移动安全学习笔记——Webview安全漏洞总结

最新推荐文章于 2024-09-02 11:15:00 发布
最新推荐文章于 2024-09-02 11:15:00 发布
阅读量3.6k 收藏 10
点赞数 3
分类专栏： # 移动安全 文章标签： android 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/syy0201/article/details/114167097
版权

0x00 Webview简介

Webview交互是指App使用webview加载展示功能页面，在使用过程中会存在一些风险，导致app被攻击者利用，加载恶意代码，窃取用户信息。

0x01 file协议跨域访问

1、漏洞原理

webview控件将setAllowFileAccessFromFileURLs或setAllowUniversalAcessFromFileURLsAPI设置为true,开启了file域访问，且允许file域访问HTTP域，但是并未对file域的路径做严格限制。

2、检测方法
  • webview控件是否将setAllowFileAccessFromFileURLs或setAllowUniversalAcessFromFileURLsAPI设置为true。
  • 客户端是否对file://路径进行严格限制。
3、相关设置

  • setJavaScriptEnabled(boolean)

    • webview 能否执行javascript代码。 默认设置为false。

  • setAllowFileAccess(boolean)

    • 设置是否允许 WebView 使用 File 协议。默认设置为true，即允许在 File 域下访问app资源。

    • 若无需使用file协议，则设置为false；若需使用file协议，则 禁止 file 协议加载 JavaScript 。

  • setAllowFileAccessFromFileURLs(boolean)

    • 设置是否允许运行在file域中的javascript 代码访问本地file域资源。

    • 此功能破坏了同源策略SOP的限制。

    • 注意：如果setAllowUniversalAccessFromFileURLs设置为true，则setAllowFileAccessFromFileURLs设置为false没有意义（被忽略）。

    在Android 4.0.4(API level 15) 前默认允许 在Android 4.1.x(API level 16) 后默认禁止

  • setAllowUniversalAccessFromFileURLs(boolean)

    • 设置是否允许运行在file域中的javascript 代码访问其他的源(包括http、https等源)的资源。
    • 在Android 4.0.4(API level 15) 前默认允许 在Android 4.1.x(API level 16) 后默认禁止
4、漏洞危害

造成应用克隆攻击。

  • 场景1. 仅仅适用于Android 7（API Level 24）以下的设备中，采用“符号链接跨源攻击 。

  • 攻击条件：

    • setAllowFileAccess(true) （默认开启）
    • setJavaScriptEnabled(true)
    • WebView可以被外部调用，并能够加载外部可控的HTML文件

    这一攻击能奏效的原因是：通过 javascript 的延时执行和将当前文件替换成指向其它文件的软链接就可以读取到被符号链接所指的文件。 （案例参考：小米有品2.2.3 版本应用克隆漏洞）

    漏洞修复：Android 7.0 webview禁止了这种不安全的延迟替换

  • 场景2. 应用克隆漏洞（也适用于Android 7（API Level 24）以上的系统版本）。

  • 攻击条件：

    • setAllowFileAccessFromFileURLs(true) 或者 setAllowUniversalAccessFromFileURLs(true)
    • setJavaScriptEnabled(true)
    • WebView可以被外部调用，并能够加载外部可控的HTML文件 (案例参考：支付宝应用克隆漏洞）
5、修复方案
  • 非功能需求时，显式动配置 setAllowFileAccessFromFileURLs和setAllowUniversalAccessFromFileURLs两个API为false。
  • 如果有开启的必要，设置file路径的白名单，严格控制file域的访问范围：
    • （1）固定不变的HTML文件可以放在assets或res目录下，file:///android_asset和file:///android_res 在不开启API的情况下也可以访问；
    • （2）可能会更新的HTML文件放在/data/data/(app)目录下，避免被第三方替换或修改；
    • （3）对file域请求做白名单限制时，需要对“../../”特殊情况进行处理，避免白名单被绕过。
  • 对于不需要使用file协议的应用，禁用file协议； 对于需要使用file协议的应用，禁止file协议加载 JavaScript。

0x02 SSL证书校验

1、漏洞原理

Android WebView组件加载网页发生证书认证错误时，会调用WebViewClient类的onReceivedSslError方法，如果该方法实现调用了handler.proceed()来忽略该证书错误，则会受到中间人攻击的威胁，会导致隐私泄露。

错误代码：

public void (WebView view, SslErrorHandler handler, SslError error){
    // 只简单地调用proceed()方法，忽略证书错误问题
    paramSslErrorHandler.proceed();
}

onReceivedSslError()方法里不能简单地用proceed()方法进行处理，建议给用户一定的提示。 一般来说，使用Webview连接带有可信机构颁发证书的HTTPs站点，onReceivedSslError()方法里无需作任何处理 。

2、检测方法

查看onReceivedSslError()中是否调用了Handler.proceed()方法来忽略证书错误。

3、相关设置
  • 继承关系
    • java.lang.Object——android.os.Handler——android.webkit.SslErrorHandler
  • 相关方法
    • Handler.proceed()
    • 忽略SSL证书错误，继续加载页面
  • Handler.cancel( )
    • 停止加载问题页面
4、漏洞危害

造成中间人攻击。

5、修复方案
  • 不调用android.webkit.SslErrorHandler的proceed方法
  • 当证书认证发生错误时，采用默认的处理方法handler.cancel()，停止加载问题页面

0x03 明文存储

1、漏洞原理

WebView默认开启密码保存功能 ：mWebView.setSavePassword(true)开启后。当用户选择保存在WebView中输入的用户名和密码，则会被明文保存到应用数据目录的databases/webview.db中。如果手机被root就可以获取明文保存的密码，造成用户的个人敏感数据泄露 。

2、检测方法

是否设置mWebView.setSavePassword(false)。

3、相关设置
  • mWebView.setSavePassword(boolean)
    • 开启密码保存功能 ,默认为true。
4、漏洞危害

如果手机被root就可以获取明文保存的密码，造成用户的个人敏感数据泄露 。

5、修复方案

使用mWebView.getSettings().setSavePassword(false)来禁止保存密码

0x04 远程代码执行

1、漏洞原理

在Android 4.2（API Level 17)版本及以下的Android设备存在安全风险，应用程序的WebView加载的不安全的javascript代码通过反射调用Android对象中所有方法，包括系统类（java.lang.Runtimel类），从而进行任意代码执行。

（1）addJavascriptInterface()

addJavascriptInterface方法用于实现本地Java和JavaScript的交互，但是该函数并没有对方法调用进行限制，导致攻击者可以调用任何JAVA类，最终导致JavaScript代码对设备进行任意攻击

（2）WebView 内置导出的 searchBoxJavaBridge_对象

在Android 3.0以下，Android系统会默认通过searchBoxJavaBridge的Js接口给 WebView 添加一个JS映射对象：searchBoxJavaBridge对象。 该接口可能被利用，实现远程任意代码，建议删除该接口。

webview.removeJavascriptInterface("searchBoxJavaBridge_");

（3）WebView 内置导出的 accessibility 和accessibilityTraversal Object对象

该接口可能被利用，实现远程任意代码，建议删除该接口。

webview.removeJavascriptInterface("accessibility");` webview.removeJavascriptInterface("accessibilityTraversal");

（2）和（3）都是webview组件包含3个隐藏的系统接口：searchBoxJavaBridge_, accessibilityTraversal以及accessibility，恶意程序可以利用它们实现远程代码执行。

2、检测方法

（1）对于addJavascriptInterface()

  • Android系统版本是否低于4.2

  • 查找Webview是否使用addJavascriptInterface方法注册可供JavaScript调用的Java对象。

    特征：Landroid/webkit/WebView;->addJavascriptInterface(

（2）对于系统隐藏的接口漏洞

检查webview组件中的getSettings()中没有移除隐藏接口的API（removeJavascriptInterface）。

3、漏洞危害

执行Java代码，造成攻击。

4、修复方案

（1）对于addJavascriptInterface()

  • 尽量移除该接口

  • 如果一定要使用addJavascriptInterface接口，需使用以下方法

    • Android4.2以上，允许被JavaScript调用的方法必须以@JavascriptInterface进行注解声明，从而避免漏洞攻击。
    • Android4.2以下，采用setWebChromeClient重新onJsPrompt()拦截prompt()消息进行交互。

  • 在使用js2java的bridge时候，需要对每个传入的参数进行验证，避免恶意代码的攻击。

（2）针对系统隐藏的接口漏洞

如果使用了WebView，那么应使用WebView.removeJavascriptInterface(String name)API，显示移除searchBoxJavaBridge_、accessibility、accessibilityTraversal这三个接口。

0x05 参考

https://juejin.cn/post/6844904151256678408#heading-3

https://blog.csdn.net/u013107656/article/details/51729115

https://blog.csdn.net/u013107656/article/details/51728576

https://xuanxuanblingbling.github.io/ctf/android/2018/02/12/Android_app_part1/

Android webView安全漏洞解决
10-13
Android webView安全漏洞解决 1. 解决CVE(通用漏洞与披露)中记录WebView的4个漏洞 2.解决 WebView File域同源策略绕过漏洞 3.解决 WebView 密码存储漏洞
Android：你所忽略 WebView 带来的那些安全漏洞（总结）
lemonGuo的大脑皮层、小脑、海马体、杏仁核.....
05-08 3704
WebView是一个基于webkit引擎、展现web页面的控件。它功能强大，除了具有一般View的属性和设置外，还可以对url请求、页面加载、渲染、页面交互进行强大的处理。但是在使用的同时也埋下了一些安全隐患和内存泄漏，接下来以此篇文章作简单总结：
WebView 的常见的安全漏洞：
challenge51all的专栏
08-16 469
例如，假设一个应用通过 WebView 展示用户生成的评论，如果不对评论内容进行清理和编码，恶意用户可能在评论中插入 XSS 脚本。不安全的证书验证：如果 WebView 没有正确验证服务器证书，可能导致与不安全的服务器建立连接，造成数据泄露。输入验证和清理：对用户输入到 WebView 中的数据进行严格的验证和清理，去除可能包含的恶意脚本代码。编码输出：对从服务器端传递到 WebView 的数据进行适当的编码，防止恶意脚本的注入。头来限制网页可以加载的资源类型和来源，减少潜在的攻击面。
android web安全问题,Android WebView常见的安全漏洞和解决方案
weixin_29184371的博客
05-26 930
概述WebView中安全漏洞有三种，分别是：远程代码执行漏洞密码明文存储漏洞域控制不严格漏洞下面依次分析各漏洞产生的原因以及解决方案一、远程代码执行漏洞1、WbView中addJavascriptInterface()接口产生原因：Android API level 17以及之前的系统版本，由于程序没有正确限制使用addJavascriptInterface方法，远程攻击者可通过使用Java Re...
webview 安全漏洞
suo172的博客
09-20 503
webview 安全漏洞 api 16 (android 4.1)以前存在远程执行安全啊漏洞,原因 没有正确限制使用webview.addJavaScriptInterface,攻击者通过反射利用漏洞执行Java代码 webview 动态在布局中调用:写在容器中时候, 主要是内存泄露问题,webview没有及时销毁. 需要在aty销毁的时候,先吧webview在容器中销毁,再调用webvi...
【Android】WebView安全漏洞问题
qq_30885821的博客
03-18 459
参考： https://blog.csdn.net/carson_ho/article/details/64904635 https://blog.csdn.net/qq_42014702/article/details/100899046 https://blog.csdn.net/feather_wch/article/details/82292061 webview常见的坑 （任意命令执行漏洞） API <= 16时，WebView.addJavascriptInterface()有安全
WebView漏洞：网络安全中的隐秘威胁
最新发布
Unity打怪升级
09-02 1104
随着移动应用的普及，WebView成为了应用中不可或缺的组件之一。它允许开发者在应用内嵌入网页，为用户提供丰富的内容和交互体验。然而，WebView的广泛应用也带来了新的安全挑战。本文将探讨WebView漏洞的类型、成因以及如何防范这些漏洞。
WebView深度学习（三）之WebView的内存泄漏、漏洞以及缓存机制原理和解决方案...
weixin_33924220的博客
01-10 146
上两篇文章讲到了WebView的基本使用以及Android和js的交互 以及 全面总结WebView遇到的坑及优化 ，这篇文章讲一下内存泄漏和漏洞处理。如果你想更深入的了解WebView，这篇文章值得一看。 ⇒ 六、WebView的内存泄漏怎么办？ 1.不在xml中定义 Webview ，...
安卓Android源码——WebViewJS.zip
10-14
本资源“安卓Android源码——WebViewJS.zip”提供了一个关于如何在Android应用中集成WebView并与JavaScript交互的示例源码。 1. **WebView基本使用** - `WebView`是Android SDK中的一个类，它能够加载和显示网页...
安卓Android源码——webview重载使用&自定义网址.zip
10-11
在安卓开发中，WebView是一个非常重要的组件，它允许我们在应用程序中内嵌网页浏览功能。...通过学习这些内容，开发者可以更好地理解和使用Android中的WebView组件，提升用户体验，同时确保应用的安全性和性能。
Android源码——WebViewJS应用源码_new_21.7z
10-08
本资源“Android源码——WebViewJS应用源码_new_21.7z”显然是一个关于如何在Android应用中集成和使用WebView与JavaScript交互的示例代码包。这个压缩包包含了图像资源和源码，帮助开发者深入理解这一功能。 首先，...
Android源码——WebViewJS应用源码_new_21.zip
10-08
这个"Android源码——WebViewJS应用源码_new_21.zip"文件很可能是提供了一个示例项目，展示了如何在Android应用中使用WebView结合JavaScript进行交互。这个项目可能适用于那些想要学习或者增强在Android应用中使用...
项目笔记——安卓WebView加载H5页面问题处理
lht80s的博客
08-07 2069
记录Android项目开发中，使用WebView加载H5页面遇到的问题及解决方法。
WebView 安全
weixin_44499245的博客
01-13 291
详见 http://mp.weixin.qq.com/s?__biz=MzAwMjg1NTI2Nw==&amp;mid=503036342&amp;idx=1&amp;sn=e4e94d8f07a14436d422f0ddeab3132b&amp;chksm=02cb01ba35bc88ac8aa0246a7442480ac4c5dc05df7b052446e7415b669bab87204fc...
Android漏洞，WebView漏洞，Web漏洞与Web安全
ShareUs的专栏
03-16 2639
&gt; Android漏洞 主要Android漏洞主要包括App反编译重打包、组件劫持漏洞、密码泄露、第三方库漏洞、WebView漏洞、系统服务漏洞。 Android 内存溢出与内存泄漏的简单分析与解决- http://blog.csdn.net/u014674558/article/details/62234008?ref=myread -- static引用泄露，将静态的改为软引用或非静态的...
Android安全开发之WebView中的大坑
热门推荐
zhangcanyan的博客
07-17 2万+
0X01 About WebView      在Android开发中，经常会使用WebView来实现WEB页面的展示，在Activiry中启动自己的浏览器，或者简单的展示一些在线内容等。WebView功能强大，应用广泛，但它是天使与恶魔的合体，一方面它增强了APP的上网体验，让APP功能更多样化，另一方面它也引入了很多的安全问题。在过去几年WebView中被披露的重大漏洞包括了任意代码执行
Android平台WebView控件存在跨域访问高危漏洞
samli的博客
04-08 1867
0x00手工自检: 1. 检查应用是否使用了webview控件； 如下图，WebView webview;定义了webview控件，即使用了webview控件。 2. 若使用了webview控件，则检查内置webview的Activity是否可被导出； 在上图中可以看到，内置webview的Activity是MainActivity，查看MainAcitivity是否可导，需要到AndroidM...
移动安全学习笔记——组件安全之Activity组件漏洞挖掘
0nc3的博客
02-25 1777
0x00 简介 ACtivity因组件不合理地导出，可能会产生以下安全风险： 越权绕过 信息泄露 钓鱼欺诈 拒绝服务 0x01 越权绕过漏洞 1、应用场景 在一些业务场景中，某些界面包含敏感数据需要验证后才能查看，但是由于该敏感信息的Activity是导出的，无权限验证，则攻击者无需输入验证信息即可绕过权限查看敏感信息。 2、利用方法 （1）直接启动敏感界面 （2）通过启动主界面的子界面再返回，达到启动主界面效果 （3）通过设置本地密码的Activity，重置密码 3、防护 私有Activity，不
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值