TikTok 通过 schemes 嗅探设备已安装应用

[Suclogger]

来源：谷歌安全研究员 Ivn (@ivRodriguezCA) / Twitter

TikTok snooping on users' pasteboard, so I had to take a look.

Their main app's [YYTextView _initTextView] method:

...

haha TikTok can handle all the URL schemes in the world. LSApplicationQueriesSchemes:

参与讨论的tbodt表示：

it doesn't handle these schemes, it asks the system if something handles these schemes, so it can detect whether any of these apps are installed

[谷歌翻译] 它不处理这些方案，而是询问系统是否有东西可以处理这些方案，因此它可以检测是否安装了这些应用程序

[Jirajine]

用这么麻烦？获取已安装应用又不需要权限。

[Suclogger]

@Jirajine #1 iOS 下有沙盒限制，无法直接获取

[est]

国内 app 常规操作。一家推送全桶唤醒。。

[qyd0801]

@est #3 ios

[w99w]

这个 schemes 列表是 APP 被查询时用到的。

[icyalala]

YYTextView 是个开源库，
Scheme 列表除了判断是否安装以外，如果你需要接入诸如 QQ 微信微博登录也是要写上的。
我看不出这些有什么问题。。

[mcluyu]

这不是常规操作么，这也没多少啊，大多数都是为了分享到目标 APP，要想石锤，好歹也逆向一下，找到循环调用测试是否安装该 APP 的代码才有说服力吧。

[dorentus]

ivRodriguezCA 真的是谷歌安全研究员？
连 LSApplicationQueriesSchemes 是做什么的都不知道……
YYTextView 没听过倒是还正常，但是随便 Google 搜索一下都不会……

[Telegram]

@dorentus #8 就是，打脸打的啪啪啪，
3 楼也是，看到国产 APP 被怀疑就开喷、、、

[Telegram]

https://developer.apple.com/documentation/uikit/uiapplication/1622952-canopenurl

[hoyixi]

无所谓，反正这是一款中国人禁止入内的 App

[akira]

所以 结论是什么？

[Telegram]

@akira #12 结论是苹果 ios9 以后规定，你的 app 需要调起其他 app，比如分享到朋友圈或者分享到微博，需要提前把对方的 schemes 写在你的 info.plist 里，可以理解为白名单，这个列表最大是 50 个。
这个地摊安全员，一看就是不写 ios 的，只会解个包，看看资源文件，就想搞个大新闻。

[Battle]

@est 不懂的东西，可以不用评论的