09 2013 档案
摘要：一、漏洞描述 近期，微信等多款安卓流行应用曝出高危挂马漏洞：只要点击好友消息或朋友圈中的一条网址，手机就会自动执行黑客指令，出现被安装恶意扣费软件、向好友 发送欺诈短信、通讯录和短信被窃取等严重后果。在乌云漏洞平台上，包括安卓版微信、QQ、腾讯微博、QQ浏览器、快播、百度浏览器、金山浏览器等大批应用 均被曝光同类型漏洞。 二、影响版本 Android系统版本低于4.2三、漏洞原理 漏洞点：WebView.addJavascriptInterface(Object obj, String interfaceName) ; 漏洞触发条件： 1、使用WebView.addJavascrip...
阅读全文
摘要：一、漏洞描述 目前被称为“史上最强Android木马”的病毒Backdoor.AndroidOS.Obad.a利用Android设备管理器漏洞使用户无法通过正常方式卸载。其实该漏洞早在去年底已被发现。（http://www.anguanjia.com/?c=news_view&id=435） 注册为“设备管理器”的应用是无法被直接卸载的。只有取消激活“设备管理器”后才可以直接卸载。 木马可以利用Android设备管理器漏洞达到在设备管理器列表“隐身”的效果。这样用户就无法进去“取消激活”页面，从而达到无法卸载的目的。二、影响版本 android2.2及以上三、漏洞原理 首...
阅读全文
摘要：Android apk签名的过程1、生成MANIFEST.MF文件：程序遍历update.apk包中的所有文件(entry)，对非文件夹非签名文件的文件，逐个生成SHA1的数字签名信息，再用Base64进行编码。具体代码见这个方法：private static Manifest addDigestsToManifest(JarFile jar)关键代码如下： 1 for (JarEntry entry: byName.values()) { 2 String name = entry.getName(); 3 if (!entry.isDirectory() && !name.
阅读全文
摘要：一个偶然的机会在知道创宇的技能表里看到了一个练习XSS的网站http://xss-quiz.int21h.jp，正好想研究这个，于是试着做了一下。 第一、二题是最简单的，直接在搜索框中输入以下代码就成功了。"> 第三题，根据提示：The input in text box is properly escaped，输入的内容已经被转义了，于是我借助了tamper data插件，在搜索框中随意输入数据，拦截提交的请求，将p2的值修改为如图所示：再进行提交便成功过关。 第四题，根据提示invisible input field，说明有hidden的input输入点，查看网页源代码，发
阅读全文
摘要：本人最近在学习XSS，想总结一下常见的XSS攻击的几种情况，刚好看到《防御XSS的七条原则》这篇文章，里面讲的七条防御原则不正是针对XSS的几种利用方式吗？于是，借来学习一下。 原则1：“Secure By Default”不要在页面中插入任何不可信数据，除非这些数已经据根据下面几个原则进行了编码 之所以有这样一条原则存在，是因为HTML里有太多的地方容易形成XSS漏洞，而且形成漏洞的原因又有差别，比如有些漏洞发生在HTML标签里，有些发生在HTML标签的属性里，还有的发生在页面的 3 4 插入到HTML注释里 5 6 7 插入到HTML标签的属性名里 8 9 1...
阅读全文
