Android4.2下 WebView的addJavascriptInterface漏洞解决方案

本人从阿里出来,现在在杭州一家创业公司(杭州菲助科技:公司现有的产品:英语趣配音/老外趣聊/少儿趣配音,用户量已经达到400万),有兴趣一起工作的直接联系QQ:421134693

最近接到公司安全部门提出的关于app js调用的一个安全漏洞,这个漏洞是乌云平台(http://www.wooyun.org)报告出来的。

mWebView.addJavascriptInterface(new JSCallManager(), "Native");
向WebView注册一个名叫“Native”的对象,然后在JS中可以访问到Native这个对象,就可以调用这个对象的一些方法,最终可以调用到Java代码中,从而实现了JS与Java代码的交互。
但是用addJavascriptInterface可能导致不安全,因为JS可能包含恶意代码,当JS包含恶意代码时,它可以干任何事情(具体漏洞怎么模拟,会产生怎么的后果就不细说了,baidu上解释的很清楚)。

我们的app是使用hybrid app模式开发的,ios和android用到的是同一套h5页面,h5页面中js调用本地java/Oc的对象就是Native。
通过Native可以调用本地java/Oc的call(String methodName, String jsonValue)方法来跟本地进行交互。

现在要解决android4.2下js交互的安全漏洞,当然不能影响到ios的使用,也就是不能修改服务器h5的页面内容,只能针对android本地代码做处理。

最终想到的解决办法是使用WebChromeClient对象的onJsPrompt方法与js进行交互,onJsPrompt方法可以获取js传给本地的消息信息,同时可以返回消息给js,具体处理直接上代码:
1:
//这段代码在初使化webview时调用
//JSCallManager本地处理js消息的对象
if (Build.VERSION.SDK_INT >= 17) {
// 在sdk4.2以上的系统上继续使用addJavascriptInterface
webView.addJavascriptInterface(new JSCallManager(), "Native");
} else {
//4.2之前 addJavascriptInterface有安全泄漏风险
//移除js中的searchBoxJavaBridge_对象,在Android 3.0以下,系统自己添加了一个叫 
//searchBoxJavaBridge_的Js接口,要解决这个安全问题,我们也需要把这个接口删除
jsCallManager = new JSCallManager();
webView.removeJavascriptInterface("searchBoxJavaBridge_");
}

2:
//WebViewClient的方法 h5开始加载的回调
public void onPageStarted(WebView view, String url, Bitmap favicon) {
// TODO Auto-generated method stub
super.onPageStarted(view, url, favicon);
if (Build.VERSION.SDK_INT < 17) {
// 在 h5开始加载时动态给js注入Native对象和call方法,模拟addJavascriptInterface
//接口给js注入Native对象
//动态注入的好处就是不影响线上的h5数据,不影响ios使用
//在onPageStarted方法中注入是因为在h5的onload方法中有与本地交互的处理
//prompt()方法是js弹出的可输入的提示框
view.loadUrl("javascript:if(window.Native == undefined){window.Native=
{call:function(arg0,arg1){prompt('{\"methodName\":' + arg0 + ',\"jsonValue\":' + 
arg1 + '}')}}};");
}

}


  • 2
    点赞
  • 4
    评论
  • 2
    收藏
  • 一键三连
    一键三连
  • 扫一扫,分享海报

©️2021 CSDN 皮肤主题: 大白 设计师:CSDN官方博客 返回首页
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、C币套餐、付费专栏及课程。

余额充值