【Scan kit】Sechunter针对统一扫码SDK扫出漏洞该如何解决？

​1、问题描述

项目中集成了华为统一扫码服务SDK，在做送检的准备工作时，针对apk进行了一系列的漏洞扫描处理，其中统一扫码服务SDK在扫描结果中呈现出了少许的漏洞，需要SDK团队针对漏洞问题做出说明。

 

2、问题详情

关于漏洞出现的代码处以及漏洞的相关描述，如下所示：

 

①、Activity劫持检测

​

com/huawei/hms/hmsscankit. RemoteView

​

 

②、权限检测

​

​

com/huawei/hms/framework. NetworkUtil

​

​

 

③、攻击窗口检测

​

com/huawei/hms/framework/common.ContextCompat

​

​

 

④、证书验证方法检测

​

com/huawei/hms/framework/network/grs/h/f/a.java

​

com/huawei/hms/hatool/a0.java

​

 

⑤、Service劫持检测

​

com/huawei/hms/framework/common/ContextCompat.java

​

 

3、解释说明

针对以上漏洞问题，在咨询了SDK团队之后，给出了如下结论：

com/huawei/hms/hmsscankit. RemoteView

结论:已经对Intent进行了判空校验以及异常捕获。

com/huawei/hms/framework. NetworkUtil

结论:应用中没有对该方法不会得到执行。

com/huawei/hms/framework/common.ContextCompat

结论:应用中没有对该方法不会得到执行。

com/huawei/hms/framework/network/grs/h/f/a.java

com/huawei/hms/hatool/a0.java

结论:SDK重写sslSocketFactory,以过滤TSL1.2以下安全协议,以及过滤MD5等不安全加密算法。

com/huawei/hms/framework/common/ContextCompat.java

结论:应用中没有对该方法不会得到执行。

​

欲了解更多更全技术文章，欢迎访问https://developer.huawei.com/consumer/cn/forum/?ha_source=zzh