SecureRandom漏洞技術(shù)分析詳解（CVE-2013-7372）

在信息論中，熵被用來(lái)衡量一個(gè)隨機(jī)變量出現(xiàn)的期望值。熵值越低越容易被預(yù)測(cè)。熵值可以用比特來(lái)表示。關(guān)于熵的知識(shí)請(qǐng)參考：hxxp://zh.wikipedia.org/wiki/熵_(信息論)

下面這張圖可以形象的表述這個(gè)過(guò)程：

0×05 漏洞修復(fù)

Google已經(jīng)發(fā)布了patch�？聪翫iff文件：

hxxps://android.googlesource.com/platform/libcore/+/ab6d7714b47c04cc4bd812b32e6a6370181a06e4%5E%21/#F0

修復(fù)前：

修復(fù)后：

發(fā)現(xiàn)fix文件里在調(diào)用完updateSeed函數(shù)更新之后，重新讀了下seed 的last word。

對(duì)于普通開(kāi)發(fā)者來(lái)講，可以使用下面鏈接中的方式進(jìn)行修復(fù)。

hxxp://android-developers.blogspot.com.au/2013/08/some-securerandom-thoughts.html

0×06 參考鏈接

(1)hxxps://android.googlesource.com/platform/libcore/+/kitkat-release/luni/src/main/java/org/apache/harmony/security/provider/crypto/SHA1PRNG_SecureRandomImpl.java

(2)hxxp://resources.infosecinstitute.com/random-number-generation-java/

(3)hxxp://developer.android.com/reference/java/security/SecureRandomSpi.html

(4)hxxp://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-7372

(5)hxxp://android-developers.blogspot.com.au/2013/08/some-securerandom-thoughts.html

• 網(wǎng)絡(luò)安全攻防技術(shù)分享
• 深入探討堆溢出漏洞及利用
• WP Statistics WordPress插件SQL注入漏洞分析
• 網(wǎng)絡(luò)安全專業(yè)學(xué)習(xí)布線么？
• 360安全瀏覽器6.2：您的網(wǎng)絡(luò)安全守護(hù)者