※ 引述《hn9480412 (ilinker)》之铭言：
: Google Play Store 爆重大漏洞！所有 Android 版本皆受影响！
: 文／记者刘季清／ 2017-05-12 17:43
: Android 用户小心！国外资安公司 Check Point 出具报告指出，最近发现 Android 作业
: 系统出现一款严重漏洞，会导致使用者曝露在一系列的恶意程式攻击之下，包括发送勒索
: 软件、广告软件等。可怕的是，Google 需要到新版的 Android O 作业系统释出后这个问
: 题才会被改善。
: Check Point 的资安报告指出，Google 在 Android 6.0 作业系统中引进了一个全新的
: App 权限模式，不过因为该权限接口独立在 App 之外，导致许多用户没办法手动允许权
: 限的请求。后来 Google 为了解决问题，就在 Android 6.0.1 系统中更改权限设定，让
: 任何来自 Google Play Store 的应用程式默认为开通权限。
: 不过，这样的做法却导致 Android 装置曝露在危险的攻击之下，包括诈骗广告、钓鱼攻
: 击、勒索软件、木马程式等。Check Point 调查报告指出，约有 74% 的勒索软件、57%
: 的恶意广告软件以及 14% 的银行恶意软件（banker malware）都是透过此一漏洞执行。
: Check Point 表示，在发现此一漏洞之后，就已经跟 Google 回报。但 Google 表示这一
: 漏洞会在最新的 Android O 作业系统内修复。不过目前 Android O 作业系统尚未正式发
: 表，只有 BETA 测试版；就算发表之后，还要经过各家手机厂商的测试才会正式推送。
: Check Point 建议，在 Google 推送新的 Android 作业系统之前，建议使用者要提高警
: 觉，就算是从 Google Play Store 下载的应用程式都要张大眼睛仔细看看是否要求过多
: 权限，也可以先阅读一下其他使用者对该 App 的评分，以策安全。
: http://3c.ltn.com.tw/news/30138
: 还好我都用iOS
在Andoroid SDK 22 (含)以前时，App的权限都是在最一开始安装时整套授予的，
要不你就安装，然后同意授予此App所有权限；
你不同意所有权限，那你就不要装，掰。
Andoroid SDK 23 新增了 AppOpsManager，
利用AppOp方式控管两大一小类权限，
两大类为：
- Normal permissions：安装时直接授予。
- Dangerous Permissions：默认关闭，Apps开启时可单一或多项询问。
一小类为：
- Special Permissions：必须发送一个Intent，让使用者自行至设定开启。
而这一小类目前只有String OPSTR_SYSTEM_ALERT_WINDOW (重叠图层)
与String OPSTR_WRITE_SETTINGS (修改系统设定)
Android 6.0.0 刚推出时，有两个情况：
一、App开发者把重叠图层权限忘了或不知道要跟上，
导致很多地方回传Null，App就卡住或者崩溃。
二、使用者每安装一个需要图层权限的App，就必须要至设定更改，很烦。
所以6.0.1时，谷哥大神为了不给使用者带来麻烦，
在下载安装时把SYSTEM_ALERT_WINDOW自动允许开启了，
就类似对Normal permissions的方式那样。
好，看到这边你有没有觉得这是个“漏洞”呢？
在我个人认为，其实基本上算是个“隐藏风险”，而不算个“漏洞”。
CheckPoint前几天指出的这件事，
其实早在6.0.1出来后很多人就反映过，
谷哥大神也认为这不是个漏洞，
毕竟你从Google Play按下安装时会跳出视窗，
跟你说你安装的这个App会使用什么权限，
你自己要按下确定的呀，简单来说这就是诱奸？
反正使用者还是可以自己到设定去把特定App的权限关闭，
所以7.0出来后，当然也不会因此而有改变。
那有些人就会说啦：
“可是CheckPoint访问谷歌，谷歌说安卓8有针对这个问题改善耶！”
我直接了当跟你说，没有，这个问题没有改，
只是加了两个东西进去。
一、int TYPE_APPLICATION_OVERLAY：依然要请求SYSTEM_ALERT_WINDOW，所以根本没差
呀。
二、Overlay Notification：在通知栏多出了“某某程式正在最上层显示”。
基本上比较有帮助的是第二点，
因为以前你同意了重叠图层的权限，
他如果是透明的，你根本不知道他正在跑。
安卓8之后，在通知栏跟你说谁正飘在上面，
如果你不想看到也可以选择隐藏。
题外话：
对于SYSTEM_ALERT_WINDOW其实最安全的是小米，
MIUI在很早的时候就封杀SYSTEM_ALERT_WINDOW，
有一阵子App收到很多使用者的问题回报，
一看居然全都是小米手机。
后来抽丝剥茧才发现重叠图层直接被MIUI挡住，
MIUI就这样给你默认挡，阿也不跟你说挡了，没半个人知道发生什么事。
所以后来有很多人干脆趁机直接改用Type_Toast，
就是系统中有时候会出现在萤幕上一个小小的黑色横条，
因为在SDK 19后Toast也可以做到跟Alert_Window做到类似效果，
只是接收其他触控事件。
好最后有点跑题了，简单说结论：
一、这在我认知不是个漏洞。
二、如果你认为他是漏洞，就算安卓8也还是不会改。
三、如果你认为他是漏洞，你自己就可以关掉补洞了。