本篇文章2094字，读完约5分钟
王小二和他的邻居张大牛买了一只鹅。
张家生产的鹅被称为一站式服务。如果这些鹅生病了，它们将对结局负责，要么被治愈，要么被替换。然而，最近发现在总是不注意或者我们在安静的午夜世界里偷偷告诉对方来到王的院子里偷偷收集鹅粪。
王小二纳闷，张家到底在干什么？你被我的翠花吸引了吗？他生气了，在市场上质问张大牛，张大牛什么也没说，只是捡起鹅粪看看鹅是否生病了。
王小二追查下去，他很生气，那意味着不时有其他借口来我家散步？
这个乡村爱情故事可能和我们今天要讲的有关。
你可能已经习惯了这个场景——初学者可能会预装一些应用程序，但你无论如何也不能删除它们。然而，手机制造商会为了特殊目的在你的手机上安装这些应用和服务吗？这些预先安装的应用程序会威胁到所有者的安全和隐私吗？
荷兰的一个年轻人对此有些怀疑。
他是小米4的用户。这位年轻人有一天发现，一个名为Analyticscore . apk(com . miui . analytics)的应用程序被预装在手机上，它会在后台自动运行。
这个年轻人非常生气。他不喜欢未经许可收集用户信息的应用程序，所以他对其进行了逆向工程，发现该应用程序将每24小时访问小米的官方服务器，以检查更新。当发送请求时，它还将发送设备的标识信息，包括imei、型号、mac地址、随机数、包名和手机签名。如果服务器上有一个名为analytics.apk的更新应用程序，它将自动下载并安装，无需用户干预。
如果应用程序未经任何验证就被安装，该漏洞可能会被黑客利用，或者小米只需将应用程序重命名为analytics.apk，该设备就会通过http发送请求和接收更新，这意味着用户很容易受到中间人攻击。
似乎一个大新闻要出来了！
对此，小米发言人表示:
Analyticscore是miui系统内置的一个组件，主要用于分析数据以增强用户体验，如小米的系统错误分析功能MIUI Error Analytics。
为了安全起见，miui将在软件安装和升级期间检查analytics.apk应用程序的签名，以确保加载了具有正确签名的官方安卓软件包。没有官方签名的安卓安装包将被拒绝安装，我们软件的自动升级功能是为了更好的用户体验。
在今年4月至5月发布的miui v7.3最新版本中，https协议可以有效保证数据传输的安全性，避免中间人攻击。
这到底是怎么回事？让我们再挖一遍。
1.1.bug在哪里？Https是一个旨在安全的http通道。简而言之，它是http的安全版本。也就是说，ssl层是在http下添加的，而https的安全基础是ssl，所以加密的细节需要ssl。这是一个用于安全http数据传输的uri方案(抽象标识符系统)。https:url表示它使用http，但HTTPs有一个不同于Http的默认端口和一个加密/身份验证层(在Http和tcp之间)。
小米的旧版本使用了http协议，这确实埋下了一个漏洞。著名网络安全团队80秒的核心成员宋告诉雷锋。搜索“雷锋”。这是小米预装应用的升级机制，每24小时升级一次，可以被中间商劫持和替换。
新版本使用https协议后，是否意味着“可能的劫持”问题已经解决？
宋说，虽然官方表示在升级https时不会被中间人劫持，但他对新版本并不确定。旧版本是http，每24小时升级一次。对于普通黑客来说，攻击仍然是有限的。然而，拥有更好技术的黑客可以使用ntp来欺骗他们手机的时间，并增加劫持他们的升级概率。
在劫持的情况下，恶意软件可以随意打开你的门，在你的手机上安顿下来。
另一个缺陷是上传的设备隐私信息是明文。
2.小米真的在窃取用户隐私吗？智湖也讨论过这个问题。智虎用户安卓框架认为:
小米不会提锅。
所谓的漏洞实际上是小米开发的一个功能。将有一个机制，如签名检查，试图保护每个人的设备不被使用；我认为所谓的信息收集实际上是对小米的不信任。谷歌正在做同样的事情，苹果也在做同样的事情。
以下是他详细的牛排制作过程:
宋表示，这取决于官方如何解释这款应用的功能。如果是手机性能测试收集或崩溃分析程序，这是正常的。他指出，其他系统也有类似的功能，例如，程序崩溃需要分析和上传崩溃日志。
3.如何处理它？如何屏蔽这样的秘密装置？权宜之计是使用防火墙阻止所有与小米相关的域名连接。
但是后果是什么呢？宋沈磊提醒-可以只屏蔽这个应用的升级地址。如果升级地址的整个域名被封锁，将会影响其他miui升级。
他说:
如果他们的最新版本与他们的声明相同，你就不必担心黑客劫持升级和以纯文本形式传输设备的私人信息。但是，以前的屏蔽仍然有效，如果你继续屏蔽，你不能升级他们声明的最新版本，哈哈！
4.其他应用程序能做例行程序吗？你可能想得太多了。预先安装的应用程序通常拥有最高权限，用户可能无法删除它们，也无法静默升级，而且您可能没有意识到您需要保持警惕。其他应用也会有类似的问题，但是一旦被发现，删除它们就容易多了！
最后，如果你想看一个荷兰兄弟的提问帖，网站在这里。thijsbroenink/2016/09/小米-分析-应用-逆向工程/
