Android静态安全检测 -> WebView明文存储密码

WebView明文存储密码 -WebSettings.setSavePassword方法


一、API


1. 继承关系


【1】java.lang.Object

【2】android.webkit.WebSettings


2. 主要方法


【1】setJavaScriptEnabled(boolean flag):是否支持js


【2】setPluginsEnabled(boolean flag):是否支持插件


【3】setSavePassword(boolean save):是否保存密码


【4】其他方法


参考链接:http://www.apihome.cn/api/android/WebSettings.html


二、触发条件


1. 调用getSettings方法,获取WebSettings对象


【1】对应到smali语句中的特征:;->getSettings()Landroid/webkit/WebSettings;


2. 调用WebSettings.setSavePassword方法,设置setSavePassword(true)或没有显示设置(默认为true)


【1】对应到smali语句中的特征:

  Landroid/webkit/WebSettings;->setSavePassword(Z)V

  判断对寄存器的赋值:const v1 0x1


三、漏洞原理


【1】在使用WebView的过程中忽略了WebView setSavePassword,当用户选择保存在WebView中输入的用户名和密码,则会被明文保存到应用数据目录的databases/webview.db中。如果手机被root就可以获取明文保存的密码,造成用户的个人敏感数据泄露


【2】参考链接:http://wolfeye.baidu.com/blog/webview-setsavepassword/


四、修复建议


【1】使用WebView.getSettings().setSavePassword(false)来禁止保存密码

你可能感兴趣的:(【Android静态安全检测】)