二维码恶意软件

问题描述：

我读了几篇关于这方面的文章（例如，How QR Codes can Deliver Malware），它似乎创造了非常嗡嗡声。二维码恶意软件

从我读到的所有所谓的“恶意软件”都是指向恶意网站或应用程序的链接。我的问题是：是否有其他形式的QR码恶意软件？如果没有，那么这种类型的恶意软件有什么新的？

该文章的标题是误导。我会说它“* QR码可以让用户访问网页，并由于他们自己的欺骗*被骗。 – Blender

答

QR代码的最大有效载荷为〜4K，因此缓冲区溢出或类似的任何事情都不会发生在QR扫描器上。

但是，它们可以用来以一些有趣的方式将人们引向恶意内容。

您知道访问链接的计算机可能是移动设备。如果您的浏览器利用了iPhone，您可以在用户访问该网页后投放它。
使用一个很长的URL，你可以欺骗用户认为他们正在访问一个“安全”的网站。如果一个QR扫描只能显示一个URL的第一个，比方说，20个字符，你可以制定一个QR都到
```
https://www.VerySafeSite.com.evilsite.com 
```
虽然扫描仪可能不容易受到缓冲区溢出，地址簿可能。所以制作一个异常长的场的电子名片可能会提供一个攻击的媒介 - 尽管这是不太可能的。
贴纸攻击是可能的。犯罪分子可以找到带有合法QR码的海报，并在其上放置QR码的贴纸。这可能会诱骗人们进行扫描。

因此，基本上，实际上不可能有恶意的QR码 - 只有恶意的目的地。

对于vCard，当用户看到非常长的字段时用户会不会变得可疑？是否有可能隐藏/不可见字段利用地址簿应用程序中的漏洞？ “贴纸攻击”的例子很有趣。有报道发生过这类攻击事件吗？ – dacongy

我记录了我的博客上的贴纸攻击http://shkspr.mobi/blog/index.php/2011/12/how-to-prevent-qr-hijacking/ –

答

QR码本身不可执行并且不包含可执行数据，因此只读一个应该是安全的。正如@Blender所说，他们当然可以链接到恶意软件，但本身并不是恶意软件。

答

当在销售终端中使用qr码时，有可能利用应用程序及其用户，但这需要对应用程序有深入的了解。如果他们只包含一个URL，那么它就像以其他方式打开相同的URL一样。

答

您是对的，我所看到的所有QR码恶意软件都只是指向恶意网站或应用程序的链接。

QR码可以包含除直接文本，联系信息（VCARD）或事件信息（VCALENDAR）之外的链接以外的其他数据。它甚至可以包含原始数据，理论上可以包含可执行代码，但是大多数QR代码读取器软件可能会忽略这类代码，因为它不知道如何处理嵌入数据。