WebView----主流安卓APP遭遇“应用克隆”危机，快速检测修复方案出炉

转载自:https://c.m.163.com/news/a/D7Q83G8F0511K1GB.html?spss=newsapp&spsw=4&fromhistory=1&spssid=b72acef42568dd058e415edf3e5d6624&from=timeline&isappinstalled=0

主流安卓APP遭遇“应用克隆”危机，快速检测修复方案出炉

[图片上传失败...(image-242389-1515642163932)]

安全知多少01-10 16:41 跟贴 1 条

2018年1月9日， 国家信息安全漏洞共享平台(CNVD)发布关于Android WebView存在跨域访问漏洞(CNVD-2017-36682)的公告。

漏洞描述

WebView是Android用于显示网页的控件，是一个基于Webkit引擎、展现Web页面、解析并执行JavaScript代码的控件，Android应用可以使用WebView空间，灵活的扩展自身的业务功能。

市面上大多数使用HTML5技术开发的应用均使用WebView进行HTML5页面的展示。除了从远程服务器加载Web页面，WebView还可以通过修改特定配置，从文件中进行HTML5页面的加载。在未正确配置WebView的情况下，会致使WebView同源策略失效，导致HTTP协议、file协议跨源攻击的发生。该漏洞使得WebView能够访问当前应用内部数据，如果WebView加载了来源不明的HTML文件，可能导致当前应用内部数据被攻击者窃取，如身份认证信息、加密密钥、用户隐私信息等。

漏洞分析

Android应用内部分可导出的Activity组件中，WebView允许通过file URL链接

该漏洞的产生条件：

（1）应用中存在设置为可被导出的Activity组件，并且组件中包含Webview调用。

（2）Webview调用中setAllowFileAccessFromFileURLs 或

setAllowUniversalAccessFromFileURLs 设置为true（minSdk<=4.1 默认为true，minSdk>4.1 默认为false）。

风险等级

高危

影响评估

漏洞影响使用WebView控件，开启file域访问且未按安全策略开发的安卓应用(App)。

解决方案

第一步：先检测

（1）梆梆安全自动化检测

梆梆安全移动应用测评云平台目前已经支持对该高危漏洞的免费检测，并可出具详细检测报告。可通过梆梆安全的销售代表或者售后渠道联系，电话：4008-881-881

（2）人工代码检测

第二步：再修复

具备开发能力的企业，请按照如下检查步骤进行修复：

（1）严格限制包含WebView调用的Activity组件的导出权限，关闭导出权限或者限制导出组件的发起者。

（2）对于功能要求必须导出的Activity组件，手动设置

setAllowFileAccessFromFileURLs（false）或

setAllowUniversalAccessFromFileURLs（false）

（3）对于必须使用file URL链接

（4）使用梆梆安全加固技术对完成安全漏洞修复的App进行加固保护，防止被二次篡改安全权限。

梆梆安全建议：

（1）针对具备较强研发能力和研发团队的企事业单位，采取人工检查为主、自动检查为辅的方式。

（2）针对使用第三方软件开发外包服务的企事业单位，建议联系梆梆安全进行自动检查。

（3）针对使用大量开源组件的应用，建议采用人工检查方式，避免其他未知原因导致修复失败，进而引发应用崩溃等业务连续性被破坏问题。