Telegram Desktop高危漏洞可窃取本地任意文件，7.2.9版本已修复

你平时用电报聊天，有想过点个网页链接，电脑里的文件就被默默搬空吗？

Telegram Desktop这个高危漏洞确实挺阴险，黑客利用客户端外部调起的解析缺陷，只要骗你在浏览器点个特制链接，就能借用电报权限偷走本地敏感文件和Session密钥，连二次验证都能直接绕过

聊聊我的几点看法
跨软件唤醒是最大的安全盲区
大家平时都防着聊天框发来的危险文件，却忽略了网页通过系统协议直接调起桌面软件的过程，这种跨软件交互，很多开发者根本没做严密的安全隔离

黑客偷凭证比直接控电脑更香
现在黑客越来越务实了，拿你电脑最高权限太费劲，不如直接偷账号凭证，拿到Session密钥就能随时登录你的号，隐蔽又高效

接下来，其他依赖自定义协议调起的软件，比如 Discord、Slack等等，大概率也会被黑客盯着挖一遍

怎么防范？
▶️赶紧把软件升级到 7.2.9 以上
▶️关掉电报的自动下载功能
▶️浏览器弹窗提示“允许打开外部应用”时，非自己主动点击的一律拒绝