Android漏洞解析之旅---利用ZipEntry漏洞实现免root写恶意文件到应用的沙盒中

一、前言

Android中的漏洞真的很多，一不小心就踩到坑了，最近开发过程中遇到一个问题，解决发现一个很大的漏洞，而这个漏洞到现在也没有修复，google也没有想过修复，下面就来看看这个漏洞的场景。

 

二、漏洞场景分析

Android中现在开发过程中会有很多场景中使用到解压缩文件，比如动态加载机制，可能下载了apk/zip文件，然后在本地做解压工作，还有就是一些资源在本地占用apk包的大小，就也打包成zip放到服务端，使用的时候在下发。本地在做解压工作。那么在Android中解压zip文件，使用的是ZipInputStream和ZipEntry类，代码比较简单：

代码看上去很简单，但是这段代码中就存在一个问题，就是那个zipEntry.getName方法，这个方法返回的是zip文件中的子文件名称，按照正常逻辑，解压这个子文件到本地都是直接用相同的名字即可，但是这里zip文件就存在一个漏洞：

zip文件中的子文件名格式没有格式要求，也就是可以包含特殊字符。

但是在系统中是有限制的，比如Windows中：

在Linux中：

这些系统中是不允许文件名包含一些特殊字符的，但是在ZipInputStream/ZipOutputStream类却是可以的。

也就是说使用ZipOutputStream类进行压缩文件，这里可以对文件名不做任何限制，压缩代码也简单：

只用ZipEntry类做单个文件压缩：