Android Webview Java和Javascript安全交互

最新推荐文章于 2024-06-17 19:20:48 发布

七号座先生

最新推荐文章于 2024-06-17 19:20:48 发布

阅读量1.8k

点赞数

分类专栏： Android相关文章标签： javascript android webview

本文链接：https://blog.csdn.net/zouzhigang96/article/details/52298332

版权

Android相关专栏收录该内容

59 篇文章 0 订阅

订阅专栏

最近项目中要获取网页页面源代码的参数，传统的addJavascriptInterface 方法存在一定的安全隐患，所以研究一下Java 和JavaScrip的安全交互。

Android Webview漏洞

① 成名已久的任意命令执行漏洞，通过addJavascriptInterface方法，Js可以调用Java对象方法，通过反射机制，Js可以直接获取Runtime，从而执行任意命令。Android 4.2以上，可以通过声明@JavascriptInterface保证安全性，4.2以下不能再调用addJavascriptInterface，需要另谋他法。

② 之前爆出来的UXSS漏洞，可以越过同源策略，获得任意网页的Cookie等信息，Android 4.4以下都有此问题，基本无解，只能重新编译浏览器内核解决。

Java和Javascript安全交互

首先要说明几点：

1.Android Webview中Java调用Js方法很容易，loadUrl(“javascript:isOk()”)就可以调用isOk这个Js方法，但不能直接获取Js方法的返回结果。

2.传统的方法中，Js获取Java信息可以采用如下方式：

class JsObject {
      @JavascriptInterface
      public String toString() { return "injectedObject"; }
   }
   webView.addJavascriptInterface(new JsObject(), "injectedObject");
   webView.loadData("", "text/html", null);
   webView.loadUrl("javascript:alert(injectedObject.toString())");

Java获取Js信息（如通过Js获取网页源代码）可以这样：

public class HtmlSource extends Activity {
    private WebView webView;

    @Override
    public void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        setContentView(R.layout.main);
        webView = (WebView)findViewById(R.id.webview);
        webView.getSettings().setJavaScriptEnabled(true);
        webView.addJavascriptInterface(new InJavaScriptLocalObj(), "local_obj");
        webView.setWebViewClient(new MyWebViewClient());
        webView.loadUrl("http://www.cnblogs.com/hibraincol/");
    }


   final class MyWebViewClient extends WebViewClient{  
        public boolean shouldOverrideUrlLoading(WebView view, String url) {   
            view.loadUrl(url);   
            return true;   
        }  
        public void onPageStarted(WebView view, String url, Bitmap favicon) {
            Log.d("WebView","onPageStarted");
            super.onPageStarted(view, url, favicon);
        }    
        public void onPageFinished(WebView view, String url) {
            Log.d("WebView","onPageFinished ");
            view.loadUrl("javascript:window.local_obj.showSource('<head>'+" +
                "document.getElementsByTagName('html')[0].innerHTML+'</head>');");
            super.onPageFinished(view, url);
        }
    }

    final class InJavaScriptLocalObj {

        public void showSource(String html) {
            Log.d("HTML", html);
        }
    }
}

当网页中有超链接跳转时，将会调用WebClient的shouldOverrideUrlLoading方法，若设置 WebViewClient 且该方法返回 true，则说明由应用的代码处理该 url，WebView 不处理，就可以达到拦截跳转的效果。

明白了上面几点，我们可以总结出一个比较安全的Java和Js交互方式：

可以借鉴Android Intent的思路，Java和Js定义一个url格式如js://,Java调用Js方法，在Js方法中通过window.location.href=’js://?key=value#key1=value1’模拟跳转，被Java的shouldOverrideUrlLoading捕获，函数的返回值可以放在url的参数中。（Js调用Java方法原理相同）
这样的交互方式是异步的，如果你想知道调用一个Js方法是否返回了值怎么办？一般Java调用Js方法是在onPageFinished方法中，获得Js返回值是在shouldOverrideUrlLoading方法中，两个方法有个共同的参数webview,所以可以首先webview.setTag(false)，如果捕获到返回结果，则webview.setTag(true),postDelayed在很短时间比如300毫秒后，webview.getTag()检查是否有变化即可。

七号座先生

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
Android Webview Java和Javascript安全交互

最近项目中要获取网页页面源代码的参数，传统的addJavascriptInterface 方法存在一定的安全隐患，所以研究一下Java 和JavaScrip的安全交互。Android Webview漏洞① 成名已久的任意命令执行漏洞，通过addJavascriptInterface方法，Js可以调用Java对象方法，通过反射机制，Js可以直接获取Runtime，从而执行任意命令。Android 4.
复制链接

扫一扫

专栏目录