安全狗工程師大叔實(shí)力解讀：微信小程序安全嗎

 　　這兩天微信小程序的熱度不減，狗哥的朋友圈已經(jīng)被刷屏了，到處都在曬用了小程序以后刪了哪些APP(有小伙伴一臉壞笑地跟狗哥說，要把狗哥卸掉，狗哥傲嬌地表示，狗哥生活在服務(wù)器上，這樣是刪不掉的!)。

　　狗哥這兩天也試了一下，覺得有的時(shí)候也蠻方便，但是出于職業(yè)習(xí)慣，非常自然地想到了一個(gè)問題，微信的小程序足夠安全嗎?會(huì)不會(huì)有人通過小程序的某些漏洞，從我的賬戶里把錢轉(zhuǎn)走?

　　狗哥專門咨詢了我們的一些工程師，來聽聽他們怎么說吧!

　　小程序的機(jī)制上有漏洞嗎?

　　比較漏洞的風(fēng)險(xiǎn)首先要有一個(gè)合理的參照對象。

　　與小程序這個(gè)建立在微信這個(gè)大的系統(tǒng)上的前端表現(xiàn)形式相比，原先的APP由各方自行開發(fā)，各家代碼復(fù)雜程度不一，業(yè)務(wù)系統(tǒng)也有很大區(qū)別，所以在安全性上表現(xiàn)不一;小程序的開發(fā)則是由微信提供接口，只需要調(diào)用微信的接口就可以實(shí)現(xiàn)相應(yīng)的功能。

　　這產(chǎn)生了兩個(gè)結(jié)果

　　1、原先針對APP的攻擊方法可能面臨失效;

　　2、微信的架構(gòu)如果被發(fā)現(xiàn)漏洞，可能波及所有小程序。

　　以微信明星般的重量級產(chǎn)品的地位，騰訊在安全性能上是不易疏忽的，所以暫時(shí)可以放心。

　　所以一個(gè)合適的結(jié)論是，小程序相對于原來，安全性得到了較好的統(tǒng)一(而不是單純地提高或者下降)，由于微信在架構(gòu)和安全上做得比較到位，所以盡管存在理論上的風(fēng)險(xiǎn)，但是依然是相對更安全的。

　　(不過狗哥還是忍不住暗搓搓地想，要是這幾天真的能發(fā)現(xiàn)一些問題就好了。并不是看熱鬧不嫌事兒大，而是問題越早發(fā)現(xiàn)，對于用戶和企業(yè)來講，未來的風(fēng)險(xiǎn)就越小)

　　理論上小程序的風(fēng)險(xiǎn)可能會(huì)在哪?

　　先科普一下微信小程序的架構(gòu)，狗哥不是專業(yè)的，說錯(cuò)了歡迎大家指出來哈。

　　先說結(jié)論，微信小程序是一種插件。

　　插件的特點(diǎn)是：基礎(chǔ)程序(微信)通過一些接口向插件(小程序)提供功能和服務(wù)。

　　而根據(jù)我們可愛的工程師大叔介紹，小程序在Android上和iOS上，分別使用X5內(nèi)核接口和JS Core接口(雖然狗哥并沒有聽懂……)

　　經(jīng)由接口，微信可以把一些服務(wù)提供給小程序，比如支付等等;如果有些功能沒有提供相應(yīng)的接口，那么小程序就做不到這些事情。但是微信的架構(gòu)可能存在某些漏洞，導(dǎo)致小程序能夠利用這些漏洞接觸到它本來不應(yīng)該接觸到的信息，比如地理位置信息、零錢余額什么的，那么就存在一定的安全隱患。

　　理論上講，只是理論上!攻擊者可能做到這兩件事：

　　1、攻擊微信本身。如果微信的架構(gòu)存在問題，小程序找到了突破執(zhí)行環(huán)境的辦法，從而在微信主程序中獲得代碼執(zhí)行，就成功制造了代碼執(zhí)行的漏洞，進(jìn)而可以，比如說，往朋友圈發(fā)一張你手機(jī)里不可描述內(nèi)容的圖片。

　　2、攻擊其他的小程序。理論上也存在這樣的漏洞，導(dǎo)致一個(gè)小程序非法接觸到了其他小程序的數(shù)據(jù)，甚至獲得改動(dòng)數(shù)據(jù)的權(quán)限。

　　不過上述兩種情況的攻擊力過于強(qiáng)大了，真實(shí)的攻擊多數(shù)來自于腳本，從技術(shù)上講不太可能這么厲害，能夠非法接觸到一些信息已經(jīng)很不容易了，所以想想就好，不必太當(dāng)真。

　　微信會(huì)怎么預(yù)防這些威脅?

　　就在小程序推出的當(dāng)天，TSRC(騰訊安全應(yīng)急響應(yīng)中心)也發(fā)布了英雄帖《微信小程序如約而至，安全需要你的守護(hù)》，宣布即日起到2017年1月20日，“重金”收集有關(guān)微信小程序的漏洞和威脅情報(bào)。

　　作為主場，微信一定會(huì)審核每個(gè)想上線的小程序，以騰訊的技術(shù)實(shí)力，出簍子的可能性不高，起碼惡意的小程序是不會(huì)輕易上架的。

　　不過人算不如天算，就算提前審核再嚴(yán)格，有些惡意程序仍然有可能繞過監(jiān)管�？蓯鄣墓こ處煷笫宓挠^點(diǎn)是，更安全的做法是為小程序?qū)ｉT建立一個(gè)沙盒環(huán)境，即使出了問題，依然是有限和可控的。

　　哎，不多說了，手機(jī)內(nèi)存不夠了，狗哥要去刪APP了……