手机是 iOS16.6.1 也就是巨魔最后一版，安装了一个 ProcFlowGG 的 巨魔工具可以查看到 iOS 进程，然后就发现如图一幕。。。
我可以确信，我已经是很小心的限制权限了，比如直接关闭了后台刷新，以及这些软件都没有通知提醒权限，并且大部分软件都已经一两周都没有运行过了，当前卡片更不可能存在的。
但是牛逼的是 它们居然在进程里面！
问了下 AI 这些狗软件用了啥黑科技，有说是灵动岛 activity 也有说是统一广告联盟方式，还有说是 widget 组件机制的。
抱歉我都没有开他们的通知啊。都是最小程度的给权限的。
由于不太信任 AI 回复，特来问下各位大佬
 |
1
我能想到的就是最近那个巨大的小于 iOS17.3 漏洞，但是这银行也敢搞木马吗？我印象中国产大厂敢这么做的只有 PDD 了，所以 这 tm 究竟是啥黑科技啊。安卓起码还可以用冰箱之类的限制它们，iOS 就无解了？
|
 |
sduoduo233Jul 31 via Android
2
没看懂，是这些 app 用漏洞保活吗？
|
|
3
@sduoduo233 就是没搞懂它们是咋搞了进程的？我都很多天没有运行这些 APP 了，当然更不可能给它们发通知的权限，所以就是奇怪
|
 |
getadoggieJul 31 via iPhone
4
ios 不是有墓碑机制吗 有懂的人科普一下吗
|
 |
june4Jul 31
5
你确定这些后台 app 在消耗 cpu ？
|
 |
terence4444Jul 31 via iPhone
6
我监控过进程，你试试这样：
1. 先把这些全杀了 2. 断开 Wifi 3. 再连上 wifi 4. 看看进程是不是又被拉起来了 |
 |
kera0aJul 31 via iPhone
7
iOS 会预运行可能使用的 app
|
|
8
@kera0a 我搜索了下 还真有这么一个机制 ：预热机制（ Prewarm ） 但看描述似乎不太可信。另外就是 假设是这样的，那这些 APP 应该不太可能在这种状态下拿到我的信息吧？（ IP 地理位置 或者 广告 id ？）
|
|
9
@terence4444 是的，间隔一阵子就起来了。过阵子又不在了。很诡异的
|
|
10
@Jianghushushi 这个是基于网络切换的拉起机制，已经很久很久了。很多 app 都用这种方法，在切换网络时拉起给服务器发送你当前的位置，用来跟踪。
苹果对此视而不见。 |
 |
wen704Jul 31 via iPhone
11
iOS 非低电量模式下的预加载能力，据说 iOS15 开始有的，进程并非真实是 app 真实启动了，只是说 iOS 系统观测你这个时间点可能会用这几个 app
你开低电量杀光你不需要的进程，用一天只要你不开都不会有进程 不开低电量，啥也不管，正常使用，即便你没开过这个应用，在内存不够或者系统调度，某些进程也会消失 你在意就杀进程，不在意就不用关心，正常使用就行 |
|
12
@terence4444 所以，这算是有预谋的黑产吧，这一晚上观察下来，好多 APP 都陆陆续续这样启了进程随后一会儿消失。
这么说的话，处于安全考虑，私密的手机，那是连这些 APP 都尽量不要安装了哦？ 这几乎颠覆此前的认知啊，以为 iOS 不启动这些 APP 就安全了（知道安卓可看到它们的后台进程），谁知道 这 tm iOS 也这样搞？那跟安卓没区别啊，安卓起码还可以简单的看到后台进程呢 |
 |
dem0nsJul 31
13
有些可能是系统在调用 APP ，这些可以不用管的。 比如 App Intents
|
|
dem0nsJul 31
14
https://developer.apple.com/documentation/appintents 系统会调用 App ，看它暴露了哪些 actions ，应该来说是关不掉的
|
 |
usVexMownCzarJul 31 via Android
15
@Jianghushushi 可以下载一些国外的 app 观察下，做个对照组🐶
|
|
17
@usVexMownCzar 你看截图，浓眉大眼的 Gemini 也在其中。不过这货只有一个 pid 没有进程名。
|
 |
ysxb1145Aug 1 via Android
18
@Jianghushushi win11 也有预加载，你咋不说是黑产？嫌进程碍眼直接卖掉换安卓，体验一下一百瓦快充和真 120Hz 刷新率
|
 |
MacsedProtossAug 1 via iPhone
19
@terence4444 搞笑呢 一看就是代码都没写过 先有鸡还是先有蛋都不知道 app 收到网络切换通知的前提是他还活着
|
|
MacsedProtossAug 1 via iPhone
20
@Jianghushushi op 你都有 root 权限了 自己撸点东西看看更详细的每个 pid 的情况不行吗 在这一张图猜啊猜的…
|
 |
wu67Aug 1
21
是不是即时通知? 例如美团外卖那种订单状态实时推送, 能在锁屏上显示的
|
|
22
@wu67 activity 那个即时通知我只有在点外卖、打车前才临时开启权限，完成订单就关了。已经很小心翼翼了。
|
|
23
@MacsedProtoss 我已经搜过一圈巨魔工具了，没找到合适的。这是巨魔不是越狱，可能还是不够内核深度吧。那么多大佬前赴后继了都没看到结果，你自己撸也不过是借助 AI 罢了，此前试过 codex 改巨魔插件，要么直接拒绝，要么两三次对话后拒绝。
|
|
24
@ysxb1145 看你咋定义黑产了，有部分观点认为直接造成经济损失才算，我认为 PDD 利用 0day 漏洞植入木马工具就已经属于黑产了。哪怕它的目的就是为了 APP 保活以及上传你的位置之类的“基本“目的（没直接偷钱）。
|
 |
shuiduoduoAug 1 via iPhone
25
这些国产 app 都是黑产 还好我不用国产
|
 |
feiwanAug 1
26
挺有意思的
|
|
terence4444Aug 1 via iPhone
27
@MacsedProtoss 你这样蠢得自信满满的，多半还是学生。在网络上和人对线，至少要自己验证一下。验证一下又不难，抓个包就几分钟的时间。
|
 |
roanokeyehiaAug 1
28
先抓包分析一下网络流量, 没有技术性数据就不好回答
|
 |
FingbuzzAug 2 via iPhone
29
越狱，装一个禁止 APP 热启动的插件，这些 APP 就不启动了
|
|
30
@Fingbuzz 有插件名称吗？目前还是巨魔状态并未越狱。巨魔的能力相比越狱还是差了一个层级
|
 |
FreshOldManAug 3
31
有个允许后台的功能关了吗
|
|
32
@FreshOldMan 允许后台刷新功能吗？这个安装 APP 第一时间就关闭了的。上面这些 APP 包括通知提醒能力，本地网络 啥的 全都关闭了的
|
 |
darkwayAug 3
33
ios 有一个极度安全模式什么的，你把那个打开试试
|
|
34
@darkway 就是锁定模式 吗？ 自从 <17.3 惊天漏洞爆发以来，由于想要巨魔就不能升级，我就开启了这个 LockDown 模式了
|
|
darkwayAug 3
35
@Jianghushushi 我很惊讶，这个锁定模式的介绍听起来很厉害，没有想到就算开了锁定模式，都不能够阻止这些 APP 自己启动。那这个锁定模式实际上感觉也不安全啊
|
|
FingbuzzAug 4 via iPhone
36
@Jianghushushi sileo 里面添加源后搜"谢谢"或"3Q"，也可以关注我的公众号"研硕电子"，里面有源和插件介绍
|
 |
aero99Aug 4
37
iPhone 和 ios 比较老的版本都不建议用了，暴露出的后门就够喝一壶的
|
 |
SkywalkerJiAug 5
38
基于屏幕时间的那些 app 能拦截住吗？
感觉冻结 app 这套还得看 Android ，冰箱、雹之类压的死死的，除了存储之外和没装一样，iOS 感觉再咋么限制都会漏。 |
 |
dingwen07Aug 6
39
……iOS App 只要不使用过多的 CPU 和内存，在后台确实就不一定会被杀的
进程真的被杀了，系统也可以重新运行，App 控制不了。 我估计是后端发了 APNs silent push ，系统可能选择把进程拉起来，不过这个很不可靠的。 应该不是 Live Activity ，这玩意我研究过，需要服务器用 APNs 推送 payload ，App 的 ActivityKit 实现渲染，没有活跃 Live Activity 的时候 ActivityKit 应该是运行不了的 |
|
40
@dingwen07 嗯，chatGPT 和 Gemini 都提到可能是是 Live Activity ，但这个似乎的确需要触发下拉待机上一个状态（类似外卖进度、高铁检票口）才是。所以不太信任 AI 的判断。
我其实刚非常怀疑那个 darksword/coruna 之类的惊天漏洞，这帮厂商是有胆量利用的，但是 Gemini 自己也有参与的份，说实话对于 PDD ，美团 这类公司，你说他们杀人放火我都相信。但银行/京东，感觉又不会这么坏吧。 现在倾向于 10L 提到的 基于网络切换的拉起机制 ，大概率是这个了吧😂 |
|
41
@aero99 是的 ，苹果都史无前例的直接发提醒升级了，但我又怎么舍得放弃巨魔呢🤣于是选择了 lockdown 模式。有一定防护作用吧。
@SkywalkerJi 似乎不行，在明确的对单个 APP 进行手动限制上，iOS 明显不如安卓了，iOS 你以为它没在运行了，实际上只是没有一个有效的进程管理软件可以看到吧 @darkway 锁定模式对于那个 Corunna 有些效果。但低版本系统本身巨大风险，锁定模式似乎不够抵御的 |
 |
gavanwangAug 6
42
@Jianghushushi 我觉得是你想多了，应该就是预加载。特别是银行 App ，都是外包的，给几块钱啊？外包公司给你整这种高科技，银行内部也不会下这种需求，有啥必要？银行又不靠这个吃饭。
越狱插件更是笑话，你都这么小心翼翼了，这么在乎安全了，结果跑去越狱？跑去装来历不明的插件？搞不懂。 |
2
Select Language