1.介绍
webview用来实现应用显示网页内容,可与页面JavaScript进行交互,是由Chrome提供支持的系统组件,android设备已预安装该组件。内核使用了webkit引擎。WebView和web浏览器的差异之处在于WebView运行在嵌入式移动应用的上下文中,而且所有的针对浏览器的攻击都可以用来攻击WebView。
2.metasploit攻击
Webview攻击中,由于系统并没有对注册Java类的方法调用进行限制,导致了CVE-2012-6636漏洞的产生,该漏洞可以将恶意JavaScript语句注入到应用程序中,达到控制设备的目的。该漏洞涉及的Android系统版本低于4.2,高于4.2版本的已完成修复和加固。
可以利用CVE-2012-6636漏洞来实现webview攻击,可以将恶意JavaScript语句注入到应用程序中,达到控制设备的目的。
用kali linux中的metasploit工具来进行攻击,查询该漏洞可以利用的攻击模块,如图所示。
使用msf创建一个有恶意JavaScript语句的链接,如图所示。
url:http://192.168.1.10:8080/kijiLoe0
使用社工或网络钓鱼方式诱骗受害者点击该链接,我直接在手机浏览器中访问链接
测试结果:android7.12和android11对该漏洞已进行了修复和加固
3.修复建议
减少WebView攻击的常用建议:
(1)如果不需要,禁用JavaScript和插件支持,如果允许任何JavaScript
(2)禁用任何Javascript接口功能
(3)禁用本地文件访问
(4)通过WebView禁用文件系统访问