Windows10再出Bug,权限访问成突破口

Windows10再出Bug,权限访问成突破口

微软公司在2015年发布了全新的Windows 10操作系统,一经推出,便立刻受到了用户们的欢迎,该操作系统也好评如潮。尽管从本质上来说,Windows10是一款非常优秀的操作系统,但Windows10仍有诸多的毛病和缺陷。

近期,研究人员又发现Windows10的一个新Bug。这个Bug允许UWP应用程序(通用Windows平台)在未经用户许可的情况下访问Windows中的整个文件系统。这可能会给某些恶意软件打开“方便之门”。

Windows10再出Bug,权限访问成突破口

 

全系统文件均可被访问

默认情况下,UWP应用程序只能访问应用程序安装目录中的文件和文件夹及其在AppData\Local,AppData\Roaming和Temp文件夹中的数据存储位置。如果应用程序需要访问这些位置以外的文件,UWP应用程序可以显示文件/文件夹选择窗口,开发人员也可以为应用程序提供额外的权限。

通过将这些额外的权限加入app的程序清单中,以此获得额外权限,这样就可以访问系统中所有的文件夹,如文档、音乐、图片等。下面的示例中,您将看到如何向应用程序中添加访问系统图库的权限。

Windows10再出Bug,权限访问成突破口

这些权限将在微软商店该应用程序的描述中显示:

Windows10再出Bug,权限访问成突破口

访问图库的权限

开发人员可以为他们的应用程序提供一个名为broadFileSystemAccess的权限,来访问整个文件系统。下图为微软便利贴(Microsoft Sticky Notes)程序清单中的这一权限。

Windows10再出Bug,权限访问成突破口

根据开发人员文档的内容显示,broadFileSystemAccess权限可以描述为提供对“用户有权访问的所有文件的访问权限。如文档、图片、照片、下载、桌面、OneDrive等”。

“这是一种受限功能,在首次使用时,系统将提示用户是否允许访问,”微软开发人员文档继续说道,“访问权限可在设置>隐私>文件系统中进行配置。如果您向微软商店提交一款包含功能声明的应用程序,则还需要进一步向其解释为何需要此功能,以及如何使用此功能。”

这意味着,如果开发人员添加此权限,则在首次使用具有此权限的应用程序时,Windows10会弹出设置界面,您可以在其中启用此权限。此设置页面可在设置> 隐私> 文件系统中找到,如下所示:

Windows10再出Bug,权限访问成突破口

隐私文件系统设置屏幕

根据微软公司的应用程序开发人员Sébastien Lachance的说法,Windows10中的一个Bug使得上面的“设置”界面无法显示。更糟糕的是,在Build 1809(2018年10月更新)之前,未强制要求初始“设置”界面中启用文件系统访问。这意味着启用broadFileSystemAccess权限时,用户无需为其应用程序提供全系统文件访问的明确权限。

“在我安装了2018年10月更新后,我意识到应用程序会在启动时就崩溃。当我访问文件时,也会导致程序崩溃。我想可能是因为程序清单被更改,但事实并非如此。我联系了在微软公司工作的朋友们,他们向我证实了两个重要的信息:

1.初次访问文件时显示的Windows对话框是一个“Bug”;

2.这是一个隐私问题,微软公司决定在2018年10月更新时将广泛访问文件系统权限设置为关闭。”

漏洞修复

Lechance在创建一个应用程序之后发现了这个bug,该应用程序使用BroadFileSystemAccess权限来访问硬编码的C:\myAppData位置中的数据。在升级2018年10月更新之后,他的应用程序在启动时突然开始崩溃。

这是因为在Build 1809更新中,微软已经强制要求用户最先在“设置”页面中授予broadFileSystemAccess权限。略显尴尬的是,微软在发布后又立即撤回了该版本更新,原因是微软修复了该版本更新发布后才发现的一个关键错误。

为了避免在正确执行此权限时的崩溃现象,Lechance建议,当UWP应用程序需要访问非常规的文件夹时,UWP应用程序开发人员需要输入以下命令:

Windows10再出Bug,权限访问成突破口

微软声明会对开发人员提交的应用程序进行更严格的审查,以确定是否存在任何恶意活动。然而话虽如此,前段微软商店中刚刚出现“广告点击”木马程序,它伪装成GooglePhotos应用程序。微软可能就没有对开发人员提交的应用程序进行彻底的审查,不知道这一次微软的承诺还会有人相信吗?

原创文章,作者:M0tto1n,如若转载,请注明出处:http://www.mottoin.com/news/122374.html

发表评论

登录后才能评论

联系我们

021-62666911

在线咨询:点击这里给我发消息

邮件:root@mottoin.com

工作时间:周一至周五,9:30-18:30,节假日休息

QR code