WebView 远程代码执行漏洞浅析

1. WebView 远程代码执行漏洞描述

Android API level 16以及之前的版本存在远程代码执行安全漏洞,该漏洞源于程序没有正确限制使用WebView.addJavascriptInterface方法,远程攻击者可通过使用Java Reflection API利用该漏洞执行任意Java对象的方法,简单的说就是通过addJavascriptInterface给WebView加入一个JavaScript桥接接口,JavaScript通过调用这个接口可以直接操作本地的JAVA接口。该漏洞最早公布于CVE-2012-6636【1】,其描述了WebView中addJavascript[……]

MORE

Android WebView 远程代码执行漏洞简析

点评:这是很早前自己写的一个报告,一直到现在很多人说到APP+代码执行都会想到这个漏洞。

0x00漏洞原理

Webview类是Android SDK中封装的用于显示网页的组件,通过webview组件应用可以轻松的开发内置浏览器访问网页,同时webview组件中还提供了一些接口实现应用与页面中Javascript脚本的交互,其中用于javascript调用导出的java类的AddJavascripInterface方法被发现存在远程命令执行漏洞,攻击者可以找到存在“getClass”方法的对象,然后通过反射的机制,得到Java Runtime对象,然后调用静态方法来执行系统命令。[……]

MORE