北京
点一下链接，本地文件就可能被悄悄发出去。这不是危言耸听，是安全研究员刚刚披露的Telegram桌面版高危漏洞的真实攻击路径。
更值得玩味的是时间线：漏洞通过协调机制通报给Telegram后，官方在9月17日发布7.2.9版完成修复。等到大多数用户更新到位，研究员才把细节公开——先修再曝，这套流程本身没什么可指摘的。
问题出在"单实例通信"上
Telegram桌面版支持用tg://链接拉起客户端。如果系统里已经跑着一个Telegram，新启动的进程不会另开一个窗口，而是通过本地套接字，把链接内容转交给正在运行的那个客户端。
麻烦就在这个转交环节。旧版本没有正确处理通信数据里的特殊分隔符，攻击者可以构造一条带异常参数的链接，让客户端把本该当成一个链接处理的内容，拆成多条内部指令，从而注入额外的OPEN操作。
攻击链还能走得更远。它能触及Telegram桌面版用来自动处理文件和脚本的内部路径——攻击者预先准备好相关文件，再诱导目标点击外部链接，客户端就可能在不明显提示用户的情况下，把本地文件发送到攻击者控制的聊天或频道。
账号会不会被劫持，取决于一个开关
如果被窃取的是Telegram会话数据，而用户又没有设置客户端本地密码，那攻击者还有可能直接劫持账号。
这里要分清一个容易混淆的概念：本地锁定密码不是账号登录验证，也不是额外的两步验证密码。它必须单独开启和设置，可以和两步验证密码相同，也可以不同。而且，这个功能默认是关闭的。
开启之后，用户可以随时锁定Telegram，或者设置超时后自动锁定，本地相关会话文件也会被加密。代价是日常使用中可能多一步解锁动作，但换来的安全性提升是实打实的。
对普通用户来说，结论很直接：先确认版本已经更新到修复后的版本，再把本地锁定密码打开。多一步解锁，总好过账号在毫无察觉的情况下易主。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
