随笔分类 -  Android安全检测

Android安全检测 - 发送隐式广播风险
摘要：这章来学习“发送隐式广播风险”，这个风险和动态注册Receiver风险有呼应之处，可以结合起来一起看。 一、漏洞原理 隐式广播是指未指定接收方（接收的范围），在发送广播的过程中所有的APP均能够接收到这个广播，那么就会存在广播被拦截的风险，若发送的广播携带数据那么就存在数据泄漏的风险，若发送的广播存 阅读全文
posted @ 2023-04-20 18:48 asjhan 阅读(170) 评论(0) 推荐(0) 编辑
Android安全检测 - Janus签名漏洞
摘要：前言 这一章来说说Janus签名漏洞，网上关于这个漏洞的介绍很详细，其中的原理均为其它地方进行摘录，那么我主要做的就是POC测试，在文章末尾也会给出相应的样本，当然样本就是自己做的，用真实的上线项目来做这个也不合适，想找真实的项目来练练手的话推荐找2017年12月之前的项目（学习可以，但不要在网上发 阅读全文
posted @ 2022-02-05 16:35 asjhan 阅读(219) 评论(0) 推荐(0) 编辑
Android安全检测－WebView File域同源策略绕过漏洞
摘要：这一章我们来学习“WebView File域同源策略绕过漏洞”。 一、漏洞原理 JavaScript的延时执行能够绕过file协议的同源检查，并能够访问受害应用的所有私有文件，即通过WebView对Javascript的延时执行和将当前Html文件删除掉并软连接指向其他文件就可以读取到被符号链接所指 阅读全文
posted @ 2021-11-22 18:39 asjhan 阅读(211) 评论(0) 推荐(0) 编辑
Android安全检测－Intent Scheme URLs攻击风险
摘要：这一章我们来学习“Intent Scheme URLs攻击风险”，网上的文章关于这个风险的介绍可谓是千篇一律，翻阅下来之后发现内容大致相同，单看这些文章的介绍仍然让人感觉到云里雾里，故此篇文章中会讲清楚这风险的产生和应对方法。 一、漏洞原理 利用intent scheme URLs(意图协议URL) 阅读全文
posted @ 2021-11-16 16:58 asjhan 阅读(139) 评论(0) 推荐(0) 编辑
Android安全检测－Content Provider SQL注入风险
摘要：这一章我们来学习“ Content Provider SQL注入风险”。 一、漏洞原理 首先，我们需要知道的是来自用户的输入都是不安全的，我们需要对其进行校验，当校验通过时我们可以近似的认为是安全，那这与我们这一章有什么关系呢，其实SQL注入的发生就是源于用户的不规范输入所导致的（当然若发生了注入情 阅读全文
posted @ 2021-10-27 19:25 asjhan 阅读(104) 评论(0) 推荐(0) 编辑
Android安全检测 - AES/DES弱加密
摘要：这一章我们来学习“AES/DES加密方法不安全使用漏洞”，了解这个漏洞发生的原因及其应对的方法，这章内容较短，感兴趣的同学可以去找找CPA攻击。 一、漏洞原理 AES/DES是android程序中常用的两种对称加密算法，其工作模式有ECB、CBC、CFB和OFB。当其使用ECB或OFB工作模式时，加 阅读全文
posted @ 2021-10-12 10:49 asjhan 阅读(123) 评论(0) 推荐(0) 编辑
Android安全检测 - Intent隐式意图调用
摘要：这一章我们来学习“Intent隐式意图调用”，了解这个漏洞发生的原因及其应对的方法。 一、漏洞原理 Intent通常用于Activity、Service、Broadcast Receiver等组件之间进行信息传递，包括发送端和接收端。当使用隐式的Intent调用时，并未对intent消息接收端进行限 阅读全文
posted @ 2021-10-09 20:19 asjhan 阅读(215) 评论(0) 推荐(0) 编辑
Android安全检测 - WebView系统隐藏接口漏洞
摘要：这一章我们来学习“WebView系统隐藏接口漏洞”，了解这个漏洞发生的原因及其应对的方法。 一、漏洞原理 CVE-2014-1939： 在java/android/webkit/BrowserFrame.java文件中，通过API addJavaScriptInterface()添加了一个Searc 阅读全文
posted @ 2021-09-24 14:44 asjhan 阅读(113) 评论(0) 推荐(0) 编辑
Android安全检测 - WebView远程代码执行漏洞（CVE-2012-6336）
摘要：这一章我们来学习“WebView远程代码执行漏洞（CVE-2012-6336）”，了解这个漏洞发生的原因及其应对的方法。 一、漏洞原理 主要引起漏洞的原因是：WebView的addJavascriptInterface方法提供了一个JavaScript调用的Java 对象的接口，Android系统并 阅读全文
posted @ 2021-09-22 11:04 asjhan 阅读(152) 评论(0) 推荐(0) 编辑
Android安全检测 - 日志信息泄露
摘要：这一章我们来学习“日志信息泄露”，此项在检测手段上可以采取动静结合的方式进行检测，在第三方检测平台一般采用静态检测且存在误报率。 一、漏洞原理 开发者在开发应用时，通常都会埋点（插入日志）进行调试，若没有对日志信息进行管理那么就有可能导致敏感信息泄露的风险，给攻击者提供了便利。例如：通信交互的日志， 阅读全文
posted @ 2021-08-10 10:16 asjhan 阅读(60) 评论(0) 推荐(0) 编辑
Android安全检测 - 动态注册Receiver风险
摘要：这一章我们来学习“动态注册Receiver风险”，此项在安全检测平台上检测出的结果存在一定的报错率，一般需要三方检测平台或者开发者进行复核，这里我们研究如何避免此项风险。 一、漏洞原理 广播的注册分为静态注册和动态注册，使用registerReceiver方法进行注册的广播是动态广播（Boradca 阅读全文
posted @ 2021-08-03 15:03 asjhan 阅读(240) 评论(0) 推荐(0) 编辑
Android安全检测 - 组件导出风险
摘要：市面上有很多的在线Android安全扫描工具，比如梆梆的安全检测平台、360显危镜、爱加密安全检测平台等等，自动化工具出来的结果大多数情况下都是非准确的，都需要人工进行复核。这一章我们来学习组件导出风险。 一、漏洞原理 app的四大组件，Activity，Service，Broadcast Rece 阅读全文
posted @ 2021-06-22 13:27 asjhan 阅读(249) 评论(0) 推荐(0) 编辑

点击右上角即可分享
微信分享提示