CoolIris Android gallery是运行Android 2.1-2.3的许多设备中使用的股票库应用程序，它被发现存储完整地址的未加密副本，理论上可以由没有系统权限的恶意应用程序访问和传输。当我们开始调查来自利维坦安全集团（levithan security Group）的paulbrodeur发现的Android中的一个安全问题时，这个问题曝光了。Brodeur创建了一个名为No Permissi***的应用程序，它突出了Android权限系统中允许应用程序访问您的数据的缺陷。

Android将应用程序保存在一个“沙箱”中，并让它们请求访问诸如互联网、电话、位置或联系人之类的内容的许可。如果你不授权应用程序访问某个东西，你可以放心知道它永远不会访问它。Brodeur发现了一长串东西，如果没有权限，恶意应用程序可以访问这些东西。

报告强调的第一个问题是文件安全。没有权限可以扫描设备的存储（物理SD卡或“内部SD卡”或eMMC）并返回任何非隐藏文件的列表，然后可以扫描其中的内容以查找潜在的敏感信息。还可以返回已安装应用程序的列表，这有助于恶意应用程序知道在何处查找数据。尽管该应用程序只是一个概念证明，但报告中提到的技术能够访问这些数据。

那么什么样的数据可以被恶意应用程序使用呢？好吧，我们仔细研究了一些设备，看看有什么可以提供的。最明显的问题是照片，这是不久前提出的问题。但我们也能找到我们的谷歌帐户电子邮件地址、Spotify ID和地址列表。

门牌号，街道，城镇，邮政编码，全部未加密

在的缓存中找到了该列表com.cooliris.media，这是Eclair和Gingerbread之间的许多Android**的默认图库，包括三星、LG和Nexus类设备（HTC设备使用不同的图库，我们测试的摩托罗拉Razr也使用不同的图库）。在一个名为Chunk\u 0的文件中，完全未加密地存储了一个与我们的家庭、工作、家庭、重要的其他人、朋友甚至度假目的地相匹配的位置列表。它似乎是由Picasa网络相册生成的— 这些信息与我们私人相册中地理标签的位置相匹配，但令人担忧的是这些信息的呈现和存储方式。

首先，应用程序没有理由缓存完全未加密的私人照片的位置。第二，位置不是错误的GPS坐标— 它们是完整的地址：门牌号、街道、城镇、邮政编码和国家。这是我们从来没有给过谷歌的信息，无论是在电话里还是在Picasa内部。更糟糕的是，Picasa的网络相册同步在信息被发现前一周就被关闭了。当我们在纽约办公室的一台设备上测试这个问题时，Chunk\u 0中出现了一个新条目— 纽约曼哈顿18街西1-3号，邮编10003— 这似乎是谷歌认为我们目前的位置（很接近）。我们在同步到两个单独的Google帐户的四台设备上发现了相同的行为。因此，一个恶意的应用程序可能会发现我们的地址和位置，以及我们的照片和用户ID，但下一步呢？

“No Permissi***”使用了一种简单但有效的方法来规避Android的数据权限

No Permissi***使用一种简单但有效的方法来规避Android的数据权限。虽然应用程序本身无法访问互联网，但它可以将Android的内置浏览器启动到它选择的任何页面。有了通过浏览器建立的互联网权限，它就可以将个人数据发送到远程位置，尽管很明显，用户会意识到浏览器已经打开。

有许多方法可以利用这些洞在野外。想到的一个实现是一个简单的免费计算器应用程序，旨在启动内置浏览器来显示解决方案。在显示2+2的答案时，它可以将个人数据转发到外部服务器，而无需权限。除非用户离开页面，否则浏览器将继续在后台发送数据，直到关闭为止。

然而，一个更具破坏性的例子是，将数据采集技术应用于具有互联网权限的应用程序。例如，将代码添加到免费游戏中，并将对数据的需求伪装成高分服务，这样就可以在不需要外部浏览器的情况下传输相同的数据。谷歌最近实施了一个恶意软件扫描器，应该能够捕捉像这样的邪恶活动，但它仍然是一个漏洞，不应该存在的第一位。

谷歌正计划加强其应用程序权限系统

在上述照片恐慌之后，谷歌表示“正在考虑为应用程序添加访问图像的权限”，我们也看不出它为什么不能添加阻止应用程序查看其他应用程序目录中文件的权限。希望它能尽快采取行动。

谷歌拒绝就这份报告中提到的任何问题发表评论。