详解Android手机的应用权限，教你如何安全防护！

详解Android手机的应用权限，教你如何安全防护！

一、背景

2017年该平台出现勒索软件后，加州大学的研究人员还发现了一种名为“Cloak and”的恶意软件。 这个安全问题出现在占全球移动操作系统80%的平台上。 它可以秘密写入手机，帮助黑客收集手机上的信息，甚至可以在不被用户发现的情况下随意安装和操作应用程序。

您是否有时会接到一些销售电话或推送信息，其内容正是您最近关注的信息？ 请注意，这意味着您的信息可能已被泄露。 信息泄露的原因有很多。 可能是手机系统本身的漏洞造成的，也可能是用户的使用习惯造成的。 例如，有的用户为了快速开始使用应用程序，直接允许应用程序弹出的所有权限。

以上种种信息表明，手机安全保护变得越来越重要。 系统中，当应用程序对手机中存在潜在不安全的数据进行操作时，需要配置相应的权限，即得到用户的许可，否则将无法正常使用。 但如果用户允许的话，会不会被应用程序滥用，泄露隐私呢？ 系统通过应用程序权限来设置对恶意程序的防御，但如何设置这些权限却是令用户头疼的问题。

本期《安子课堂》，ISEC实验室的陈老师将从应用权限的角度介绍如何保护手机安全。

2、案例介绍

在最近分析的一个恶意应用程序中，发现了一些与侵犯用户隐私相关的行为。

1、隐藏应用程序图标，假装应用程序已被卸载，使用户误以为应用程序已成功卸载，放松用户的警惕性，实际上在手机上偷偷运行。

图1

2、设置为系统默认短信，增加短信模块使用的方便性。

图2

3、拦截短信并获取用户手机中的短信内容，并根据短信内容执行用户未知的操作。

图3

4. 获取设备管理员权限，可用于删除所有文件、修改屏幕锁定等操作。

图4

在分析的应用程序中，涉及用户隐私的地方不止几个，但足以说明权限滥用的后果。 如果权限可以控制，恶意程序就不会这么容易得逞。 例如关闭管理员权限、禁止阅读短信等。

3.权限介绍

从用户的角度来看，权限主要分为两类：普通权限和特殊权限。 普通权限是最直观的。 通过权限的名称就可以知道它们的用途，设置的路径也比较简单。 特殊权限对于普通用户来说很难理解，而且要设置的路径也不同。

1、普通权限：

（1）理论上，弹出申请的权限都是敏感权限，可能会导致用户信息被盗。 下面将详细介绍每个权限所涉及的具体敏感信息。

Ø 发送短信/彩信

有些手机有两个发送短信和彩信的权限开关。 允许该权限后，应用程序将可以向指定号码发送短信/彩信进行账户注册等。所有话费均由应用程序所在手机支付。

Ø 修改短信/彩信

有些手机有修改短信和修改彩信两个权限开关。 此权限将允许应用程序添加、删除和修改手机上的短信和彩信。 可用于伪造短信数据、删除短信数据等。

Ø 读取短信/彩信

该权限将允许应用读取手机上的短信、彩信，并被用来收集手机上的短信聊天记录或读取验证码、注册或登录一些重要网站，造成不良影响和经济损失。 例如用于读取短信验证码登录网上银行账户等。

Ø 监听电话

此权限将允许应用程序实时监控来电、去电、挂断时间和号码信息。

Ø 拨打电话

此权限将允许应用程序直接拨打任何指定的号码。

Ø 修改联系人

此权限将允许应用程序删除和写入联系人。 可用于添加联系人数据或删除联系人数据。

Ø 读取联系人信息

此权限将允许应用程序读取电话联系信息。 可用于收集手机上的联系信息。

Ø 修改通话记录

此权限将允许应用程序添加、删除和修改手机中的通话记录。

Ø 读取通话记录

此权限将允许应用程序读取手机中的通话记录。 用户手机上即可获取通话时间、号码、时长等信息。

Ø 地点

此权限将允许应用程序实时获取手机的当前位置。 可以用来获取用户的移动轨迹。

Ø 相机

此权限将允许应用程序拍照或录制视频。 将用于秘密拍摄或记录用户正在做的事情。

Ø 录音

此权限将允许应用程序进行记录。 包括录制手机周围的声音、打电话等，可以用来窃听与声音有关的一切。

Ø 读写手机存储

此权限将允许应用程序读取和写入计算机上的所有文件。 如果计算机上保存有重要文件，则存在被盗的风险。

Ø 日历

此权限将允许应用程序查看、添加、删除和修改日历事件，从而存在收集用户活动计划的风险。

Ø人体传感器

此权限将允许应用程序从传感器读取一些数据并收集与用户身体状态相关的数据。

Ø 获取浏览器上网记录

此权限将允许应用程序读取系统浏览器的浏览历史记录和书签数据。

(2)设定方法

可以使用以下方法设置上述权限。

方式一

在应用安装过程中，个人手机也会有权限设置界面，比如在华为AIE-AL10上安装应用（）。

1）安装完成后，会弹出一个界面。

图5

2）点击“主要权限”，对权限进行一一设置。

图6

方式2

如果是已经安装的应用程序，则需要打开“设置”应用程序，找到该应用程序，然后找到对应的应用程序（不同手机的操作路径可能略有不同）。

1）打开“设置”应用程序，然后单击应用程序管理

图7

2）选择需要修改权限开关的应用程序

图8

3）点击“权限”

图9

4）设置权限开关

图10

5) 也可以点击“设置单一权限”进入设置权限开关。

图11

方式3

使用系统自带的权限管理工具进行管理：如华为的“手机管家”、小米的“安全中心”、魅族的“手机管家”等。打开应用程序，点击权限管理，找到对应的应用程序并设置权限。 以华为手机管家为例：

1）打开手机管家，点击“权限管理”

图12

2) 选择您要设置的应用程序

图13

3）设置权限开关

图14

4）您也可以点击“设置单一权限”进入设置权限开关。

图15

（三）温馨提示：

一般权限有很多。 您无需担心特定权限。 你只需要记住设置方法就可以找到它们，然后关闭不影响应用程序重要功能的权限。

2.特殊权限

(1)特殊权限是一种比较特殊的存在。 它们功能强大，甚至可以直接影响用户手机的正常使用。 下面详细介绍特殊权限相关的内容：

Ø 辅助功能

有些手机的标题是“”。 该权限允许应用程序监听页面变化、读取页面信息、模拟各种用户操作等，并可用于窃取账户、聊天记录、远程控制手机等。“斗篷”就利用了该权限。

设置方法：打开“设置”应用->辅助功能/辅助功能

Ø默认应用

允许应用程序作为某类手机的默认应用程序，如短信、浏览器等，存在伪造、收集信息、隐藏重要信息的风险。

设置方法：打开“设置”应用->默认应用设置

Øroot权限

该权限允许程序执行任何操作，也是最危险的权限。 除了使用第三方软件或其他软件打开之外，一些恶意软件还会利用手机漏洞来持有此权限。 有些手机设置还内置了root开关。 该权限可能会被用来破坏手机系统文件，导致手机无法正常使用。

设置方法：打开“设置”应用->点击“指纹和安全”->“Root权限”->勾选“同意”->点击确定即可开启root权限。

Ø电池优化

新版本限制了应用程序在后台运行的能力，以节省电池电量。 将电池优化状态设置为“未优化”可以防止软件在后台运行时被系统清理。 但这可能会被某些恶意软件用来秘密监控手机的运行情况。

设置方法一：设置->应用和通知->高级->电池优化->未优化

设置方法二：手机管家->电池->锁屏清理

Ø 显示在其他应用程序之上

该权限允许应用程序在其他应用程序之上显示界面，并可用于伪造假登录窗口、窃取用户帐户信息等。“Cloak and”也利用了该权限。

设置方法：设置->应用管理->选择对应的应用->应用信息

Ø 申请管理员权限

该权限将允许应用清除所有数据、修改屏幕解锁方式、设置屏幕锁定规则、监控屏幕解锁次数以及使设备自动锁定屏幕。 恶意使用此权限可能会导致用户无法正常使用手机。

设置方法：设置->高级设置->安全->设备管理器

暗示：

特殊权限一般不会自动启用，但可能会弹出提示窗口供用户选择。 当我们不确定某个应用程序权限是否需要启用时，首选“拒绝”。 如果确定某个应用程序权限不需要开启，则更需要拒绝它们。 即使你不小心拒绝了某个需要使用的权限，也不用担心，我们仍然可以通过上面的方法再次打开它们。

4.日常使用的一些建议

1.应用程序使用

尝试从官方网站或更正规的应用市场下载软件。 二维码扫描、他人分享的链接、论坛、云盘、不正规网站等存在很多恶意伪装的应用程序，需要谨慎下载安装。

在从应用市场下载软件之前，可以先查看软件简介中的权限要求，以确定哪些权限比较敏感。 您需要特别注意需要大量权限的应用程序。

不要授予应用程序请求的所有权限，除非应用程序确实需要它们。 例如，相机应用程序请求拍照权限是正常现象。 未经允许拍照，会影响其正常工作。 但如果它请求读写短信的权限，那就是一个奇怪的现象了。

由于手机市场多种多样，每个版本的操作系统或多或少都有所不同。 例如：阅读短信、彩信。 在有些手机上，阅读短信和阅读彩信是在同一个权限开关选项中，而在有些手机上，阅读短信和阅读彩信是两个不同的权限开关。 再比如：低版本手机没有辅助功能权限，但高版本手机有这个权限开关。

2、手机设备

购买手机时，尽量选择大品牌。 大品牌的手机会对手机系统进行一定的优化，会提供更好的安全保护。 不要购买水货手机。 虽然会比正品便宜，但水货手机系统的安全性很难保证，甚至可能不更新补丁，这增加了用户隐私保护的风险。

3. 刷写ROM

不要随意刷第三方rom。 当您遇到系统问题导致手机无法正常使用时，第一步就是备份数据，优先考虑售后服务或者尝试自行恢复出厂设置进行修复。 如果修复失败，需要刷机，请尝试使用从手机厂商官网下载的ROM。 毕竟第三方平台可能会进行一定程度的修改，我们无法确定他们修改了哪些内容。 如果漏洞刚刚被修复还好，但如果保留后门或者编写恶意软件，个人隐私就会受到相应影响。

4.系统版本

启用系统版本升级并尽量保持最新版本。 厂商每次升级都会对手机系统进行一些优化，修复系统的一些潜在问题，进一步提高手机的安全性。

5.其他方面

不要轻易连接未知的 WiFi 网络。 在车站、商场等公共场所，我们经常会看到一些免费WiFi。 为了节省流量，一些用户很容易将手机连接到这些未知网络。 如果连接的网络是恶意共享网络，您的隐私可能会受到损害。 另外，不要轻易在公共场所连接充电设备，因为你没有办法知道自己连接的是插座还是黑客的电脑。 长时间外出时，最好随身携带正规渠道购买的充电宝。

5. 总结

可见，正确设置应用程序权限对于手机的安全保护非常重要。 通过正确配置应用程序权限状态，这将有效避免大多数手机的安全问题。 虽然手机安全涉及的因素很多，但对于大多数用户来说，控制好权限状态就相当于最大程度地降低手机安全风险。

此外，系统还存在一些可能被恶意程序滥用的功能，例如隐藏图标、后台运行等，这些功能没有为用户提供相应的权限选择，可能会给用户带来安全风险。 建议有关部门进一步完善权力机制。

最后希望通过本文对权限的系统介绍，让用户能够对权限有一个更好的认识。