关于Android安全性的永无止境的故事的最新消息已经消失，而这次它正在谈论应用程序如果宣布没有权限就可以访问的内容。 （换句话说，如果它没有请求任何正常的功能应用程序请求，那么所有应用程序都可以看到。）有些人认为没有什么可担心的，其他人用它来追求破坏世界的最流行的手机操作系统，但我们认为用它做的最好的事情是解释发生了什么。
一群安全研究人员着手创建一个应用程序，该应用程序声明无权查明他们可以从运行的Android系统中获得哪些信息。 这种事情每天都在进行，目标越受欢迎，人们就越多地关注它。 我们实际上 希望 他们做这类事情，并且人们不时会发现关键且需要修复的事情。 每个人都受益。
这一次，他们发现没有（没有，nada，zilch）权限的应用程序可以做三件非常有趣的事情。 没有一个是严肃的，但所有都值得一看。 我们将从SD卡开始。
任何应用都可以 读取 SD卡上的数据。 它一直都是这样，而且一直都是这样。 （写入SD卡需要获得许可。）实用程序可用于创建安全的隐藏文件夹并保护它们免受其他应用程序的攻击，但默认情况下，任何写入SD卡的数据都可供任何应用查看。 这是设计原因，因为我们希望允许我们的计算机在插入时访问可共享分区（如SD卡）上的所有数据。较新版本的Android使用不同的分区方法和不同的方式来共享数据从这一点开始，然后我们都开始讨厌使用MTP。 （除非你是菲尔，但他对MTP感到有点疯狂。）这是一个简单的解决办法 - 不要在你的SD卡上放置敏感数据。 请勿使用将敏感数据放在SD卡上的应用程序。 然后放弃担心程序能够看到他们应该能够看到的数据。
如果你是一个极客，他们发现的下一件事非常有趣 - 可以在没有明确许可的情况下读取/data/system/packages.list文件。 这本身并不构成威胁，但了解用户安装了哪些应用程序是了解哪些漏洞可能有助于破坏手机或平板电脑的好方法。 想想其他应用程序中的漏洞 - 研究人员使用的例子是Skype。 知道攻击存在就意味着攻击者可以尝试攻击它。 值得一提的是，针对已知的不安全应用程序可能需要一些权限才能这样做。 （并且值得提醒人们，Skype很快就承认并修复了其权限问题。）
最后，他们发现/ proc目录在查询时会提供一些数据。 他们的例子表明他们可以读取Android ID，内核版本和ROM版本等内容。 在/ proc目录中可以找到更多内容，但我们需要记住/ proc不是真正的文件系统。 使用root explorer查看你的内容 - 它充满了在运行时创建的0字节文件，专为应用程序和软件与正在运行的内核进行通信而设计。 这里没有存储真正的敏感数据，并且当手机重启电源时，它们都会被删除并重写。 如果您担心某人可能能够找到您的内核版本或16位Android ID，那么您仍然可以在没有明确Internet权限的情况下将信息发送到任何地方。
我们很高兴人们正在深入挖掘这些问题，虽然这些问题对于任何严肃的定义并不重要，但让Google了解它们是件好事。 做这种工作的研究人员只能让我们所有人的生活更安全，更好。 我们需要强调的是，利维坦的研究员并不是在说厄运和沮丧，他们只是以有用的方式提出事实 - 厄运和沮丧来自外部资源。
资料来源：Leviathan Security Group
