百度没有用任何的数字签名验证APK文件，所以中间攻击者就可以通过发送特别编写的响应来实施有效攻击。中间攻击者可以发送任意URL给任意的APK文件，然后这个文件和相关描述还是会被呈现给用户。如果APK文件拥有的数字签名和当前安装的应用不符，那么安卓系统不会允许这种文件来升级应用。所以不能用这种技术来用任意的APK文件替换百度浏览器。但是仍旧可以用一个不同的恶意APK文件(使用百度浏览器的名称和标识)欺骗用户安装一个新的应用程序(如图三所示)。

　　微软版本

　　我们分析了 7.6.100.2089 版本的微软版百度浏览器，这是从 下载的。这种版本也还是有一些隐私安全漏洞。表2 总结了通过该应用收集加密或易加密传送的个人数据。

　　关于微软版本的收集传输个人数据功能，我们发现了以下几个安全缺陷：

　　A.输入地址栏时泄露地址栏内容

　　和安卓版本类似，当用户在地址栏输入文本来搜索时，该文本会以HTTP GET请求的形式不加密地发送给这个URL： ，地址栏内容会存储在wd参数值中。

　　B.以一种易破解的协定和百度服务器通信

　　我们还观察到，在应用程序启动和浏览时，百度浏览器会向 *.br.baidu.comdomain的各子域发送多个HTTP POST请求。这些POST请求的主体始终坚持以这种特定的形式：标题加上加密的有效负载。标题是没加密的两个字符串。第一个是浏览器的GUID，这是这些参数的哈希值：

　　1、硬盘序列号

　　2、硬盘型号

　　3、硬盘控制器版本

　　4、网络MAC地址

　　5、BDM字符串

　　再加上#字符，比如md5(“VBf952409b-973833b1#VBOXHARDDISK#1.0#080027f2c8cf#BDM”).

　　第二个字符串是浏览器的SupplyID，是HKEY_LOCAL_MACHINE\SOFTWARE\Baidu\BaiduBrowser\SupplyID的检索值。这可能是与浏览器版本相关的注册表。

　　加密的有效负载，在解密时包含使用谷歌协议缓冲区(也称为protobuf)的序列化数据。这种数据是用一种改编的TEA密码进行加密的，我们称为MTEA。百度用MTEA使用的密码模式块是CBC的一种非标准修改，叫做MCBC。(见图四)

　　为了加密解密所有的protobuf信息，百度浏览器使用含有下列硬编码ASCII密钥的MTEA+MCBC：vb%,J^d@2B1l’Abn。使用的都是零字节初始化向量。用于解密这些请求的python脚本源代码在这里。

　　C.手机里含有每个浏览界面信息，包括硬件序列号

　　我们解密了浏览器发出的protobuf请求，发现这样的请求(我们称作Page Report请求)会发送用户浏览的每个界面，包括HTTP和HTTPS界面，还有界面和用户的下列信息：

　　1、界面的完整URL

　　2、界面的HTTP状态代码

　　3、界面的HTML标题

　　4、浏览器存储网络跟踪器的域名(名叫BAIDUID)以及跟踪器的内容(百度使用这个名称的网络跟踪器)

　　5、机器的CPU型号

　　6、机器的硬盘序列号

　　7、文件系统序列号

　　8、机器的网络MAC地址

　　9、浏览器的GUID

　　D.对软件更新的不安全审查

　　当浏览器要查找更新时，会发出一个protobuf请求，我们称之为 Update Info 请求，这是为了获得百度浏览器的最新版本。加密的响应会包含最新发布的版本号、升级的描述、升级到最新版本的URL和文件的md5哈希值。这个可执行文件没有受到任何数字签名的保护，只在加密的请求中有md5哈希值。通过加密并发送protobuf响应，任何的中间攻击者都可以向任何的可执行文件和其md5哈希值中发送URL，这样会导致浏览器下载执行任意代码。

　　E.更新域列表中的网站会触发代理

　　浏览器启动时，它会发送一个我们称之为代理信息请求的protobuf请求。在解密该请求时，包括了不同资源的版本号码，这些资源和百度自动代理的境外网站有关，这在本文的第二部分有具体的解释。如果服务器确定这些资源中有需要更新的部分，protobuf响应中会包含资源的最新版本或是最新版本的链接，一起的还有新版本的MD5哈希值和用于解密的密钥。

　　第二部分：国外网站代理