论文分享

如今，微信、百度这类”超级 App”里的小程序，已经渗透到金融、医疗、政务、出行等生活的方方面面。 为了在无需跳出超级 App 的前提下识别用户身份、获取手机号等敏感信息，各小程序平台都提供了一套基于OAuth 2.0实现的认证机制（后文称之为 OBA，OAuth-Based Authentication）。它让小程序可以借助平台专有 API 完成登录与授权。

奇安信星图实验室联合清华大学、中关村实验室在国际顶会 NDSS 2026 发表研究成果！团队分析超 320 万个恶意样本，构建了全球最大的代码签名滥用数据集（43,286张证书），首次发现"幽灵证书"威胁，系统揭示五大攻击策略。数据集已开源，为软件供应链安全研究提供重要支撑。

面对日益复杂的开源生态，我们的研究证明，传统的“版本比对”模式已经难以为继。由现有包级别工具识别出的潜在风险中，高达 68.28% 的漏洞代码实际上从未被调用 。