本文转载自ZOL

随着移动互联网技术的飞速发展，移动智能系统的逐步成熟，搭载着智能系统的手机、平板大量涌现。于是智能系统的重要组成部分--App应用火了。苹果App Store和Android Market的应用目前分别都已超过了47万、40万数量级，而其中Android Market的App，达到了以每月2-3万款的速度增加。

无论您使用的是手机还是平板电脑，或者其他设备，面对如此海量的App，在安装和使用这些形形色色的App时是否想到过这样的事情--一些表面上光明正大的App背后却偷偷地在窃取着您的个人隐私！

每年3·15国际消费者权益日到了，下面我们就来探个究竟，看看到底App有没有窃取用户的隐私？如果有，那又是如何来窃取这些隐私的，如何去制止这些威胁行为？

Android App应用分类比例（图片来源于网络）

本文将以Android系统的App应用为例，带着上文的几个问题一起来深挖一下，分析一些App偷窥用户隐私的行为到底有什么样的内幕。

现象暴露：App对权限过分要求

App运作过程中的不良动作

App从安装到运行直至最后卸载的全过程，会经过一系列的动作，有些动作往往都是用户所未能察觉的。那么，哪些动作可能对用户本身存在威胁性？

在考究这个问题时，我们需要先来解释一下，有窃取行为的App都具备什么样的动作表现。

先来了解窃取隐私的定义。窃取隐私是指用户在不知情或未授权的情况下，获取涉及用户个人信息的，据有隐私窃取属性，可能的行为包括：获取短信、彩信、邮件、通讯录、通话记录、通话内容、地理位置、本机手机号码、本机已安全软件信息、运行进程、各类账号信息、各类密码、用户文件内容、记录分析用户行为、获取用户网络交易信息、收藏夹信息、用户联网信息、用户下载信息，利用移动终端麦克风、摄像头等设备获取音频、视频信息等。

安装过程中要求的权限

App安装时对权限需求

恶意App根据指令上传用户信息

代码记录器中纪录了不良动作的过程

在对App飞流下载和伪装来电软件进行安装的时候，我们发现在安装开始的第一步，App本身就向用户索要权限，这些权限包括用户的位置、网络通信、跟人日志数据、硬件以及手机通话记录等等。这些特征都与上面我们对窃取隐私的定义点吻合。

备注：App在安装过程中，通常都需要获取用户的某些权限。不过换句话说，并不能说明App所要的任何权限都是不合理的，都会给用户带来安全威胁。那么究竟哪些权限需求是合理的，哪些不合理？我们在接下来的内容中继续探索。

如何判断App行为是否带威胁性

我们在前面也看到了，飞流下载和伪装来电在用户安装的时候，程序本身会向用户索要相关权限。那么用户如何去判断程序索要的这些权限，是否可能会对用户的隐私安全带来威胁性。

App索要权限，其实也并不足以能证实App本身就会采取相应的动作。下面我们总结了一下其中最关键的六种状态，分析索要权限的目的，逐个来做判断。

1、允许获取用户的位置（GPS）。App需要的获取用户GPS权限，也即是需要使用到用户的位置信息。对于这个需求，我们也不能妄下定论，指明凡是索要用户GPS信息都是不合理的。其实App权限的索要跟该App应用本身的功能特征密切相关。

实验显示App记录GPS信息并上传

譬如一款以位置交友为主要目的的App应用，那么它需要获得用户的GPS权限，那也是合情合理的；但是反过来，如果是一款手电筒、或者打火机简单应用的App，没有必要去取得用户的GPS位置权限，如果需要的权限，那只能说明它们具备这方面的隐私威胁嫌疑。

2、获取完成的互联网访问权限。很多App在软件本身被开发设计的时候，已经考虑到App自身更新的需求，这样开发者会将软件自动提示升级的功能加入到软件内。因此，很多App都在安装的时候需要获得用户手机的互联网访问权限。

那是不是说所有App都需要这样的权限呢？那不见得！比如很多App应用商店中，有一些单部书籍程序提供给用户下载使用，那么分析一下，对于这种单部书籍，通常情况下看完就完，程序本身或者书籍本身都不需要去联网更新。如果这种App程序安装时索要用户的互联网访问权限，那就很有盗取隐私的嫌疑了。

3、允许读取手机联系人信息。同样道理，如果App本身的功能与用户手机联系人，存在着“八竿子打不着”的关系，那么App这种行为是值得怀疑的。

4、允许读取用户手机短信息。

5、查看用户手机的通话记录权限。其实，第三、四、五方面是用户隐私信息的直接体现，理论上除了管理用户通讯资料相关的App以外，原则上其他任何第三方的App程序都没有这个资格去想用户索取这方面的权限。用户在安装手机软件时，如果看到有需求这些字眼的权限要求，就要特别留意了。

6、获得硬件控件权限。解释一下，举个例子，假如，有这么一种高科技的App被装入到了您的手机中，而在您没有发觉的情况下，正常地去使用手机。如果哪天在网络上或者是其他用户那里听到自己的通话记录、看到了自己的行踪，那么罪魁祸首可能就是硬件控件权限的丢失。

当然，您也不用太担心，下面笔者就来查一查，某些已经“违规”的App，到底有没有真的对外服务器传输信息，窃取用户的隐私信息？

诊断App是否真的在窃取！

专业工具分析得到的结果

在用专业工具（IDA和Java Decomplier）分析后，如果App真的存在窃取用户隐私的行为，那么真面目就浮出水面！

结论：当恶意App程序运行后，会读取了用户的手机号、服务商、国家代码、IMEI码等信息，并进行字符串格式化重组，再上传到远方的服务器。

不易被察觉的窃取隐私行为

首先，恶意App要申请相关权限，如收听电话权限、录音权限、接受短信的权限等，获取权限后才能够获取相关信息。窃取隐私的模式有两种：一是本地控制，二是云端控制，后者更不容易被发觉。

本地控制，即由本地来控制什么时候上传隐私信息，规则是固定的，主要有几种：定时或定周期执行操作、监听执行、重启开机执行、点击应用本身触发；云端控制，即云端会发送指令，在什么情况下上传什么内容，规则是由服务器定的。相对于本地控制，云端控制更为“高明”，可以随意修改规则，不易被觉察。

哪些App存在威胁行为？

经过多方咨询各大安全厂商，结合他们对某些App长期反复的验证测试，我们将这些分散的App都收集起来，所得到最后的核查结果。以下程序具备了窃取隐私行为和特征。

专门工具轻松揭穿一些App的行径

在前文中，我们提到通过使用一些专业的检测工具，如IDA或Java Decomplier反编译类型的工具，即可以通过对App程序本身组成的情况，动作捕捉等等，就能判断出某个被怀疑的App是否真的在进行窃取隐私的行为。

目前从安全部门得到的统计数据，结合通过专门的测试检查。现在有如下12款App（暂时最新，软件的性质会随开发者的程序调整而改变）极有可能存在窥探用户的个人隐私方面信息。

具备窃取隐私特征的相关App
1	伪装来电
2	飞流下载
3	小破孩动态壁纸
4	手电筒
5	打火机
6	小水滴（游戏）
7	X卧底
8	秀秀
9	妈妈百宝箱
10	模拟器游戏大全
11	窃听猫
12	电子鞭炮

恶意App应用软件溯源

具有窃取隐私威胁的App来源渠道有多种，而且跟用户使用手机下载App的习惯有紧密的联系，下面我们将最常发生的，App有害应用来源渠道，总结成为以下四种方式，一一为大家列出。

一、来自于电子市场。当前，电子市场与安全厂商合作，加强了App检测，但不排除有漏网之鱼。Google电子市场曾几次报告发现恶意软件，在这些被发现的恶意软件中，不乏那些病毒、木马以及隐私窃取软件的身影；

二、来自论坛。大家知道，互联网论坛各式各样，涉及的行业、类别，细化到具体的话题都有，潜伏或者泡在论坛上什么样的人都有。一些别有用心的人会将窃取程序植入到普通软件中，发表在论坛中供大家去下载分享。通过这样第三方论坛下载的App，出现问题的用户并不少见；

三、黑心零售商的人为。使用安卓手机的用户可能都应该有所了解，现在网上有很多论坛里，提供各种各样的刷机ROM。而在这些ROM中，很多都是以个人为单位，自己改装、定制而成的。这样一些ROM改写者将木马、病毒App预先植入ROM中，用户只要刷了这些ROM，那么手机非常可能存在各种威胁和信息泄露了；

四、手机被其他人控制。最后一种可能性，手机被其他人装入了第三方的控制程序或者控制工具，如恶意安装了监听软件等方式。那么手机在这种被监听的状态下，隐私保护问题就岌岌可危了。

解决方案：如何保护用户隐私

在前面的内容中，我们通过使用专门的测试工具，可以揭穿某些App的威胁行径。但对于普遍手机用户来说，这些方法对比较具有深度和难度，那有没有更好的方法呢？我们下面来总结一下。

App应用：用户使用习惯篇

前文已经四种最可能发生隐私被窃取的不良使用习惯，都列举了出来，下面我们便结合这些问题，总结出行之有效的解决方案，来帮助您远离、避免隐私被盗取的可能性。

一、从正规渠道下载App，安装时注意查看权限。在相关权限与软件本身无关情况下，如非必须就尽量不要安装。这里强调了一个点：“相关权限与软件本身无关”，这样就避免了威胁的软件介入。跟软件本身功能无关的权限，如App向用户索要，其实就是一种可疑的行为。

二、留意手机定位图标，GPS标签是否处于通讯状态。手机GPS功能，是管理并且控制用户手机进行地位位置定位的重要方式，如果用户打开GPS信息，右上方会有GPS卫星标志闪动。另外有一种情况下，如果手机GPS在用户没有打开的情况下莫名闪动，这时您就应该留意一下了，或者切换到进程中去看看，到底有哪些软件正在运作，并使用了手机GPS功能。但是目前已经出现了另外一种方式，就是APK已经不用通过GPS获取用户地理位置了，而只需通过基站获取信息。

三、留意流量符号，GPRS是否无故接通并运作。如果用户在没有联网的情况下，手机流量在莫名其妙的上传或下载，“E”标志闪动（此情况出现在2G网络下）。用户还可下载正规的流量监控软件，如果某些App流量耗费多而本身又无联网需求，用户应该注意。

推荐使用安全工具篇

QQ手机管家对App的权限管理功能

金山手机卫士恶意软件扫描功能

安全管家查看已装软件详情

以上，我们提供三款手机安全软件，分别是QQ手机管家、金山手机卫士以及安全管家。

首先需要指出的是，QQ手机管家是一款完全免费的手机安全与管理软件。覆盖了四大智能手机平台，提供系统、通讯、隐私、软件、上网五大安全体系；防病毒、防骚扰、防泄密、防盗号、防扣费五大防护功能。

上图中，我们明显看到，既然App所需要使用到用户的权限非常的关键，因此通过QQ手机管家直接将可疑App中的权限关闭，这样是对App最为直接地断绝与外界服务器进行信息互换的可能性。相对来说，用户对QQ手机管家使用操作起来相对要轻松得多（对比专业的IDE等反编译软件）。

而金山手机卫士是金山网络有限公司开发的一款免费手机安全软件，目前覆盖symbian和android两大主流移动平台。以手机安全为核心，提供有流量监控、恶意扣费拦截、防垃圾短信、防骚扰电话、风险软件扫描及私密空间等实用安全功能。

通过金山手机卫士众多功能中的其中一项恶意软件扫描，通过这种软件的扫描，将用户已经在手机系统安装了的App程序进行分析，如果他们的行为运行可疑，或者是存在威胁性的，金山手机卫士就会提示用户去卸载掉，用户在使用起来也非常的方便。

安全管家是一款永久免费的手机安全管理软件，集手机杀毒、流量监控、程序管理、防盗备份、隐私保护、系统优化、通讯管理、扣费扫描等安全防护功能于一体，为用户提供防骚扰、防扣费、防病毒、防隐私泄漏等全方位保护。

总评：隐私保护与道德底线

本文所分析的是App，这是一些可能用户们平时也不太注意的环节，例如，年轻人使用Android手机（其他Android设备）较为普遍性，年长者当然也有不少使用安卓手机的用户。在这里，我们找到一组数据来比较一下年轻人与年长者、男性与女性，在对App泄露个人隐私这个问题上，表现出来的注重程度调查报告。

男女性对隐私保护的注重程度调查

年龄段分类上对隐私保护的注重程度调查

备注：蓝色：不关心；黄色：中立；橙色：关心

这组目前最新的国外调查结果显示，女性移动设备用户相比男性用户更关注App软件对个人隐私问题的保护，男性用户的关注比例为52%，女性用户的关注比例为59%。而从年龄段来看45岁以上的用户对移动App的关注度超过了60%！

归纳总结：分析表明对手机隐私关注的程度没有男女性别之分，这种隐私对于每一个人来说都是非常重要的。而细微的差别仅在于，年长者要比年轻人更加关心这个问题，而又恰恰是年长者在App对隐私窃取方面的行为，相对较缺少了解。因此，必要的时候借助于对应的安全软件，加上一些在使用智能手机时的一些操作习惯，如同本文第四页中提到的相关方案（点击查阅）。

维护用户手机软件使用的安全，对用户隐私的密切保护，是各大App厂商、开发者所最为底层的道德线，更是广大手机用户使用App最基本的要求。所以，只要双方携起手来，共同努力，那么作为消费者的普通用户基本权益就会得到最大的保障！