Android：你不知道的 WebView 使用漏洞

前言

文件夹

1. 类型

2. 详细分析

2.1 WebView 随意代码运行漏洞

addJavascriptInterface（）

searchBoxJavaBridge_

accessibility

accessibilityTraversal

2.1.1 addJavascriptInterface 接口引起远程代码运行漏洞

A. 漏洞产生原因

addJavascriptInterface

webView.addJavascriptInterface(new JSObject(), "myObj");
// 參数1：Android的本地对象
// 參数2：JS的对象
// 通过对象映射将Android中的本地对象和JS中的对象进行关联，从而实现JS调用Android的对象和方法

function execute(cmdArgs)
{
// 步骤1：遍历 window 对象
// 目的是为了找到包含 getClass （）的对象
// 因为Android映射的JS对象也在window中，所以肯定会遍历到
for (var obj in window) {
if ("getClass" in window[obj]) {

// 步骤2：利用反射调用forName（）得到Runtime类对象
alert(obj);
return  window[obj].getClass().forName("java.lang.Runtime")

// 步骤3：以后，就能够调用静态方法来运行一些命令。比方訪问文件的命令
getMethod("getRuntime",null).invoke(null,null).exec(cmdArgs);

// 从运行命令后返回的输入流中得到字符串。有非常严重暴露隐私的危急。

// 如运行完訪问文件的命令之后，就能够得到文件名称的信息了。
}
}
}

B. 解决方式

B1. Android 4.2版本号之后

@JavascriptInterface

B2. Android 4.2版本号之前

addJavascriptInterface

javascript:(function JsAddJavascriptInterface_(){
// window.jsInterface 表示在window上声明了一个Js对象

//   jsInterface = 注冊的对象名
// 它注冊了两个方法，onButtonClick(arg0)和onImageClick(arg0, arg1, arg2)
// 假设有返回值，就加入上return
if (typeof(window.jsInterface)!='undefined') {
console.log('window.jsInterface_js_interface_name is exist!!');}
else {
window.jsInterface = {

// 声明方法形式：方法名: function(參数)
onButtonClick:function(arg0) {
// prompt（）返回约定的字符串
// 该字符串可自定义
// 包含特定的标识符MyApp和 JSON 字符串（方法名，參数。对象名等）
return prompt('MyApp:'+JSON.stringify({obj:'jsInterface',func:'onButtonClick',args:[arg0]}));
},

onImageClick:function(arg0,arg1,arg2) {
return
prompt('MyApp:'+JSON.stringify({obj:'jsInterface',func:'onImageClick',args:[arg0,arg1,arg2]}));
},
};
}
}
)()

// 当JS调用 onButtonClick（） 或 onImageClick（） 时。就会回调到Android中的 onJsPrompt （）
// 我们解析出方法名，參数，对象名
// 再通过反射机制调用Java对象的方法

关于该方法的其它细节

细节1：载入上述JS代码的时机

onLoadResource（）。
doUpdateVisitedHistory（）；
onPageStarted（）。
onPageFinished（）；
onReceivedTitle（）；
onProgressChanged（）。

细节2：须要过滤掉 Object 类的方法

getClass()
hashCode()
notify()
notifyAl()
equals()
toString()
wait()

总结

2.1.2 searchBoxJavaBridge_接口引起远程代码运行漏洞

A. 漏洞产生原因

searchBoxJavaBridge_

searchBoxJavaBridge_

B. 解决方式

searchBoxJavaBridge_

// 通过调用该方法删除接口
removeJavascriptInterface（）；

2.1.3

accessibility

和

accessibilityTraversal

接口引起远程代码运行漏洞

2.2 password明文存储漏洞

2.2.1 问题分析

mWebView.setSavePassword(true)`

2.2.2 解决方式

WebSettings.setSavePassword(false)

2.3 域控制不严格漏洞

2.3.1 问题分析

public class WebViewActivity extends Activity {
private WebView webView;
public void onCreate(Bundle savedInstanceState) {
super.onCreate(savedInstanceState);
setContentView(R.layout.activity_webview);
webView = (WebView) findViewById(R.id.webView);

//webView.getSettings().setAllowFileAccess(false);                   (1)
//webView.getSettings().setAllowFileAccessFromFileURLs(true);         (2)
//webView.getSettings().setAllowUniversalAccessFromFileURLs(true);    (3)
Intent i = getIntent();
String url = i.getData().toString(); //url = file:///data/local/tmp/attack.html
webView.loadUrl(url);
}
}

/**Mainifest.xml**/
// 将该 WebViewActivity 在Mainifest.xml设置exported属性
// 表示：当前Activity能否够被还有一个Application的组件启动
android:exported="true"

1. setAllowFileAccess（）

// 设置是否同意 WebView 使用 File 协议
webView.getSettings().setAllowFileAccess(true);
// 默认设置为true。即同意在 File 域下运行随意 JavaScript 代码

webView.getSettings().setAllowFileAccess(true);

setAllowFileAccess(false);

setAllowFileAccess(true);

// 禁止 file 协议载入 JavaScript
if (url.startsWith("file://") {
setJavaScriptEnabled(false);
} else {
setJavaScriptEnabled(true);
}

2. setAllowFileAccessFromFileURLs（）

// 设置是否同意通过 file url 载入的 Js代码读取其它的本地文件
webView.getSettings().setAllowFileAccessFromFileURLs(true);
// 在Android 4.1前默认同意
// 在Android 4.1后默认禁止

AllowFileAccessFromFileURLs（）

<script>
function loadXMLDoc()
{
var arm = "file:///etc/hosts";
var xmlhttp;
if (window.XMLHttpRequest)
{
xmlhttp=new XMLHttpRequest();
}
xmlhttp.onreadystatechange=function()
{
//alert("status is"+xmlhttp.status);
if (xmlhttp.readyState==4)
{
console.log(xmlhttp.responseText);
}
}
xmlhttp.open("GET",arm);
xmlhttp.send(null);
}
loadXMLDoc();
</script>

// 通过该代码可成功读取 /etc/hosts 的内容数据

setAllowFileAccessFromFileURLs(false);

3. setAllowUniversalAccessFromFileURLs（）

// 设置是否同意通过 file url 载入的 Javascript 能够訪问其它的源(包含http、https等源)
webView.getSettings().setAllowUniversalAccessFromFileURLs(true);

// 在Android 4.1前默认同意（setAllowFileAccessFromFileURLs（）不起作用）
// 在Android 4.1后默认禁止

AllowFileAccessFromFileURLs（）

// 通过该代码可成功读取 http://www.so.com 的内容
<script>
function loadXMLDoc()
{
var arm = "http://www.so.com";
var xmlhttp;
if (window.XMLHttpRequest)
{
xmlhttp=new XMLHttpRequest();
}
xmlhttp.onreadystatechange=function()
{
//alert("status is"+xmlhttp.status);
if (xmlhttp.readyState==4)
{
console.log(xmlhttp.responseText);
}
}
xmlhttp.open("GET",arm);
xmlhttp.send(null);
}
loadXMLDoc();
</script>

setAllowUniversalAccessFromFileURLs(false);

4. setJavaScriptEnabled（）

// 设置是否同意 WebView 使用 JavaScript（默认是不同意）
webView.getSettings().setJavaScriptEnabled(true);

// 但非常多应用（包含移动浏览器）为了让 WebView 运行 http 协议中的 JavaScript，都会主动设置为true，不差别对待是非常危急的。

setAllowFileAccessFromFileURLs（）

setAllowUniversalAccessFromFileURLs（）

webView.getSettings().setJavaScriptEnabled(true);

终于解决方式

// 禁用 file 协议；
setAllowFileAccess(false);
setAllowFileAccessFromFileURLs(false);
setAllowUniversalAccessFromFileURLs(false);

// 须要使用 file 协议
setAllowFileAccess(true);
setAllowFileAccessFromFileURLs(false);
setAllowUniversalAccessFromFileURLs(false);

// 禁止 file 协议载入 JavaScript
if (url.startsWith("file://") {
setJavaScriptEnabled(false);
} else {
setJavaScriptEnabled(true);
}

3. 总结

请帮顶或评论点赞！

因为你们的鼓舞是我写作的最大动力！