等文件。赛门铁克称，图片窜改可以只是搞搞开玩笑，但也可以用于打单。
发票窜改
则结果严峻得多。打击者可以编程换掉文件中的银行账号信息，让受害者将钱打到自己控制的账户中而不是原始发票中写的账户。
客户收到预期的发票，却不知道此中账户信息已被窜改。而等供给商常期收不到货款而来函来电查询时，资金早已不见踪影了。更糟的是，发票窜改打击可以大范围睁开，找寻任何可被窜改的发票，广泛影响使用 WhatsApp 等即时通讯 (IM) 应用实行业务的受害者。
窜改音频消息
也可对企业造成严峻伤害。在赛门铁克描述的场景中，某公司 CEO 用 WhatsApp 给 CFO 发送了一段音频消息，要求更新董事会会议上要用的幻灯片。打击者使用声音重修技能更换掉原始音频，改成 CEO 要求向打击者控制下的银行账户转账的语音消息。
至于 Telegram 的应用场景，赛门铁克称，“媒体文件挟制” 打击可用于在可信新消息机构的官方 Telegram 频道中插播假消息。打击者可以将新消息机构推送的正当内容更换成自己的虚伪信息，再出现在受害者的手机上。
赛门铁克演示的是针对 WhatsApp 和 Telegram 的打击，但业界此前已知悉了与安卓外部存储相关的风险。去年 Check Point 的研究职员就披露过一种非常相似的技能：安卓装备上的恶意软件可以用经心结构的文件覆盖掉正当!文件以引发崩溃（也可导致提权实行代码），还可以挟制应用的更新历程来安装更多恶意软件。Check Point 将之称为 “盘中人” (man-in-the-disk) 打击
赛门铁克已向 WhatsApp 和 Telegram 陈诉了自己的发现。WhatsApp 以为该问题应由谷歌解决，并将寻求评述的媒体引向了谷歌即将推出的 Android Q。Telegram 对此事不予置评。
Android Q 将引入名为 Scoped Storage 的隐私功能，用以改变应用访问安卓装备外部存储的方法。赛门铁克称，Scoped Storage 大概会缓解 “媒体文件挟制” 打击，但由于应用开发者还需要一点时间顺应新功能，这种改变大概不会那么快发生。并且，Android Q 的广泛应用也需要时间推开，而有些装备是不会更新自己的操作系统的。
赛门铁克以为，WhatsApp 和 Telegram 之类消息应用的开发者应接纳棤施防备潜在打击，好比在加载前先验证文件完备性、尽大概在内部存储中存放文件，以及像加密文本消息一样加密媒体文件。
赛门铁克还开发了演示图片和发票怎样被窜改的观点验证 (PoC) 漏洞使用程序。该公司公布了视频展示打击者怎样操纵这些种类的文件，并附上了录音文件窜改方法的演示。
赛门铁克关于 “媒体文件挟制” 打击的博客文章：
https://www.symantec.com/blogs/expert-perspectives/symantec-mobile-threat-defense-attackers-can-manipulate-your-whatsapp-and-telegram-media
Check Point “盘中人”：
https://research.checkpoint.com/androids-man-in-the-disk/
Android Q Scoped Storage:
https://developer.android.com/preview/privacy/scoped-storage
声明：本文来自安全牛，版权归作者全部。文章内容仅代表作者独立看法，不代表安全内参态度，转载目标在于通报更多信息。如有侵权，请联系 anquanneican@163.com。
telegram会不会被远程监控
收到读者来信，某案件公开审理的报道中提到了 Telegram 。读者问我：是否说明 Telegram 是可以被监听的？
非专门性的媒体在报道与技能相关的社会事件时，对于技能细节通常 语焉不详 。我们看到或人由于某事被捕，同时看到此人使用了某种通讯工具，也看到发生在该工具上的对话直接或间接导致了被捕，但不会看到关于其对话是怎样被执法机构截获的详细说明。这样的报道无法说明该通讯工具可以或不可以被监听。
如果某甲在 Telegram 上说话被权利机构知晓，那么至少有以下几种大概：
- 某甲的手机被权利机构充公后，逼迫解锁，并直接点开 Telegram 看到了聊天记载；
- 某甲用的是某款很不安全的 Android 手机，其 Android 操作系统被植入了木马后，入侵者可以直接长途看到她手机上的所有活动；
- 和某甲通过 Telegram 聊天的人被买通，把聊天记载截图发给了权利机构；
- 某甲这一端的信息安全葆护得很好，但和某甲通过 Telegram 聊天的人用的是某款很不安全的 Android 手机，其 Android 操作系统被植入了木马后，入侵者可以直接长途看到她手机上的所有活动。
大概性另有许多，此中固然也包括 Telegram 的端到端加密技能被破解，但这是最低的大概性。要截获某甲的对话，破解通讯工具的加密算法是难度最高的途径。出于入侵本钱的考量，入侵者会选择越发简单有用的途径。
假如您想尽量保持在 Telegram 或任何加密通讯工具上的安全，请做到：
- 绝对不使用任何国产通讯工具；
- 尽量不使用 Android，绝对不使用国产 Android；
- 理解和您通话的人用的是不是 Android，如果国产 Android，或操作系统没有升级到最新版，告假定您和对方的通话是不安全的；
- 若和您通话的对方用的是 iOS，但操作系统没有升级到最新版，告假定您和对方的通话是不安全的；
- 对于 并非默认端到端加密的软件 （比方 Telegram），需要进行重要对话时请主动使用端到端加密功能（!比方 Telegram 上的 Secret Chat）；
- 对于需要绑定手机的通讯工具（比方 Telegram），不绑定实名手机，使用 Google Voice 或别的虚拟号码。更好的做法是使用无需绑定手机的通讯工具，比方 Threema , Wire（在 网页版 注册方可绕开手机绑定）；
- 进行重要对话时开 VPN，抱负的环境是连接到一台位于数据隐私在!法律层面较有保障的国度的服务器，比方瑞士；
- 请确认和您通话的对方是可信任的，即她不会将对话截图发给她人，近期也没有可供人使用的缺点，等等；
我无法保证妳做了上述步骤之后就肯定不会被监听——任何人都无法保证。但我们寻求的是相对意义上的安全与隐私。保持精良的数字装备使用習慣就像保持精良的运动習慣，不能保证妳不抱病，但可以强化免疫功能和反抗力。安全和隐私很麻烦，但越麻烦，就越安全。无论技能怎样演进，这一点不会改变。
（ 点此 在《一分全球》收听本文语音版。（需要 Telegram 。））
Stems 是一款非常简单易用的工具，它可以或许将任何音乐都分散为几个差别的专业音轨，然后去除人声，创建独立乐器音轨及伴奏音乐。@Appin
n 曾经，青小蛙也是那个满网络寻找伴奏音乐的人，无非就是种种活动使用，当时也会使用 Audition 去人声，但效果很一样平常，偶然候甚至会影响到伴奏。 Stems 这个有点脑洞了，它不止去除人声，而直接将歌曲分散为各个音轨，包括： 贝斯 鼓 乐器 原始音乐 其他 钢琴 主唱 这!就非常故意思了，Stems 支持当地音乐，以及直接从 YouTube 和 SoundCloud 加载音频。 不外不知道是不是青小蛙的电脑比较慢，分散音轨的過逞非常迟钝，甚至有很长时间感觉卡死。 分散出来的音轨直接以名称定名，.wav 格式。 不外真的是慢啊，截至滑水+写完上面的文字，instrumental 和 vocals 还没有完成，但已经可以部分预览。 最后，只需要将撤除 vocals 的其他音轨归并，就是完备的伴奏音乐了，青小蛙实验了一下，非常完美。 感爱好的同窗可从前往官网下载，老例子有需求留言了搬运。 以及，这是一款付费软件，支持 14 天试用。 ©2019 青小蛙 for 小众软件 | 参加我们 | 投稿 | 订阅指南 3659b075e72a5b7b1b87ea74aa7932ff 点击这里留言、和原作者一起评述收藏0
もっと見る
本文网址：
http://www.1cm8858.com/d/2020615102729_5101_2358912219/home
Ten articles before and after
telegram网络层源码分析如何阅读（Desktop）的源代码？-电报telegram技巧分享
教你玩转电报（telegram）怎么玩-电报telegram技巧分享
俄罗斯解封聊天软件telegram币圈最火经历了什么？-电报telegram技巧分享
福建福州修车资源Channelstatistics北京.TelegramAnalytics-电报telegram技巧分享
工具教程第三十一讲：电报的使用（二）TelegramPC最新版支持移动端扫码登陆-电报telegram技巧分享
为TelegramDesktop替换字体-电报telegram技巧分享
网爆5亿微博数据泄露GitHub-电报telegram技巧分享
使用telegram收发微信消息利用EFB2.0使·Forme-电报telegram技巧分享
telegramセキュリティ重视の无料メッンジャー「Desktop」がv2.0に、チトフォルダを导入-电报telegram技巧分享