来自 iOS 应用程序的网络钓鱼：可能吗？
我刚刚尝试今天下载的这个新应用程序，从应用程序内 WebView 登录的常见社交网络让我产生了一些疑问...
是否有可能某些应用程序需要从应用程序内 WebView 登录 Twitter/FB/Google（不是Safari 或他们自己的应用程序（如 FB）会以某种方式记录我们在这些 WebView 中写入的数据，然后再将请求发送到网站，就像常见的网络钓鱼诈骗一样？
例如，我知道使用 oAuth 的 Twitter 登录会从 div 捕获 PIN 码，并将其用于 API 等。所以，也许文本字段也会发生同样的情况，对吧？不？
无论如何，这只是一个愚蠢的问题，但我想我会问。
谢谢！
I was just trying out this new app I downloaded today and that usual social network login from in-app WebViews made me question something...
Is it possible that some apps that require Twitter/FB/Google login from in-App WebViews (not Safari or their own apps like FB) somehow record the data we write in these WebViews before sending the request over to the site like in a common phishing scam?
For example, I know that Twitter login using oAuth catches the PIN number from the div and uses it against the API and etc. So, maybe the same could happen with Text Fields, right? No?
Anyway, it's just a silly question but I thought I'd ask.
Thanks!
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（3）
是的，通过 UIWebView 进行网络钓鱼是可能的，通过 将 JavaScript 注入其中。这可能是 Facebook 的 SDK 现在打开 Safari 应用程序而不是作为应用程序内的灯箱的部分原因。
Yes, phishing via a UIWebView is possible, by injecting JavaScript into it. This may be part of why Facebook's SDK now opens the Safari app instead of as a lightbox within the app.
任何应用程序在Apple应用程序商店发布之前都会经过Apple的审查是否存在恶意等。因此我们可以说从Apple官方商店下载的应用程序是相对安全的。当然，有些应用程序可能存在未被注意到的安全问题，但网络钓鱼很容易被专业人员检测到。我不确定，但我猜他们会检查应用程序是否使用加密进行身份验证，以及应用程序是否直接登录 Twitter/FB/Google 或进行 MITM。
Before any application gets published in Apple Application Store the it is reviewed by Apple for malicious intentions etc. So we can say the applications that is downloaded from official Apple Store are relatively secure. Of course there can be some applications that may have unnoticed security issues but phishing is fairly easy to detect by professionals. I don't know for sure but I guess they check if application using encryption for authentication and if app directly logs in Twitter/FB/Google or makes MITM.
无论何时使用 JavaScript 引擎，网络钓鱼都有可能发生（除非输入框按摩输入）。
Where ever javascript engine being used, phishing is possible there (unless input boxes massages input).