平谷信息港
健康
当前位置:首页 > 健康

国内10APP都能被克隆360加固保率先提供漏洞检测服务

发布时间:2019-06-11 19:57:09 编辑:笔名

近期国内多款安卓版知名手机APP被曝光存在“应用克隆”漏洞。攻击者利用该漏洞,可以轻松“克隆”用户账户,窃取隐私信息,盗取账号及资金等,国内约10%的主流APP受到漏洞影响。作为中国的网络安全厂商,360旗下APP从产品开发阶段就已对“应用克隆”攻击威胁进行全面预防,完全不受此次漏洞影响。

360旗下的360加固保联合自动化漏洞检测平台360显危镜,针对该问题,时间上线解决方案,提供免费的在线安全扫描服务,开发者只需登录加固官网(http://jiagu.360.cn ),选择“安全扫描”服务,一键上传应用,即可获得专业的安全风险报告。

需要注意的是,如果报告中同时存在“WebView存在本地接口”和“WebView启动访问文件数据”两个漏洞风险,开发者就要尤其注意,通过人工检测的方法判断APP是否有被利用的安全风险。

根据360信息安全中心的评估,“应用克隆”漏洞攻击模型中主要涉及到两个过程,一是数据读取,二是数据复制。在数据读取过程中主要涉及到WebView的跨源攻击,因为Android沙盒的存在,两个应用之间一般情况下是不可以进行文件的相互访问,但不正确的使用WebView可能会打破这种隔离。WebView未禁用file域访问,允许file域访问http域,且未对file域的路径进行严格限制的情况下,攻击者通过URL Scheme的方式,可远程打开并加载恶意HTML文件,远程获取APP中包括用户登录凭证在内的所有本地敏感数据,并外传到攻击者的服务器。

由于漏洞的攻击链条中,需要利用多个漏洞才能实现,因此可有多种方式截断该攻击的实现方式。针对上述几个问题,只要从任何一点截断,即可极大程度上杜绝该漏洞攻击的实现。

修复建议:

1. 在使用Webview时,对于不需要使用file协议的应用,禁用file协议。

setAllowFileAccess可以设置是否允许WebView使用File协议,默认值是允许,如果不允许使用File协议,则不会存在跨源的安全威胁。

2. 对于需要使用file协议的应用,禁止file协议调用javascript。

setJavaScriptEnabled可以设置是否允许WebView使用JavaScript,默认是不允许,但很多应用,包括移动浏览器为了让WebView执行http协议中的javascript,都会主动设置允许WebView执行Javascript,而又不会对不同的协议区别对待,比较安全的实现是如果加载的url是http或https协议,则启用javascript,如果是其它危险协议,如是file协议,则禁用javascript。

3. 设置file域白名单,检查file域路径避免被绕过。

固定不变的HTML文件可以放到assets或res目录,可能会更新的HTML文件放到应用私有目录下,避免被第三方替换或修改,对file域请求做白名单限制时,需要对“../../”特殊情况进行处理,避免白名单被绕过。

360加固保一直致力于守护为移动应用安全,会及时推送安全相关资讯、时间发布漏洞预警,提供解决方案,关注微信公众号(360加固保),为移动应用安全保驾护航。

保定治癫痫
济南治妇科好的专科
吐鲁番医院治癫痫
友情链接
福建有哪些血液科医院 怀化有哪些小儿耳鼻喉医院 大同有哪些肝胆外科医院 保山有哪些外伤科医院 潜江一级医院哪家好 蚌埠二级医院哪家好 山东有哪些三丙医院 无锡有哪些二级医院 石家庄有哪些二甲医院 营口医院哪家好 宁德有哪些二乙医院 物品 河池有哪些二级医院 关于宫颈糜烂 尿道炎 福建中医老年病科医院哪家好 重庆实验中心医院哪家好 山西中医感染内科医院哪家好 陕西远大男病专科医院 成都送子鸟不孕不育医院地址 癫痫病症状 甘肃药学部医院哪家好 贵州室缺医院哪家好 眼科 不孕不育治疗方法 新疆颌面外科医院哪家好 韶关小儿精神科医院哪家好 白癜风如何检查 输卵管性不孕的症状 白癜风发病原因 佛山手外科医院哪家好 癫痫病能吃的食物 白癜风初期症状 肇庆中医五官科医院哪家好 不孕不育如何检查 梅州产科医院哪家好 如何检查白癜风 怎么预防不孕不育 汕尾五官科医院哪家好 河源放疗科医院哪家好 治疗癫痫的医院 阳江小儿急诊科医院哪家好 烟台中医男科医院哪家好 济宁妇泌尿科医院哪家好 黄山整形美容医院 漯河癫痫病医院 泰安老年病科医院哪家好 贵阳牛皮癣医院 德州介入医学科医院哪家好 德州中医乳腺外科医院哪家好 靶样含铁血黄素沉积性血管瘤医院 第Ⅳ型脊髓血管畸形医院 连云港屈光医院哪家好 肝豆状核变性医院 淮安其他医院哪家好 急性甲状腺炎医院 镇江器官移植医院哪家好 家族性进行性色素沉着医院 类脂质蛋白沉积症医院 裂手裂足症医院 温州中医乳腺外科医院哪家好 金华耳鼻咽喉头颈科医院哪家好 宜昌口腔修复科医院哪家好 小儿家族性低血磷性佝偻病医院 孝感中医感染内科医院哪家好 心肌缺血医院 仙桃产科医院哪家好 仙桃疼痛科医院哪家好 洛阳小儿神经外科医院哪家好 攀枝花有哪些医院 焦作消化内科医院哪家好 北京有哪些中医推拿按摩科医院 三门峡针灸科医院哪家好 江苏有哪些消化内科医院 邓州内科医院哪家好 济源小儿精神科医院哪家好 四川有哪些牙周科医院 自贡眼眶及肿瘤医院哪家好 吉林有哪些综合医院 廊坊特色医疗科医院哪家好 惠州有哪些脊柱外科医院 衡水正畸科医院哪家好 梅州有哪些中医推拿按摩科医院 汕尾有哪些老年病科医院 长沙儿科医院哪家好 衡阳中医内科医院哪家好 东莞有哪些功能检查科医院 中山有哪些口腔科医院 郴州中医推拿按摩科医院哪家好 鸡西医疗美容科医院哪家好 济宁有哪些心脏科医院 泰安有哪些内科医院 鸡西耳鼻喉医院哪家好 泰安有哪些综合医院 鹤岗药学部医院哪家好 日照有哪些眼外伤医院 七台河口腔粘膜科医院哪家好 德州有哪些口腔预防科医院 盘锦老年病科医院哪家好 景德镇中医血液科医院哪家好