Stagefright安全问题：普通用户在没有补丁的情况下可以采取哪些措施缓解此问题？

#1 楼

这不仅涉及MMS或网络冲浪，因为Stagefright是可帮助手机解压缩多媒体消息的库：请参阅《媒体》和《财富》上的这篇文章。

因此，它涉及任何应用程序（包括您的Web浏览器） ），可与多媒体（视频剪辑和音频记录）一起使用。 MMS只是利用它的最简单方法，因为您的手机在下载它之前不会询问您。

这就是为什么您还需要考虑所有其他使用多媒体的应用程序而从不打开任何多媒体附件的原因

对于Web浏览器，您可以切换到Firefox 38或更高版本，然后才能继续打开包含视频和/或音频内容的网页。

进行总结：


禁用Messaging App中的MMS自动检索（无论它是什么）
（图像指南）
切换到Firefox 38或更高版本（在您的市场/应用商店中找到）
切换到隐藏视频缩略图的文件系统管理器，这是Total Commander的默认设置

切换到不受干扰的视频播放器，例如hulkingtickets指出的视频播放器MX播放器（确保激活所有视频格式的“ HW +”设置）


请勿打开任何多媒体文件或绘制视频缩略图在任何其他应用程序中，并尽可能阻止在所有应用程序中自动打开/下载它们。这个非常重要。如果您的手机未打补丁，并且您使用的是带有多媒体内容的ANY应用程序，并且没有阻止该应用程序自动打开多媒体的选项（例如，浏览器：如果您打开某个随机网页，则浏览器应该预加载视频，如果它们（位于此网页上），然后停止使用此应用并阻止对此应用的Internet访问（如果不能-删除该应用）。如果此应用对您很重要，并且您无法在此应用中更新手机固件或阻止多媒体，则只需停止使用您的手机并购买另一台不易受到攻击的手机即可。

是的，这意味着在最坏的情况下您需要更换手机。 Stagefright是一个非常严重的漏洞，影响约10亿个设备，因此您很容易成为自动攻击的受害者，这不是直接针对您的，而是针对所有10亿用户的。


安装更新，如果您拥有Cyanogenmod 11或12（已于2015年7月23日修复，请参见github上的提交）

编辑：自23.07.2015起的修复不完整，您可能需要在修复后再进行更新13.08.2015

编辑4：2015年8月13日的修复程序仍不完整，您需要在2015年10月从Google修复程序（所谓的Stagefright 2.0）后再更新一次。如果您使用的是Adroid 5.x或6，则可能需要在2015年11月从Google进行下一次修复后再进行更新，因为同样存在危险的漏洞（CVE-2015-6608和CVE-2015-6609），叫做Stagefright了。请注意，从制造商处实际修理的时间可能会晚一些，或至少有所不同。例如，CM11已于2015年11月9日更新，而CM12.1已于2015年9月29日更新。

编辑5：Google在2016年1月2日报告了另外2个Stagefright漏洞，但是，它们“仅“影响Adroid 4.4.4-6.0.1


等待制造商更新

EDIT2：与Cyanogenmod相似，制造商可能不会进行更新足够了，由于初始整数溢出修复问题，在2015年12月12日报告：原始整数溢出修复无效。因此，即使在更新之后，也建议使用Zimperium的应用程序（Stagefright问题的发现者）检查手机是否仍然容易受到攻击：Zimperium Stagefright Detector App


如果您已经拥有root ，请尝试GoOrDie提供的修复程序。另请参阅此操作指南。

编辑3.我在Samsung S4 mini上尝试了此修复程序，但此方法无效。因此，在植根手机之前请三思。

#2 楼

为了缓解这种攻击，我禁用了MMS，因为无论如何我都不使用它们。您可以在“设置”菜单中执行此操作。选择“蜂窝网络”>“接入点名称”，选择您的接入点，然后从“ APN类型”中删除“ mms”。我还清除了MMSC。

（单击图像放大；将图像悬停以了解说明）

说明顺序：在每个图中从左到右依次跟踪图像row



请注意，Android将组SMS转换为MMS，因此您可能也要禁用该功能。为此，请转到“消息传递”应用程序，打开“设置”菜单，然后禁用“组消息传递和自动检索”。

#3 楼

最新版本的环聊可缓解此问题，它看起来像在将媒体传递给系统服务之前进行了一些额外的检查。不过，它不能解决系统中的根本问题。

您还可以通过环聊的Settings→SMS→取消选中Auto retrieve MMS禁用MMS自动检索，或者通过Settings→Advanced→禁用Messenger中的MMS自动禁用Auto-retrieve下的MMS。如果需要，该站点提供了详细的步骤。

#4 楼

此问题也影响网上冲浪。尝试在media.stagefright配置文件中禁用与build.prop相关的属性（如果存在）。

将根分区安装为rw并编辑build.prop。将media.stagefright.enable-###设置为false

注意：这需要root用户访问权限。

#5 楼

报告该漏洞的公司Zimperium已发布有关与Stagefright相关的漏洞的其他信息。.在Google Play商店中，有一个应用程序可以检测您的设备上是否存在该漏洞。显然，三星还发布了一个应用程序，该应用程序将在三星设备上禁用MMS，尽管Play商店中没有该应用程序。

#6 楼

由于MMS（Multi-Media-Messaging）是可以运行此漏洞的多种方法之一，因此您可以防止MMS漏洞。 Stagefright本身并不是一种利用。 Stagefright是内置在Android框架中的多媒体库。

利用该漏洞的原因是隐藏在深度系统级别的多媒体工具中，因此几乎所有以该工具为核心的Android变体
很容易成为目标。根据Zimperium zLabs的研究，
单个多媒体文本可以打开设备的相机
并开始录制视频或音频，还可以使黑客访问您的所有照片或蓝牙。 。修复Stagefright需要进行
完整的系统更新（据报道，尚未被任何OEM发布
），因为该漏洞已嵌入到整个系统范围的工具中。幸运的是，SMS应用程序开发人员已经亲自解决了该问题，并发布了临时修复程序，以避免Stagefright停止视频MMS消息以使其停止运行，从而自动访问设备的摄像头。
到达。 [来源-Android头条新闻]

您可以在Play商店中使用Textra SMS或Chomp SMS，该软件声称可以限制Stagefirght的这一利用。 Delicious Inc.开发的应用程序Textra和Chomp SMS都已经收到了全新的更新，这些更新限制了视频MMS消息在您的设备收到后立即运行。
从Textra知识库文章中，

当任何SMS / MMS应用创建对话气泡或 MMS视频缩略图，或者用户按下视频上的播放按钮或
保存到图库。
我们已经为Textra的3.1版中的'StageFright'提供了解决方案。
非常重要：在其他SMS / MMS应用中，请关闭自动检索是
这还不够，因为一旦您点击“下载”，该漏洞就有可能被激活。此外，您将不会收到任何彩信图片或群组
消息。这不是一个好的解决方案。

根据这两个应用程序的开发者的说法，

通过拒绝此操作，大大降低了您的设备被这种新漏洞利用的风险
MMS消息会自动运行。

如何使用Textra保护免受Stagefright的侵害？
在Textra应用程序设置下打开Stagefright Protection。

屏幕快照（点击放大图片）
因此，如果激活应用程序的Stagefright Protection并收到Stagefright漏洞消息，则会发生以下情况：


Stagefright Protected：如下所示，则该消息尚未下载，并且缩略图尚未解析，因此，如果此视频具有针对Stagefright的漏洞，则它将无法执行其代码。该消息下方有一个漂亮的“ Stagefright Protection”标签。




如果我点击受Stagefright保护的消息？ ：按下MMS消息上的“播放”按钮时：一个更大的盒子，一个更大的播放按钮以及一个更大的“ Stagefright”标签。



您仍然要打开媒体并受到影响吗？ ：最后，最后一次单击“播放”按钮将弹出一条警告消息，提醒您下载的视频可能包含一个名为Stagefright的漏洞。

（注意：没有已知的漏洞，如果有，它的名称不会是Stagefright，因为Stagefright只是容易被利用的多媒体库的名称。）

屏幕截图（点击放大）
然后，按OKAY按钮将弹出您要观看的任何视频，仅此而已。如果所说的视频确实包含针对Stagefright的漏洞，那么它实际上会在此时执行。
来源：Phandroid
如果您对自己是否已经受到感染以及Stagefright漏洞的受害者感到好奇然后从zLabs（Zimperium研究实验室）发布的PlayStore下载此应用Stagefright Detector，该应用程序首先向Google报告了此问题。
更新：[18-09-2k15]
摩托罗拉已正式发布了安全补丁将于8月10日向运营商进行Stagefright安全性问题测试，并根据运营商提供商的信息向公众发布。在论坛中提到，

补丁程序就绪后，您会在手机上看到一条通知，
下载并安装更新。我们鼓励所有人
通过
设置>关于电话>系统更新来定期检查他们是否具有最新软件。

如果您使用的是摩托罗拉并且仍然无法获取您可以阅读以下安全补丁来避免遭受攻击的安全风险，

如果我的手机没有该补丁，我该如何保护自己？
首先，仅下载多媒体您认识和信任的人的内容（例如附件
或需要解码才能查看的任何内容）
。您可以禁用手机的自动下载彩信的功能
。这样，您只能选择从受信任的
资源下载。

消息传递：转到“设置”。取消选中“自动检索彩信”。
“ SMS”。取消选中自动检索彩信。
Verizon Message +：转到“设置”>“高级设置”。取消选中自动检索。取消选中“启用网络链接预览”。
Whatsapp Messenger：转到设置>聊天设置>媒体自动下载。在“使用
移动数据时”，“连接Wi-Fi时”和“漫游时”下禁用所有视频自动下载。
Handcent Next SMS：转到设置>接收消息设置。禁用自动检索。


了解更多信息：
如何防止Stagefright的脆弱性？Stagefright的其他攻击媒介还有哪些？

评论

---

h！游戏才刚刚开始：触发Stagefright漏洞的新方法-1）触发来自Android应用程序的漏洞利用，2）精心设计的HTML漏洞利用方法针对Internet上的网页访问者。

–Firelord♦
15年8月3日在17:01

---

是的，对！正如帖子中所说，StageFright是一种利用，它不仅可以从MMS触发，而且可以使用使用具有此漏洞的android核心Media Framework的任何东西。因此，我的答案仅特定于MMS消息利用。但是，还有许多其他可能性。除非移动OEM认真对待此问题并为所有android手机发布更新，否则所有手机都一样容易受到攻击。

–幸运
2015年8月3日在17:05

---

“没有已知的利用，如果它的名字不是Stagefright，因为Stagefright只是容易受到利用的多媒体库的名称”：这两个帐户现在都是错误的：PhK链接了一个利用Bug CBS命名为stagefright

–user2987828
16 Mar 22 '16 at 14:58

---

#7 楼

广告软件MX Player声称播放视频时没有与Stagefright相关的错误。您需要选择这些图像上显示的所有灰色按钮和所有蓝色选中的按钮：






您还需要清除所有Video Player应用程序的默认设置，然后选择MX Player作为默认的Player应用程序。免责声明：此应用程序有两个版本：一个带有广告免费版本，另一个是“ Pro ”，费用为6.10欧元。我与它的作者无关。我不会从这个职位获得任何收入。我可能只会得到一定数量的代表积分。

感谢hulkingtickets给出的答案。