Android学习第十天-----本地拒绝服务漏洞之一

本地组件拒绝服务攻击

先给一些科普
序列化是什么，为什么要序列化

序列化是指把Java对象转换为字节序列并存储到一个存储媒介的过程。反之，把字节序列恢复为Java对象的过程就叫做反序列化。

为什么要序列化
JVM（Java Virtual Machine（Java虚拟机））
Java对象存在的前提是JVM有在运行，因此如果JVM没有运行或者在其他机器的JVM是不可能获取到指定的java对象的。而序列化操作则是把java对象保存到存储媒介上，可以在以上不可能的情况下仍然可以使用Java对象。
所以，序列化的主要作用是：

永久性保存对象，保存对象的字节序列到本地文件中；
通过序列化对象在网络中传递对象；
通过序列化在进程间传递对象。

Android中序列化

在Android中，经常需要在多个部件（Activity ， Fragment ， Service）之间通过Intent传递一些数据，如果是一些普通类型的数据可以通过PutExtra()进行传递，如果是对象的话就得先进行序列化才能传递。在Android中有两种序列化的接口，Serializable 和 Parcelable.

Serializable：(JavaSE本身就支持的)保存对象的属性到本地文件、数据库、网络流、rmi以方便数据传输。
Parcelable：(Android特有功能)因为Serializable效率过慢，为了在程序内不同组件间以及不同Android程序间(AIDL)高效的传输数据而设计，这些数据仅在内存中存在。

何时使用它们
Parcelable的效率会比Serializable高，数据仅存在于内存中。；而Serializable因为使用到了反射，会相对慢一些，因此，只在内存间传递数据的话推荐用Parcelable，而如果是要进行保存或者网络传输则选择Serializable。

原文链接

这个之一的漏洞就是

再科普一些 Android Intent

介绍

调用其他应用的setComponent

Intent中Component使用

安卓系统DOS收集

可以看一下这个
wooyun知识库

本地拒绝服务

1) 漏洞位置:

处理getIntent()的intent附带的数据

2) 漏洞触发前提条件：

getIntent()的intent附带空数据、异常或畸形数据；
处理getXXXExtra()获取的数据时没有进行异常捕获；

3) 漏洞原理：

Android系统中提供了Intent机制来协助应用间的交互与通讯，其负责对应用中一次操作的动作、动作涉及数据、附加数据进行描述，系统则根据此Intent的描述，负责找到对应的组件，将Intent传递给调用的组件，并完成组件的调用。调用的组件在处理Intent附加数据的时候，没有进行异常捕获，因此当处理空数据、异常或者畸形数据时，导致应用崩溃。

具体的看这里

看一下wooyun的一个例子

搜狗输入法空字节拒绝服务

这个里面的不错 可以看卡