随着移动办公和远程管理的普及，iOS和iPadOS设备上的终端应用变得越来越重要。Blink作为一款备受欢迎的移动Shell工具，不仅支持SSH功能，还能执行部分本地命令，极大地提升了用户在移动端的操作效率。然而，正是这种灵活性也带来了令人意想不到的安全隐患。近期，研究者发现Blink在处理SSH URL时存在输入验证缺陷，导致攻击者能够通过精心构造的URL实现命令注入，进一步威胁设备和用户数据安全。 Blink应用的核心功能之一是支持通过SSH协议远程连接服务器。用户在iOS或iPadOS平台上点击以ssh://开头的URL时，系统会弹出一个确认窗口，询问是否使用Blink打开。
经过确认后，Blink自动将URL解析为命令行指令，方便用户直接执行远程连接操作。理论上，这一流程确保了用户对连接行为的知情和确认。然而，实际情况显示Blink在解析用户名和主机名时，未对特殊字符进行严格过滤。这意味着攻击者可以在URL中插入控制字符，如换行符（%0A），来模拟用户按下“回车”键，从而使恶意指令被直接执行。 具体来说，攻击者通过构造类似ssh://user@termtest.dgl.cx%0A的URL，可以让Blink在无需用户手动确认的情况下，立即执行命令。这种设计上的疏忽使得恶意脚本得以植入并执行。
虽然SSH连接首次建立时会要求确认主机密钥以防止中间人攻击，但攻击者可利用SSH命令中的配置参数来绕过这一确认过程。例如，通过在URL中添加-o 'StrictHostKeyChecking no'选项，Blink会跳过主机密钥验证，直接建立连接，增加了攻击成功的可能性。 更令人警惕的是，Blink不仅支持SSH命令，还具备执行部分本地命令的能力。尽管不支持复杂的命令链，但可以利用控制字符如^C（取消当前命令行）和^H（删除字符）巧妙修改命令实现恶意操作。借助这一点，攻击者能够设计URL来悄无声息地读取手机内部存储中的敏感文件，例如用户的Shell历史记录文件.blink/history.txt，随后通过网络请求将数据发送到指定的远程服务器。因为iOS系统默认对存储的SSH密钥文件有较强保护，直接盗取密钥相对困难，但偷取访问记录和相关信息依旧极具价值，足以帮助进行进一步攻击。
此类攻击方式也涉及到iOS的URL调用机制。用户通常会通过点击链接或者扫描二维码的方式触发URL打开动作。正常情况下，iOS会弹出提示，要求用户确认是否允许打开相应App，如Blink，防止恶意程序自动运行。然而，研究显示使用控制中心“扫码”功能时，系统有可能跳过此警告，直接执行URL所指向的命令。这为攻击者提供了便利，利用二维码传播恶意SSH链接，用户在无感知中即被劫持设备或窃取数据。 溯源到更早的安全研究，可以发现iOS和macOS的URL处理机制在过去几年也曝出多次漏洞。
例如2014年的BSides Las Vegas安全会议上，安全专家揭示了iOS URL Scheme的潜在滥用风险；2017年的Disobey大会亦指出macOS终端App通过URL处理触发系统崩溃的可能性。这些事件均反映了移动和桌面操作系统在开放应用交互接口时，需强化输入验证和权限管控的重要性。 针对Blink应用的此安全隐患，开发团队已迅速响应并发布安全更新（版本18.3.1 build 1006），明确修复了URL解析过程中的字符过滤漏洞。用户应及时更新应用，避免因点击未知链接或扫描不可信二维码暴露系统风险。同时，建议用户增强安全意识，尽量不要轻易点击来源不明的URL，尤其是涉及ssh://、blinkshell://和code://等专用协议链接。 在防范层面，iOS系统自身也在不断改进URL唤醒流程，降低恶意利用概率。
应用开发者更应在设计时加强对输入数据的预处理和边界检查，确保任何用户或外部提供的参数都经过严格验证，避免命令注入和越权访问。此外，加密存储和访问控制措施也应同步优化，保证用户凭据和历史记录等敏感信息不被非法读取。 综上所述，Blink应用中发现的URL处理漏洞提醒我们，移动终端安全同样不可忽视。攻击者利用URL协议的灵活性和iOS内置功能的交互特性，精准实施带有隐蔽性的命令注入攻击，威胁设备和用户隐私。唯有用户、开发者与系统厂商共同努力，不断完善安全策略和技术防护，才能在数字化时代保障移动办公的安全与稳定。未来，建议更多关注终端应用的安全加固和系统层应对机制，以应对日益复杂的攻击手段和新兴的威胁场景。
。
