Android静态安全检测 -> WebView系统隐藏接口漏洞检测
WebView系统隐藏接口漏洞检测 - removeJavascriptInterface方法1. 隐藏接口searchBoxJavaBridge_accessibilityaccessibilityTraversal2. 触发条件使用WebView对应到smali语句中的特征：;->getSettings()Landroid/w
·
WebView系统隐藏接口漏洞检测 - removeJavascriptInterface方法
一、隐藏接口
1. searchBoxJavaBridge_
2. accessibility
3. accessibilityTraversal
二、触发条件
1. 使用WebView
【1】对应到smali语句中的特征：;->getSettings()Landroid/webkit/WebSettings;
2. 没有移除隐藏接口
【1】对应到smali语句中的特征（关键字匹配）：
removeJavascriptInterface
"searchBoxJavaBridge_"
"accessibility"
"accessibilityTraversal"
三、漏洞原理
【1】android webview组件包含3个隐藏的系统接口：searchBoxJavaBridge_, accessibilityTraversal以及accessibility，恶意程序可以利用它们实现远程代码执行
【2】详细的原理&POC
http://wolfeye.baidu.com/blog/android-webview-cve-2014-7224/
http://wolfeye.baidu.com/blog/android-webview/
四、修复建议
【1】对于APP开发者，如果使用了WebView，那么使用WebView.removeJavascriptInterface(String name) API，显示的移除searchBoxJavaBridge_、accessibility、accessibilityTraversal这三个接口
讨论HarmonyOS开发技术，专注于API与组件、DevEco Studio、测试、元服务和应用上架分发等。
更多推荐
0
0- 0
已为社区贡献4条内容
所有评论(0)