】
 

央視披露了二維碼支付的風險，但究竟二維碼“藏毒”風險出在哪里？如何防范呢？

首先，要找到這個問題的答案，我們必須厘清個概念：
 

1、二維碼里有什么?

      現在二維碼里大致有這樣一些類型的數據：長文本、短文本、名片、網址、wifi配置信息、地理位置信息。
 

2、掃一下為什么會“中毒”?

      首先通俗的解釋一下“中毒”的概念。中毒和生病一樣，病毒需要一個生存和發展的環境，如果掃碼能中毒，那么環境是誰?當然是掃碼軟件以及掃碼軟件的運行環境(通常就是手機操作系統)了。

現在已知的二維碼“藏毒”大致有以下3種方式：
 

A、釣魚網址，這個嚴格來說不是“病毒”，這種可以歸類為需要用戶交互才能得逞的病毒。這種最常見！

      屬于社會工程學威脅范疇，用戶只需稍有安全意識則能有效避免被騙上當。在手機上，打開一個網址本身在大多數情況下是安全的，但危險在于停留在這個打開的網站上，用戶干了些什么。用戶自己主動輸入信用卡號、安全碼，用戶自己主動輸入支付寶用戶帳號。。。另外，網址并不等于網站入口。比如，有一類特殊的網址，叫做偽協議地址，這個也有想象力空間(但似乎沒見到攻擊案例)，例如sms://、tel://等等，這些點擊之后，在不同的系統上有可能會打開不同的應用程序，例如發短信、打電話等等。
 

B、惡意代碼直接攻擊瀏覽器解釋引擎，這種可以歸類為無需用戶交互即可實現“感染”的病毒。

      造成內存破壞類攻擊，直接獲得原生應用程序級別的任意代碼執行甚至是提升權限。這種問題發生的概率要遠遠小于PC端瀏覽器遭受同類型攻擊的概率。主要原因是：大多數攻擊程序是需要一定“行數”的代碼組成的，而二維碼的承載數據能力又是受限制于圖片編碼的容量極限的。簡單理解就是：復雜攻擊需要更多行數的代碼，較少行數的代碼只能實現較簡單的“攻擊”，二維碼由于自身設計的“缺陷”，無法提供惡意代碼存儲所必要的足夠空間，故攻擊想象空間和影響效果有限。
 

C、自定義的二維碼自動應用，這種可以歸類為無需用戶交互即可實現“感染”的病毒。

       雖然二維碼本身承載的其實就只是普通文本數據(數字、字符啥的)，但有些軟件給這些數據定義了一些自己的解析規則，目的是實現掃碼后自動XXX或自動YYY。壞就壞在這個自動化的過程，給了數據一秒變病毒的機會。如何理解?參考Web安全里的SQL注入、XSS等，就是最典型的數據一秒變病毒的參考案例。
 

3、如何防范應對呢？
 

A、掃碼軟件廠商向掃碼用戶告警，并取消點擊交互行為的支持。
       在提供基于二維碼的新應用時，要安全的設計和實現二維碼識別后內容的解析引擎，對網址的識別可以集成第三方安全廠商提供的URL黑名單查詢服務，對已知惡意網址提前向掃碼用戶告警，并取消點擊交互行為的支持。另外，掃碼軟件可以提供一個牛逼閃閃的安全模式(其實就是純文本模式啦)，讓有安全意識和能力的用戶可以先看看是什么，再決定下一步如何解析、是否允許軟件自動化做XXX或自動化YYY。當然了，做產品，還可以在用戶體驗層面再智能一些，讓用戶可以更傻瓜一些點【下一步】。
 

B、用戶要做到，一要選擇知名的二維碼掃描軟件，二要避免打開陌生和奇怪的網址。
 

C、安全廠商集成惡意網址識別引擎，先消毒。
       還和現在一樣，該干嘛干嘛，多給掃碼軟件廠商做做推廣，集成你們的惡意網址識別引擎吧。再牛逼一點，云掃碼吧，所有二維碼里的數據，你們先在云端看看，不良內容給消消毒就是了。