Android WebView exploit 的漏洞示範

Android WebView exploit 的漏洞示範

在 Android 的 SDK 中封裝了 WebView 控制項。在程序中載入 WebView 控制項，主要用於設置屬性(顏色，字體等)。

而在 WebView 下有一個非常特殊的函數 addJavascriptInterface (Object object, String name) method 能實現 Java 和 JavaScript 之間的交互作用，因此可以利用 addJavascriptInterface 這個函數來實做透過 WebView 安裝惡意程式藉此控制 Android 手持式裝置。

在原文的範例中使用具有漏洞的應用程式，需具有 SMS 權限(android.permission.SEND_SMS)，並利用惡意的 JavaScript 來發送詐騙的SMS簡訊。

原文出處：http://blogs.avg.com/mobile-2/analyzing-android-webview-exploit/
轉載自《網路攻防戰》