热烈祝贺我实验室4篇论文被网安顶会NDSS 2025接收！

NDSS(Network and Distributed System Security Symposium)是网络和分布式系统安全领域的顶级会议，专注于网络和分布式系统安全的研究和实践。该会议主要关注网络和分布式系统面临的安全威胁和挑战，涵盖了网络安全、云安全、物联网安全等方面。

•

Misdirection of Trust: Demystifying the Abuse of Dedicated URL Shortening Service

作者：张智搏、张磊、张章越、洪赓、张源、杨珉

摘要：

动态短链接服务（DUSS）旨在将可信的长网址转换为缩短链接。由于DUSS被许多知名企业广泛使用，以更好地服务于其大量用户（尤其是移动用户），网络犯罪分子试图利用DUSS将其恶意链接转换为短链接，并滥用其固有的隐性信任，这在本文中被定义为误导攻击。然而，针对这种攻击的系统性理解工作较少。为填补这一研究空白，该研究首次系统地研究了在滥用DUSS中的误导攻击，以揭示其攻击面、可利用范围和在现实世界中的安全影响。

该研究表明，现实中的DUSS通常依赖于自定义的URL检查，但在网络域名方面存在不可靠的安全假设，并且缺乏对安全标准的遵循。研究团队设计并实现了一种新工具Ditto，从移动视角实证研究易受攻击的DUSS。大规模研究表明，四分之一的DUSS易受误导攻击的影响。更重要的是，研究发现DUSS在用户和基于域名的检查者之间持有隐性信任，这使得攻击的后果扩展到对用户移动设备的隐蔽钓鱼和代码注入。研究团队已负责任地向受影响的DUSS企业报告了所有发现，并帮助他们修复了这些漏洞。

•

The Skeleton Keys: A Large Scale Analysis of Credential Leakage in Mini-apps

作者：史一哲、杨哲慜、钟康维、杨广亮、杨伊凡、张晓寒、杨珉

摘要：

近年来，超级应用（super app）和小程序（mini app）的开发范式在移动生态中变得越来越流行。超级应用为小程序提供了一系列敏感服务的访问权限，包括支付功能和数据分析。这使得小程序能够扩展其能力，为用户提供更强大和实用的服务。为了保护这些敏感服务，超级应用引入了基于密钥的认证机制，以确保在超级应用和小程序之间的安全访问。然而，密钥机制的设计和工作流程仍然不够清晰。更重要的是，其安全性至今尚未得到全面理解或探索。

在本文中，我们首次系统地研究了超级应用生态中的密钥系统，并绘制了密钥泄露风险的安全图景。我们的研究表明，21个流行的超级应用平台提供敏感服务给小程序并实现了基于密钥的认证机制。不幸的是，这些密钥存在泄露的风险，给超级应用和小程序带来严重的安全威胁。我们设计并实现了一种新颖的密钥安全验证工具（KeyMagnet），能够有效评估密钥泄露的安全影响。为了处理小程序中非结构化和动态获取的密钥，KeyMagnet提取并理解小程序中密钥的使用语义，并验证其安全性。最后，通过在6个超级应用平台上的413,775个真实小程序中进行实证研究，我们检测到数万个小程序存在密钥泄露问题。这一泄露可能引发严重的安全隐患，如账户劫持和敏感数据窃取等。对此，我们与相关开发者进行负责任的漏洞披露，并积极帮助他们解决这些问题。截至目前，89个报告的问题已分配了CVE ID。

•

Revealing the Black Box of Device Search Engine: Scanning Assets, Strategies, and Ethical Consideration

作者：邬梦莹、洪赓、陈晋松、刘淇、汤舒俊、李友豪、刘保君、段海新、杨珉

摘要：

在数字时代，如Censys和Shodan之类的测绘引擎发挥着重要作用，通过扫描互联网并索引收集在线设备来帮助理解和减轻网络安全风险。以往的研究通常利用这些工具来检测设备并评估组件和漏洞的范围。尽管这些引擎为研究人员提供了宝贵的数据，但仍不清楚它们使用了哪些资产和扫描策略，以及是否遵循伦理准则。

该研究首次全面审视了这些引擎的操作和伦理考虑。研究团队开发了一个新框架，以追踪这些引擎使用的IP地址，并收集了1,407个扫描器IP。通过在一年内使用28个蜜罐广泛监测它们的扫描活动，研究表明用户几乎无法通过阻止扫描器IP或迁移服务端口来逃避扫描。研究发现揭示了一种令人不安的伦理违规现象，包括透明性、无害性和匿名性。值得注意的是，研究结果表明，这些引擎往往未能提供透明性，并且不允许用户选择退出扫描。此外，这些引擎发送格式错误的请求，试图在未授权的情况下访问过多的细节，甚至在搜索结果中发布个人可识别信息（PII）和截图。这些做法不仅危及用户隐私，还可能通过助长恶意团伙的行为而使设备面临进一步的风险。该研究强调了在测绘引擎操作中迫切需要建立更严格的伦理标准和增强透明度，并提供了有关防范侵入性扫描实践和保护数字基础设施的重要见解。

•

An Empirical Study on Fingerprint API Misuse with Lifecycle Analysis in Real-world Android Apps

作者：张歆、张晓寒、刘智晨、赵波、杨哲慜、杨珉

摘要：

基于指纹的身份验证（FpAuth）在Android应用中越来越多地被使用，特别是在账户登录和支付等高度敏感的场景中，因为它能够提供一种方便的用户身份验证方法。然而，由于Android指纹API（FpAPIs）的复杂性和不断演变的特性，在实际移动应用中正确和安全地使用这些API仍然面临挑战。

该研究首次从FpAuth生命周期的角度对Android应用中FpAPI的误用进行了系统的实证分析。首先，研究团队开发了专门的工具来识别和分析使用FpAPIs的应用，检查它们的特征。然后，研究定义了威胁模型，并通过详细的生命周期分析对四种常见的FpAPI误用类型进行了分类。最后，研究团队开发工具自动检测在1,333个使用FpAuth的应用中这些误用类型，并发现令人担忧的结果：97.15%的应用至少存在一种误用漏洞，其中18.83%的应用对所有已识别的误用类型均存在漏洞。这些误用的后果是显著的，包括未经授权的数据访问、账户被盗用，甚至财务损失，影响了广泛的用户群体。研究团队已负责任地报告了这些漏洞，获得了184个CVE ID和19个中国国家漏洞数据库（CNVD）ID，并得到了15家供应商的认可。该研究希望能够提高人们的意识，并强调正确使用FpAPIs的重要性。