搜索

[14021] 2019-04-23_一文彻底搞懂安卓WebView白名单校验

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2019-04-23_一文彻底搞懂安卓WebView白名单校验 一 文 彻 底 搞 懂 安 卓 W e b V i e w 白 名 单 校 验 r e b e y o n d   F r e e B u f   2 0 1 9 - 0 4 - 2 3 近 两 年 公 司 端 侧 发 现 的 漏 洞 很 大 一 部 分 都 出 在 近 两 年 公 司 端 侧 发 现 的 漏 洞 很 大 一 部 分 都 出 在 W e b V i e w 白 名 单 上 ， 针 对 这 类 漏 洞 安 全 编 码 团 队 也 组 织 过 多 次 培 训 ， 但 是 这 种 漏 洞 还 是 屡 见 不 鲜 。 下 面 本 人 就 结 合 产 品 中 容 易 出 现 问 题 的 白 名 单 上 ， 针 对 这 类 漏 洞 安 全 编 码 团 队 也 组 织 过 多 次 培 训 ， 但 是 这 种 漏 洞 还 是 屡 见 不 鲜 。 下 面 本 人 就 结 合 产 品 中 容 易 出 现 问 题 的 地 方 ， 用 实 例 的 方 式 来 总 结 一 下 如 何 正 确 使 用 地 方 ， 用 实 例 的 方 式 来 总 结 一 下 如 何 正 确 使 用 W e b V i e w 白 名 单 ， 给 开 发 的 兄 弟 们 作 为 参 考 。 白 名 单 ， 给 开 发 的 兄 弟 们 作 为 参 考 。 在 A n d r o i d   S D K 中 封 装 了 一 个 可 以 很 方 便 的 加 载 、 显 示 网 页 的 控 件 ， 叫 做 W e b V i e w ， 全 限 定 名 为 ： a n d r o i d . w e b k i t . W e b V i e w 。 W e b V i e w 是 S D K 层 的 一 个 封 装 ， 底 层 实 现 是 C h r o m i u m （ A n d r o i d   4 . 4 之 前 是 w e b k i t ） 。 由 于 W e b V i e w 功 能 非 常 强 大 ， 目 前 很 多 公 司 的   A p p   就 只 使 用 一 个 W e b V i e w   作 为 整 体 框 架 ， A p p 中 的 所 有 内 容 全 部 使 用 H T M L 5 进 行 展 示 ， 这 样 只 需 要 写 一 次 H T M L 5 代 码 ， 就 可 以 在 多 个 平 台 上 运 行 ， 而 不 需 要 更 新 端 侧 A P P 本 身 。 W e b V i e w 只 是 A n d r o i d   S D K 中 的 一 个 控 件 ， 其 本 身 就 像 一 个 与 A P P 隔 离 开 的 容 器 ， 在 W e b V i e w 中 加 载 的 所 有 页 面 都 运 行 在 这 个 容 器 中 ， 无 法 与 A P P   J a v a （ 或 者 K o t l i n ） 层 或 者 n a t i v e 层 交 互 。 为 了 使 H 5 页 面 更 方 便 地 与 A P P 进 行 交 互 ， W e b v i e w 提 供 了 一 个 a d d J a v a s c r i p t I n t e r f a c e 方 法 ， 该 方 法 可 以 把 一 个 J a v a 类 注 入 到 当 前 W e b V i e w 的 实 例 中 ， 这 样 利 用 该 W e b v i e w 实 例 加 载 的 页 面 就 可 以 方 便 地 利 用 J a v a s c r i p t 与 J a v a 层 通 信 了 。 一 个 例 子 一 个 例 子 首 先 我 们 先 写 一 个 极 简 d e m o   A P P ， 这 个 A P P 只 有 一 个 全 屏 的 w e b v i e w 控 件 在 M A i n A c t i v i t y 中 ， w e b v i e w 中 通 过 a d d J a v a s c r i p t I n t e r f a c e 注 入 了 一 个 名 为 m y O b j 的 J a v a 对 象 ， m y O b j 为 该 对 象 在 J a v a s c r i p t 世 界 中 的 名 字 ， 其 在 J a v a 中 对 应 的 类 名 为 J s O b j e c t 。 A P P 打 开 的 时 候 会 加 载 h t t p s : / / w w w . r e b e y o n d . n e t / p o c . h t m ， p o c . h t m 中 的 j s 代 码 会 调 用 J a v a 世 界 中 的 g e t T o k e n 方 法 ， 并 把 g e t T o k e n 的 返 回 值 通 过 a l e r t 弹 框 显 示 。 d e m o   A P P 代 码 如 下 ： p o c . h t m 代 码 如 下 ： A P P 运 行 效 果 ： p a c k a g e   r e b e y o n d . n e t . m y a p p l i c a t i o n ; i m p o r t   a n d r o i d . s u p p o r t . v 7 . a p p . A p p C o m p a t A c t i v i t y ; i m p o r t   a n d r o i d . o s . B u n d l e ; i m p o r t   a n d r o i d . w e b k i t . J a v a s c r i p t I n t e r f a c e ; i m p o r t   a n d r o i d . w e b k i t . W e b C h r o m e C l i e n t ; i m p o r t   a n d r o i d . w e b k i t . W e b V i e w ; i m p o r t   a n d r o i d . w e b k i t . W e b V i e w C l i e n t ; i m p o r t   a n d r o i d . w i d g e t . B u t t o n ; p u b l i c   c l a s s   M a i n A c t i v i t y   e x t e n d s   A p p C o m p a t A c t i v i t y   {         c l a s s   J s O b j e c t   {                 @ J a v a s c r i p t I n t e r f a c e                 p u b l i c   S t r i n g   g e t T o k e n ( )   {   r e t u r n   " { " t o k e n " : " 1 2 3 4 5 6 7 8 9 0 a b c d e f g " } " ;   }         }         @ O v e r r i d e         p r o t e c t e d   v o i d   o n C r e a t e ( B u n d l e   s a v e d I n s t a n c e S t a t e )   {                 s u p e r . o n C r e a t e ( s a v e d I n s t a n c e S t a t e ) ;                 s e t C o n t e n t V i e w ( R . l a y o u t . a c t i v i t y _ m a i n ) ;                 W e b V i e w   w e b V i e w   =   ( W e b V i e w )   f i n d V i e w B y I d ( R . i d . m y W e b v i e w ) ;                 w e b V i e w . g e t S e t t i n g s ( ) . s e t J a v a S c r i p t E n a b l e d ( t r u e ) ;                 w e b V i e w . s e t W e b V i e w C l i e n t ( n e w   W e b V i e w C l i e n t ( ) ) ;                 w e b V i e w . s e t W e b C h r o m e C l i e n t ( n e w   W e b C h r o m e C l i e n t ( ) ) ;                 w e b V i e w . a d d J a v a s c r i p t I n t e r f a c e ( n e w   J s O b j e c t ( ) , " m y O b j " ) ;                 w e b V i e w . l o a d U r l ( " h t t p s : / / w w w . r e b e y o n d . n e t / p o c . h t m " ) ;         } } < s c r i p t >         a l e r t ( w i n d o w . m y O b j . g e t T o k e n ( ) ) ; < / s c r i p t >
O K ， 上 面 是 J a v a S c r i p t I n t e r f a c e 的 一 个 简 单 功 能 演 示 ， 下 文 随 着 案 例 深 入 我 们 会 逐 渐 扩 充 这 段 代 码 ， 下 面 言 归 正 传 。 如 何 正 确 校 验 白 名 单 如 何 正 确 校 验 白 名 单 下 面 我 们 预 设 一 个 场 景 ： 该 d e m o   A P P 开 发 人 员 小 A 认 为 g e t T o k e n 这 个 方 法 返 回 的 字 符 串 是 一 个 用 户 会 话 标 识 ， 属 于 敏 感 信 息 ， 不 应 该 就 这 样 完 全 暴 露 出 去 ， 只 有 白 名 单 中 的 域 名 及 其 子 域 名 才 允 许 调 用 该 方 法 。 所 以 配 置 了 一 个 白 名 单 列 表 ， 如 下 ： 并 实 现 了 校 验 逻 辑 来 判 断 调 用 方 的 域 名 是 否 在 白 名 单 内 ， 不 过 这 个 校 验 逻 辑 并 没 有 他 当 初 想 象 的 那 么 简 单 ， 里 面 有 很 多 坑 ， 下 面 我 们 围 观 下 他 的 心 路 历 程 ： R o u n d   1 对 用 户 输 入 的 U R L 进 行 域 名 白 名 单 校 验 ， 小 A 首 先 想 到 的 是 用 i n d e x O f 来 判 断 ， 代 码 如 下 ： S t r i n g [ ]   w h i t e L i s t = n e w   S t r i n g [ ] { " h u a w e i . c o m " , " h i c l o u d . c o m " } ; p a c k a g e   r e b e y o n d . n e t . m y a p p l i c a t i o n ; i m p o r t   a n d r o i d . s u p p o r t . v 7 . a p p . A p p C o m p a t A c t i v i t y ; i m p o r t   a n d r o i d . o s . B u n d l e ; i m p o r t   a n d r o i d . w e b k i t . J a v a s c r i p t I n t e r f a c e ; i m p o r t   a n d r o i d . w e b k i t . W e b C h r o m e C l i e n t ; i m p o r t   a n d r o i d . w e b k i t . W e b V i e w ; i m p o r t   a n d r o i d . w e b k i t . W e b V i e w C l i e n t ; i m p o r t   a n d r o i d . w i d g e t . B u t t o n ; p u b l i c   c l a s s   M a i n A c t i v i t y   e x t e n d s   A p p C o m p a t A c t i v i t y   {         c l a s s   J s O b j e c t   {                 @ J a v a s c r i p t I n t e r f a c e                 p u b l i c   S t r i n g   g e t T o k e n ( )   {   r e t u r n   " { " t o k e n " : " 1 2 3 4 5 6 7 8 9 0 a b c d e f g " } " ;   }         }         @ O v e r r i d e         p r o t e c t e d   v o i d   o n C r e a t e ( B u n d l e   s a v e d I n s t a n c e S t a t e )   {                 s u p e r . o n C r e a t e ( s a v e d I n s t a n c e S t a t e ) ;
绕 过 绕 过 这 个 校 验 逻 辑 错 误 比 较 低 级 ， 攻 击 者 直 接 输 入 h t t p : / / w w w . r e b e y o n d . n e t / p o c . h t m ? h u a w e i . c o m 就 可 以 绕 过 了 。 因 为 U R L 中 除 了 代 表 域 名 的 字 段 外 ， 还 有 路 径 、 参 数 等 和 域 名 无 关 的 字 段 ， 因 此 直 接 判 断 整 个 U R L 是 不 安 全 的 。 虽 然 直 接 用 i n d e x O f 来 判 断 用 户 输 入 的 U R L 是 否 在 域 名 白 名 单 内 这 种 错 误 看 上 去 比 较 l o w ， 但 是 现 实 中 仍 然 有 不 少 缺 乏 安 全 意 识 的 开 发 人 员 在 使 用 。 R o u n d   2 当 然 小 A 作 为 一 个 资 深 开 发 ， 很 快 自 己 便 发 现 了 问 题 所 在 ， 他 意 识 到 想 要 匹 配 白 名 单 中 的 域 名 ， 首 先 应 该 把 用 户 输 入 的 U R L 中 的 域 名 提 取 出 来 再 进 行 校 验 才 对 ， 于 是 他 自 己 做 了 一 个 升 级 版 ， 代 码 如 下 ： 绕 过 绕 过 首 先 我 们 看 一 下 R F C 中 对 U R L 格 式 的 描 述 ： 小 A 由 于 缺 乏 对 U R L 语 法 的 了 解 ， 错 误 的 认 为 : / / 和 第 一 个 / 之 间 的 字 符 串 即 为 域 名 （ h o s t ） ， 导 致 了 这 个 检 测 逻 辑 可 以 通 过 如 下 p a y l o a d 绕 过 ： 攻 击 者 利 用 U R L 不 常 见 的 语 法 ， 在 U R L 中 加 入 了 A u t h o r i t y 字 段 即 绕 过 了 这 段 校 验 。 A u t h o r i t y 字 段 是 用 来 向 所 请 求 的 访 问 受 限 资 源 提 供 用 户 凭 证 的 ， 比 如 访 问 一 个 需 要 认 证 的 f t p 资 源 ， 用 户 名 为 t e s t ， 密 码 为 1 2 3 4 5 6 ， 可 以 直 接 在 浏 览 器 中 输 入 U R L ： f t p : / / t e s t : 1 2 3 4 5 6 @ n j u . e d u . c n / 。 R o u n d   3 小 A 意 识 到 通 过 字 符 串 截 取 的 方 式 来 获 取 h o s t 可 能 不 太 安 全 ， 于 是 去 翻 了 一 下 J a v a 文 档 ， 发 现 有 个 j a v a . n e t . U R L 类 可 以 实 现 U R L 的 格 式 化 ， 于 是 他 又 写 了 一 个 改 进 版 ： 绕 过 绕 过 使 用 j a v a . n e t . U R L 确 实 可 以 得 到 比 较 准 确 的 h o s t ， 但 是 小 A 仍 然 使 用 了 i n d e x O f 来 判 断 ， 所 以 还 是 可 以 很 简 单 的 通 过 如 下 p a y l o a d 绕 过 ： 上 述 U R L 的 h o s t 中 包 含 h i c l o u d . c o m 字 符 串 ， 但 是 w w w . h i c l o u d . c o m 并 不 是 域 名 ， 而 是 r e b e y o n d . n e t 这 个 域 名 的 一 个 子 域 名 ， 所 以 最 终 还 是 指 向 了 攻 击 者 控 制 的 服 务 器 。                 s e t C o n t e n t V i e w ( R . l a y o u t . a c t i v i t y _ m a i n ) ;                 W e b V i e w   w e b V i e w   =   ( W e b V i e w )   f i n d V i e w B y I d ( R . i d . m y W e b v i e w ) ;                 w e b V i e w . g e t S e t t i n g s ( ) . s e t J a v a S c r i p t E n a b l e d ( t r u e ) ;                 w e b V i e w . s e t W e b V i e w C l i e n t ( n e w   W e b V i e w C l i e n t ( ) ) ;                 w e b V i e w . s e t W e b C h r o m e C l i e n t ( n e w   W e b C h r o m e C l i e n t ( ) ) ;                 w e b V i e w . a d d J a v a s c r i p t I n t e r f a c e ( n e w   J s O b j e c t ( ) , " m y O b j " ) ;                 S t r i n g   i n p u t U r l = " h t t p s : / / w w w . r e b e y o n d . n e t / p o c . h t m " ;                 i f   ( c h e c k D o m a i n ( i n p u t U r l ) )                 {                         w e b V i e w . l o a d U r l ( i n p u t U r l ) ;                 }         }         p r i v a t e   s t a t i c   b o o l e a n   c h e c k D o m a i n ( S t r i n g   i n p u t U r l ) {                 S t r i n g [ ]   w h i t e L i s t = n e w   S t r i n g [ ] { " h u a w e i . c o m " , " h i c l o u d . c o m " } ;                 f o r   ( S t r i n g   w h i t e D o m a i n : w h i t e L i s t )                 {                         i f   ( i n p u t U r l . i n d e x O f ( w h i t e D o m a i n ) > 0 )                                 r e t u r n   t r u e ;                 }                 r e t u r n     f a l s e ;         } } p r i v a t e   s t a t i c   b o o l e a n   c h e c k D o m a i n ( S t r i n g   i n p u t U r l ) {         S t r i n g [ ]   w h i t e L i s t = n e w   S t r i n g [ ] { " h u a w e i . c o m " , " h i c l o u d . c o m " } ;         S t r i n g   t e m p S t r = i n p u t U r l . r e p l a c e ( " : / / " , " " ) ;         S t r i n g   i n p u t D o m a i n = t e m p S t r . s u b s t r i n g ( 0 , t e m p S t r . i n d e x O f ( " / " ) ) ;   / / 提 取 h o s t         f o r   ( S t r i n g   w h i t e D o m a i n : w h i t e L i s t )         {                 i f   ( i n p u t D o m a i n . i n d e x O f ( w h i t e D o m a i n ) > 0 )                         r e t u r n   t r u e ;         }         r e t u r n     f a l s e ; } < p r o t o c o l > : / / < u s e r > : < p a s s w o r d > @ < h o s t > : < p o r t > / < u r l - p a t h > h t t p : / / h u a w e i . c o m @ w w w . r e b e y o n d . n e t / p o c . h t m p r i v a t e   s t a t i c   b o o l e a n   c h e c k D o m a i n ( S t r i n g   i n p u t U r l )   t h r o w s   M a l f o r m e d U R L E x c e p t i o n   {         S t r i n g [ ]   w h i t e L i s t = n e w   S t r i n g [ ] { " h u a w e i . c o m " , " h i c l o u d . c o m " } ;         j a v a . n e t . U R L   u r l = n e w   j a v a . n e t . U R L ( i n p u t U r l ) ;         S t r i n g   i n p u t D o m a i n = u r l . g e t H o s t ( ) ;   / / 提 取 h o s t         f o r   ( S t r i n g   w h i t e D o m a i n : w h i t e L i s t )         {                 i f   ( i n p u t D o m a i n . i n d e x O f ( w h i t e D o m a i n ) )   / / w w w . h u a w e i . c o m             a p p . h i c l o u d . c o m                         r e t u r n   t r u e ;         }         r e t u r n     f a l s e ; } h t t p : / / w w w . h i c l o u d . c o m . r e b e y o n d . n e t / p o c . h t m
R o u n d   4 既 然 i n d e x O f 不 能 用 ， 那 还 可 以 选 择 s t a r t s W i t h 、 e n d s W i t h 或 者 e q u a l s ， 不 过 一 般 白 名 单 匹 配 的 时 候 都 要 匹 配 子 域 名 ， 所 以 e q u a l s 和 s t a r t s W i t h 被 排 除 ， 于 是 小 A 用 e n d W i t h 又 写 了 一 个 版 本 ： 绕 过 绕 过 通 过 j a v a . n e t . U R L 提 取 域 名 ， 然 后 通 过 e n d W i t h 来 匹 配 白 名 单 ， 聪 明 的 你 一 定 想 到 了 如 下 p a y l o a d 来 绕 过 e n d s W i t h 的 匹 配 ： 只 要 注 册 一 个 以 h u a w e i 结 尾 的 顶 级 域 名 就 可 以 绕 过 白 名 单 了 ， 我 查 了 一 下 r e b e y o n d h u a w e i . c o m 这 个 域 名 可 以 注 册 ， 一 年 只 要 6 0 块 钱 ： ） R o u n d   5 小 A 现 在 知 道 问 题 出 在 哪 了 ， 只 要 在 e n d s W i t h 的 时 候 ， 在 白 名 单 前 面 加 个 点 ， 就 可 以 避 免 这 种 情 况 了 ， 于 是 又 改 进 一 个 版 本 ： 绕 过 绕 过 经 过 了 上 面 几 轮 错 误 的 修 正 ， 目 前 这 个 版 本 看 上 去 应 该 没 什 么 问 题 了 。 真 的 没 问 题 了 么 ？ 如 果 j a v a . n e t . U R L 可 以 得 到 绝 对 准 确 的 h o s t ， 那 确 实 没 问 题 了 ， 但 事 实 上 ， j a v a . n e t . U R L 并 不 是 完 全 可 信 ， 比 如 下 图 ： h t t p s : / / w w w . r e b e y o n d . n e t @ w w w . h u a w e i . c o m / p o c . h t m 上 述 U R L 通 过 j a v a . n e t . U R L 的 g e t H o s t 方 法 得 到 的 h o s t 是 w w w . h u a w e i . c o m ， 但 实 际 上 访 问 的 确 是 w w w . r e b e y o n d . n e t 服 务 器 ， 可 以 看 到 w w w . r e b e y o n d . n e t 服 务 器 上 收 到 了 如 下 这 条 访 问 日 志 ： 只 要 在 w w w . r e b e y o n d . n e t 这 个 攻 击 者 服 务 器 上 放 置 / @ . h u a w e i . c o m / p o c . h t m 这 样 一 个 文 件 ， 就 可 以 绕 过 白 名 单 调 用 J a v a S c r i p t I n t e r f a c e 里 的 g e t T o k e n 了 。 当 然 除 了 上 面 那 种 用 @ 符 号 绕 过 的 方 法 外 ， 还 有 另 外 一 种 ： 上 述 U R L 经 过 j a v a . n e t . U R L 的 g e t H o s t 方 法 提 取 得 到 的 是 w w w . r e b e y o n d . n e t . h u a w e i . c o m ， 可 以 绕 过 白 名 单 域 名 的 e n d s W i t h 匹 配 ， 但 是 实 际 访 问 的 确 是 w w w . r e b e y o n d . n e t 服 务 器 ， 访 问 日 志 如 下 图 ： 该 问 题 在 最 新 的 J a v a 1 0 仍 然 存 在 ， 现 已 提 交 至 O r a c l e 官 方 修 复 。 另 外 ， a n d r o i d . n e t . U r i 存 在 同 样 的 问 题 ， 不 过 在 1 8 年 1 月 和 4 月 分 别 修 复 了 这 两 个 b u g ， g i t   c o m m i t 见 文 末 参 考 链 接 。 R o u n d   6 p r i v a t e   s t a t i c   b o o l e a n   c h e c k D o m a i n ( S t r i n g   i n p u t U r l )   t h r o w s   M a l f o r m e d U R L E x c e p t i o n   {         S t r i n g [ ]   w h i t e L i s t = n e w   S t r i n g [ ] { " h u a w e i . c o m " , " h i c l o u d . c o m " } ;         j a v a . n e t . U R L   u r l = n e w   j a v a . n e t . U R L ( i n p u t U r l ) ;         S t r i n g   i n p u t D o m a i n = u r l . g e t H o s t ( ) ;   / / 提 取 h o s t         f o r   ( S t r i n g   w h i t e D o m a i n : w h i t e L i s t )         {                 i f   ( i n p u t D o m a i n . e n d s W i t h ( w h i t e D o m a i n ) )   / / w w w . h u a w e i . c o m             a p p . h i c l o u d . c o m                         r e t u r n   t r u e ;         }         r e t u r n     f a l s e ; } h t t p : / / r e b e y o n d h u a w e i . c o m / p o c . h t m p r i v a t e   s t a t i c   b o o l e a n   c h e c k D o m a i n ( S t r i n g   i n p u t U r l )   t h r o w s   M a l f o r m e d U R L E x c e p t i o n   {         S t r i n g [ ]   w h i t e L i s t = n e w   S t r i n g [ ] { " h u a w e i . c o m " , " h i c l o u d . c o m " } ;         j a v a . n e t . U R L   u r l = n e w   j a v a . n e t . U R L ( i n p u t U r l ) ;         S t r i n g   i n p u t D o m a i n = u r l . g e t H o s t ( ) ;   / / 提 取 h o s t         f o r   ( S t r i n g   w h i t e D o m a i n : w h i t e L i s t )         {                 i f   ( i n p u t D o m a i n . e n d s W i t h ( " . " + w h i t e D o m a i n ) )   / / w w w . h u a w e i . c o m             a p p . h i c l o u d . c o m                         r e t u r n   t r u e ;         }         r e t u r n     f a l s e ; } h t t p s : / / w w w . r e b e y o n d . n e t . h u a w e i . c o m
连 J D K 自 带 的 j a v a . n e t . U R L 都 有 问 题 ， 那 还 有 什 么 安 全 的 方 法 么 ？ 有 的 ， 那 就 是 j a v a . n e t . U R I 。 如 下 是 小 A 用 j a v a . n e t . U R I 对 R o u n d 5 中 的 绕 过 p a y l o a d 进 行 的 测 试 结 果 ： 可 以 看 到 畸 形 的 U R L 会 直 接 抛 异 常 。 小 A 痛 定 思 痛 ， 写 下 了 下 面 这 个 版 本 ， 用 j a v a . n e t . U R I 代 替 j a v a . n e t . U R L ： 绕 过 绕 过 上 面 这 种 写 法 ， 对 于 单 纯 的 h o s t 的 校 验 来 说 ， 确 实 没 有 问 题 了 ， 但 是 如 果 攻 击 者 在 协 议 名 称 上 动 点 手 脚 ， 还 是 可 以 绕 过 。 在 讲 绕 过 方 法 之 前 ， 我 们 先 看 一 段 代 码 ： 执 行 结 果 如 下 图 ： p r i v a t e   s t a t i c   b o o l e a n   c h e c k D o m a i n ( S t r i n g   i n p u t U r l )   t h r o w s     U R I S y n t a x E x c e p t i o n   {         S t r i n g [ ]   w h i t e L i s t = n e w   S t r i n g [ ] { " h u a w e i . c o m " , " h i c l o u d . c o m " } ;         j a v a . n e t . U R I   u r l = n e w   j a v a . n e t . U R I ( i n p u t U r l ) ;         S t r i n g   i n p u t D o m a i n = u r l . g e t H o s t ( ) ;   / / 提 取 h o s t         f o r   ( S t r i n g   w h i t e D o m a i n : w h i t e L i s t )         {                 i f   ( i n p u t D o m a i n . e n d s W i t h ( " . " + w h i t e D o m a i n ) )   / / w w w . h u a w e i . c o m             a p p . h i c l o u d . c o m                         r e t u r n   t r u e ;         }         r e t u r n     f a l s e ; } p a c k a g e   r e b e y o n d . n e t . m y a p p l i c a t i o n ; p u b l i c   c l a s s   M a i n A c t i v i t y   e x t e n d s   A p p C o m p a t A c t i v i t y   {         @ O v e r r i d e         p r o t e c t e d   v o i d   o n C r e a t e ( B u n d l e   s a v e d I n s t a n c e S t a t e )   {                 s u p e r . o n C r e a t e ( s a v e d I n s t a n c e S t a t e ) ;                 s e t C o n t e n t V i e w ( R . l a y o u t . a c t i v i t y _ m a i n ) ;                 W e b V i e w   w e b V i e w   =   ( W e b V i e w )   f i n d V i e w B y I d ( R . i d . m y W e b v i e w ) ;                 w e b V i e w . g e t S e t t i n g s ( ) . s e t J a v a S c r i p t E n a b l e d ( t r u e ) ;                 w e b V i e w . s e t W e b V i e w C l i e n t ( n e w   W e b V i e w C l i e n t ( ) ) ;                 w e b V i e w . s e t W e b C h r o m e C l i e n t ( n e w   W e b C h r o m e C l i e n t ( ) ) ;                 S t r i n g   i n p u t U r l = " j a v a s c r i p t : a l e r t ( ' h e l l o   w o r l d ' ) ; " ;                 w e b V i e w . l o a d U r l ( i n p u t U r l ) ;         } }
可 以 看 到 ， w e b v i e w 的 l o a d U r l 方 法 可 以 直 接 执 行 J a v a S c r i p t 伪 协 议 中 的 代 码 ， 于 是 构 造 如 下 U R L ， 即 可 绕 过 j a v a . n e t . U R I 的 检 测 ： J a v a S c r i p t : / / w w w . h u a w e i . c o m / % 0 d % 0 a w i n d o w . l o c a t i o n . h r e f = ‘ h t t p : / / w w w . r e b e y o n d . n e t / p o c . h t m ‘ 上 述 U R L 的 g e t H o s t 结 果 为 w w w . h u a w e i . c o m ， 如 下 图 ： 但 是 w e b v i e w 实 际 执 行 的 是 如 下 两 行 J a v a S c r i p t 代 码 : 第 一 行 通 过 / / 符 号 来 骗 过 j a v a . n e t . U R I 获 取 到 值 为 w w w . h u a w e i . c o m 的 h o s t ， 恰 好 / / 符 号 在 J a v a s c r i p t 的 世 界 里 是 行 注 释 符 号 ， 所 以 第 一 行 实 际 并 没 有 执 行 ； 然 后 通 过 % 0 d % 0 a 换 行 ， 继 续 执 行 w i n d o w . l o c a t i o n . h r e f = ’ h t t p : / / w w w . r e b e y o n d . n e t / p o c . h t m ’ 请 求 我 们 的 p o c 页 面 ， 最 终 可 以 成 功 绕 过 白 名 单 限 制 调 用 g e t T o k e n 接 口 ， 执 行 效 果 如 下 ： / / w w w . h u a w e i . c o m / w i n d o w . l o c a t i o n . h r e f = ' h t t p : / / w w w . r e b e y o n d . n e t / p o c . h t m '
R o u n d   7 小 A 恍 然 大 悟 ： 看 来 坏 人 在 协 议 上 面 也 能 做 手 脚 ， 那 我 只 要 再 加 个 协 议 名 称 校 验 就 可 以 了 ， 三 下 五 除 二 写 了 个 最 终 版 : 绕 不 过 绕 不 过 域 名 白 名 单 校 验 逻 辑 经 过 上 述 7 个 小 版 本 的 迭 代 ， 终 于 得 到 了 一 个 比 较 完 善 的 版 本 。 如 果 不 考 虑 白 名 单 域 名 服 务 器 自 身 有 安 全 问 题 的 情 况 ， 这 个 校 验 逻 辑 目 前 是 安 全 的 ， 推 荐 大 家 采 用 。 在 哪 里 校 验 白 名 单 在 哪 里 校 验 白 名 单 上 面 我 们 得 到 了 一 个 安 全 的 白 名 单 校 验 方 法 ， 然 后 问 题 来 了 ， 应 该 在 哪 个 地 方 调 用 这 个 校 验 方 法 呢 ？ 前 面 我 们 只 在 l o a d U r l 之 前 校 验 了 一 次 ， 这 样 够 么 ？ 不 够 。 p r i v a t e   s t a t i c   b o o l e a n   c h e c k D o m a i n ( S t r i n g   i n p u t U r l )   t h r o w s     U R I S y n t a x E x c e p t i o n   {         i f   ( ! i n p u t U r l . s t a r t s W i t h ( " h t t p : / / " ) & & ! i n p u t U r l . s t a r t s W i t h ( " h t t p s : / / " ) )         {                 r e t u r n   f a l s e ;         }         S t r i n g [ ]   w h i t e L i s t = n e w   S t r i n g [ ] { " h u a w e i . c o m " , " h i c l o u d . c o m " } ;         j a v a . n e t . U R I   u r l = n e w   j a v a . n e t . U R I ( i n p u t U r l ) ;         S t r i n g   i n p u t D o m a i n = u r l . g e t H o s t ( ) ;   / / 提 取 h o s t         f o r   ( S t r i n g   w h i t e D o m a i n : w h i t e L i s t )         {                 i f   ( i n p u t D o m a i n . e n d s W i t h ( " . " + w h i t e D o m a i n ) )   / / w w w . h u a w e i . c o m             a p p . h i c l o u d . c o m                         r e t u r n   t r u e ;         }         r e t u r n     f a l s e ; }
U R L 跳 转 绕 过 跳 转 绕 过 上 述 “ 最 终 版 ” 的 校 验 逻 辑 确 实 可 以 安 全 地 校 验 域 名 白 名 单 ， 但 是 整 体 的 校 验 方 案 仍 然 不 是 最 优 ， 下 面 继 续 来 看 个 例 子 ： 这 是 我 虚 构 的 一 个 U R L ， 该 U R L 的 功 能 是 跳 转 至 S S O 登 录 页 面 。 打 开 这 个 U R L 后 ， 服 务 器 会 返 回 一 个 3 0 2 响 应 ： 然 后 浏 览 器 侧 会 再 次 请 求 L o c a t i o n 中 指 定 的 U R L 。 对 于 大 型 网 站 而 言 ， 特 别 是 有 单 点 登 录 功 能 的 网 站 ， 这 种 类 型 的 接 口 很 常 见 。 如 果 攻 击 者 构 造 如 下 U R L ， 是 不 是 就 可 以 绕 过 域 名 白 名 单 了 呢 ？ 答 案 是 可 以 绕 过 。 我 们 来 测 试 一 下 ， 把 d e m o   A P P 稍 作 修 改 ， 加 一 些 l o g ， 完 整 代 码 如 下 ： h t t p s : / / w w w . h u a w e i . c o m / r e d i r e c t . p h p ? u r l = h t t p : / / l o g i n . h u a w e i . c o m h t t p s : / / w w w . h u a w e i . c o m / r e d i r e c t . p h p ? u r l = h t t p s : / / w w w . r e b e y o n d . n e t / p o c . h t m p a c k a g e   r e b e y o n d . n e t . m y a p p l i c a t i o n ; i m p o r t   a n d r o i d . s u p p o r t . v 7 . a p p . A p p C o m p a t A c t i v i t y ; i m p o r t   a n d r o i d . o s . B u n d l e ; i m p o r t   a n d r o i d . u t i l . L o g ; i m p o r t   a n d r o i d . w e b k i t . J a v a s c r i p t I n t e r f a c e ; i m p o r t   a n d r o i d . w e b k i t . W e b C h r o m e C l i e n t ; i m p o r t   a n d r o i d . w e b k i t . W e b V i e w ; i m p o r t   a n d r o i d . w e b k i t . W e b V i e w C l i e n t ; i m p o r t   a n d r o i d . w i d g e t . B u t t o n ; i m p o r t   j a v a . n e t . M a l f o r m e d U R L E x c e p t i o n ; i m p o r t   j a v a . n e t . U R I S y n t a x E x c e p t i o n ; i m p o r t   j a v a . n e t . U R L ; p u b l i c   c l a s s   M a i n A c t i v i t y   e x t e n d s   A p p C o m p a t A c t i v i t y   {         c l a s s   J s O b j e c t   {                 @ J a v a s c r i p t I n t e r f a c e                 p u b l i c   S t r i n g   g e t T o k e n ( )   {                         L o g . e ( " r e b e y o n d " , " i   a m   i n   g e t T o k e n " ) ;                         r e t u r n   " { " t o k e n " : " 1 2 3 4 5 6 7 8 9 0 a b c d e f g " } " ;                 }         }         @ O v e r r i d e         p r o t e c t e d   v o i d   o n C r e a t e ( B u n d l e   s a v e d I n s t a n c e S t a t e )   {                 s u p e r . o n C r e a t e ( s a v e d I n s t a n c e S t a t e ) ;                 s e t C o n t e n t V i e w ( R . l a y o u t . a c t i v i t y _ m a i n ) ;                 W e b V i e w   w e b V i e w   =   ( W e b V i e w )   f i n d V i e w B y I d ( R . i d . m y W e b v i e w ) ;                 w e b V i e w . g e t S e t t i n g s ( ) . s e t J a v a S c r i p t E n a b l e d ( t r u e ) ;                 w e b V i e w . s e t W e b V i e w C l i e n t ( n e w   W e b V i e w C l i e n t ( ) ) ;                 w e b V i e w . s e t W e b C h r o m e C l i e n t ( n e w   W e b C h r o m e C l i e n t ( ) ) ;                 w e b V i e w . a d d J a v a s c r i p t I n t e r f a c e ( n e w   J s O b j e c t ( ) , " m y O b j " ) ;                 S t r i n g   i n p u t U r l = " h t t p s : / / w w w . h u a w e i . c o m / r e d i r e c t . p h p ? u r l = h t t p s : / / w w w . r e b e y o n d . n e t / p o c . h t m " ;                 t r y   {                         i f   ( c h e c k D o m a i n ( i n p u t U r l ) )                         {                                 L o g . e ( " r e b e y o n d " , " i   a m   a   w h i t e   d o m a i n " ) ;                                 w e b V i e w . l o a d U r l ( i n p u t U r l ) ;                         }                 }   c a t c h   ( U R I S y n t a x E x c e p t i o n   e )   {                         e . p r i n t S t a c k T r a c e ( ) ;                 }         }         p r i v a t e   s t a t i c   b o o l e a n   c h e c k D o m a i n ( S t r i n g   i n p u t U r l )   t h r o w s     U R I S y n t a x E x c e p t i o n   {                 i f   ( ! i n p u t U r l . s t a r t s W i t h ( " h t t p : / / " ) & & ! i n p u t U r l . s t a r t s W i t h ( " h t t p s : / / " ) )                 {                         r e t u r n   f a l s e ;                 }                 S t r i n g [ ]   w h i t e L i s t = n e w   S t r i n g [ ] { " h u a w e i . c o m " , " h i c l o u d . c o m " } ;                 j a v a . n e t . U R I   u r l = n e w   j a v a . n e t . U R I ( i n p u t U r l ) ;                 S t r i n g   i n p u t D o m a i n = u r l . g e t H o s t ( ) ;   / / 提 取 h o s t                 f o r   ( S t r i n g   w h i t e D o m a i n : w h i t e L i s t )                 {
我 们 在 c h e c k D o m a i n 校 验 返 回 t r u e 的 时 候 和 调 用 J a v a s c r i p t I n t e r f a c e   g e t T o k e n 的 时 候 ， 分 别 打 印 一 条 日 志 。 A P P   运 行 日 志 如 下 ： 可 以 看 到 我 们 通 过 一 个 U R L 跳 转 顺 利 绕 过 了 域 名 白 名 单 校 验 。 解 决 方 案 解 决 方 案 根 据 上 面 的 分 析 可 以 得 出 ， W e b v i e w 在 请 求 h t t p s : / / w w w . h u a w e i . c o m / r e d i r e c t . p h p ? u r l = h t t p s : / / w w w . r e b e y o n d . n e t / p o c . h t m 的 时 候 ， 实 际 是 发 出 了 两 次 请 求 ， 第 一 次 是 在 l o a d U r l 中 请 求 h t t p s : / / w w w . h u a w e i . c o m / r e d i r e c t . p h p ? u r l = h t t p s : / / w w w . r e b e y o n d . n e t / p o c . h t m ， 第 二 次 是 请 求 h t t p s : / / w w w . r e b e y o n d . n e t / p o c . h t m ， 但 是 第 二 次 请 求 发 生 在 l o a d U r l 之 后 ， 而 我 们 的 白 名 单 校 验 逻 辑 在 l o a d U r l 之 前 ， 才 导 致 了 绕 过 。 有 什 么 方 法 可 以 在 请 求 每 个 U R L 的 时 候 都 插 入 校 验 逻 辑 呢 ？ 那 就 是 重 写 w e b v i e w 的 s h o u l d O v e r r i d e U r l L o a d i n g 方 法 ， 该 方 法 会 在 w e b v i e w 后 续 加 载 其 他 u r l 的 时 候 回 调 ：                 {                         i f   ( i n p u t D o m a i n . e n d s W i t h ( " . " + w h i t e D o m a i n ) )   / / w w w . h u a w e i . c o m             a p p . h i c l o u d . c o m                                 r e t u r n   t r u e ;                 }                 r e t u r n     f a l s e ;         } } p a c k a g e   r e b e y o n d . n e t . m y a p p l i c a t i o n ; i m p o r t   a n d r o i d . s u p p o r t . v 7 . a p p . A p p C o m p a t A c t i v i t y ; i m p o r t   a n d r o i d . o s . B u n d l e ; i m p o r t   a n d r o i d . u t i l . L o g ; i m p o r t   a n d r o i d . w e b k i t . J a v a s c r i p t I n t e r f a c e ; i m p o r t   a n d r o i d . w e b k i t . W e b C h r o m e C l i e n t ; i m p o r t   a n d r o i d . w e b k i t . W e b R e s o u r c e R e q u e s t ; i m p o r t   a n d r o i d . w e b k i t . W e b V i e w ; i m p o r t   a n d r o i d . w e b k i t . W e b V i e w C l i e n t ; i m p o r t   a n d r o i d . w i d g e t . B u t t o n ; i m p o r t   j a v a . n e t . M a l f o r m e d U R L E x c e p t i o n ; i m p o r t   j a v a . n e t . U R I S y n t a x E x c e p t i o n ; i m p o r t   j a v a . n e t . U R L ; p u b l i c   c l a s s   M a i n A c t i v i t y   e x t e n d s   A p p C o m p a t A c t i v i t y   {         c l a s s   J s O b j e c t   {                 @ J a v a s c r i p t I n t e r f a c e                 p u b l i c   S t r i n g   g e t T o k e n ( )   {                         L o g . e ( " r e b e y o n d " , " i   a m   i n   g e t T o k e n " ) ;                         r e t u r n   " { " t o k e n " : " 1 2 3 4 5 6 7 8 9 0 a b c d e f g " } " ;                 }         }         @ O v e r r i d e         p r o t e c t e d   v o i d   o n C r e a t e ( B u n d l e   s a v e d I n s t a n c e S t a t e )   {                 s u p e r . o n C r e a t e ( s a v e d I n s t a n c e S t a t e ) ;                 s e t C o n t e n t V i e w ( R . l a y o u t . a c t i v i t y _ m a i n ) ;                 W e b V i e w   w e b V i e w   =   ( W e b V i e w )   f i n d V i e w B y I d ( R . i d . m y W e b v i e w ) ;                 w e b V i e w . g e t S e t t i n g s ( ) . s e t J a v a S c r i p t E n a b l e d ( t r u e ) ;                 w e b V i e w . s e t W e b V i e w C l i e n t ( n e w   W e b V i e w C l i e n t ( ) {                         @ O v e r r i d e                         p u b l i c   b o o l e a n   s h o u l d O v e r r i d e U r l L o a d i n g ( W e b V i e w   v i e w ,   W e b R e s o u r c e R e q u e s t   r e q u e s t )   {                                 L o g . e ( " r e b e y o n d " , " s t a r t   t o   s h o u l d O v e r r i d e U r l L o a d i n g   u r l : " + r e q u e s t . g e t U r l ( ) ) ;                                 r e t u r n   s u p e r . s h o u l d O v e r r i d e U r l L o a d i n g ( v i e w ,   r e q u e s t ) ;                         }                 } ) ;                 w e b V i e w . s e t W e b C h r o m e C l i e n t ( n e w   W e b C h r o m e C l i e n t ( ) ) ;                 w e b V i e w . a d d J a v a s c r i p t I n t e r f a c e ( n e w   J s O b j e c t ( ) , " m y O b j " ) ;                 S t r i n g   i n p u t U r l = " h t t p s : / / w w w . h u a w e i . c o m / r e d i r e c t . p h p ? u r l = h t t p s : / / w w w . r e b e y o n d . n e t / p o c . h t m " ;                 t r y   {                         i f   ( c h e c k D o m a i n ( i n p u t U r l ) )                         {                                 L o g . e ( " r e b e y o n d " , " s t a r t   t o   l o a d U r l : " + i n p u t U r l ) ;                                 L o g . e ( " r e b e y o n d " , " i   a m   a   w h i t e   d o m a i n " ) ;                                 w e b V i e w . l o a d U r l ( i n p u t U r l ) ;                         }                 }   c a t c h   ( U R I S y n t a x E x c e p t i o n   e )   {                         e . p r i n t S t a c k T r a c e ( ) ;                 }         }         p r i v a t e   s t a t i c   b o o l e a n   c h e c k D o m a i n ( S t r i n g   i n p u t U r l )   t h r o w s     U R I S y n t a x E x c e p t i o n   {                 i f   ( ! i n p u t U r l . s t a r t s W i t h ( " h t t p : / / " ) & & ! i n p u t U r l . s t a r t s W i t h ( " h t t p s : / / " ) )
看 一 下 A P P 的 l o g c a t ： 可 以 看 到 w e b v i e w 的 第 二 次 请 求 被 s h o u l d O v e r r i d e U r l L o a d i n g 拦 截 到 ， 因 此 除 了 在 l o a d U r l 之 前 校 验 白 名 单 之 外 ， 还 要 在 s h o u l d O v e r r i d e U r l L o a d i n g 中 再 校 验 一 次 ， 如 下 为 改 进 版 ：                 i f   ( ! i n p u t U r l . s t a r t s W i t h ( " h t t p : / / " ) & & ! i n p u t U r l . s t a r t s W i t h ( " h t t p s : / / " ) )                 {                         r e t u r n   f a l s e ;                 }                 S t r i n g [ ]   w h i t e L i s t = n e w   S t r i n g [ ] { " h u a w e i . c o m " , " h i c l o u d . c o m " } ;                 j a v a . n e t . U R I   u r l = n e w   j a v a . n e t . U R I ( i n p u t U r l ) ;                 S t r i n g   i n p u t D o m a i n = u r l . g e t H o s t ( ) ;   / / 提 取 h o s t                 f o r   ( S t r i n g   w h i t e D o m a i n : w h i t e L i s t )                 {                         i f   ( i n p u t D o m a i n . e n d s W i t h ( " . " + w h i t e D o m a i n ) )   / / w w w . h u a w e i . c o m             a p p . h i c l o u d . c o m                                 r e t u r n   t r u e ;                 }                 r e t u r n     f a l s e ;         } } p a c k a g e   r e b e y o n d . n e t . m y a p p l i c a t i o n ; p u b l i c   c l a s s   M a i n A c t i v i t y   e x t e n d s   A p p C o m p a t A c t i v i t y   {         c l a s s   J s O b j e c t   {                 @ J a v a s c r i p t I n t e r f a c e                 p u b l i c   S t r i n g   g e t T o k e n ( )   {                         L o g . e ( " r e b e y o n d " , " i   a m   i n   g e t T o k e n " ) ;                         r e t u r n   " { " t o k e n " : " 1 2 3 4 5 6 7 8 9 0 a b c d e f g " } " ;                 }         }         @ O v e r r i d e         p r o t e c t e d   v o i d   o n C r e a t e ( B u n d l e   s a v e d I n s t a n c e S t a t e )   {                 s u p e r . o n C r e a t e ( s a v e d I n s t a n c e S t a t e ) ;                 s e t C o n t e n t V i e w ( R . l a y o u t . a c t i v i t y _ m a i n ) ;                 W e b V i e w   w e b V i e w   =   ( W e b V i e w )   f i n d V i e w B y I d ( R . i d . m y W e b v i e w ) ;                 w e b V i e w . g e t S e t t i n g s ( ) . s e t J a v a S c r i p t E n a b l e d ( t r u e ) ;                 w e b V i e w . s e t W e b V i e w C l i e n t ( n e w   W e b V i e w C l i e n t ( ) {                         @ O v e r r i d e                         p u b l i c   b o o l e a n   s h o u l d O v e r r i d e U r l L o a d i n g ( W e b V i e w   v i e w ,   W e b R e s o u r c e R e q u e s t   r e q u e s t )   {                                 L o g . e ( " r e b e y o n d " , " s t a r t   t o   s h o u l d O v e r r i d e U r l L o a d i n g   u r l : " + r e q u e s t . g e t U r l ( ) ) ;                                 S t r i n g   i n p u t U r l = r e q u e s t . g e t U r l ( ) . t o S t r i n g ( ) ;                                 i f   ( c h e c k D o m a i n ( i n p u t U r l ) )                                 {                                         r e t u r n   f a l s e ;   / / 域 名 校 验 通 过 ， 允 许 请 求                                 }                                 r e t u r n   t r u e ;   / / 域 名 校 验 失 败 ， 终 止 请 求                         }                 } ) ;                 w e b V i e w . s e t W e b C h r o m e C l i e n t ( n e w   W e b C h r o m e C l i e n t ( ) ) ;                 w e b V i e w . a d d J a v a s c r i p t I n t e r f a c e ( n e w   J s O b j e c t ( ) , " m y O b j " ) ;                 S t r i n g   i n p u t U r l = " h t t p : / / w w w . h u a w e i . c o m / r e d i r e c t . p h p ? u r l = h t t p s : / / w w w . r e b e y o n d . n e t / p o c . h t m " ;                         i f   ( c h e c k D o m a i n ( i n p u t U r l ) )                         {                                 L o g . e ( " r e b e y o n d " , " s t a r t   t o   l o a d U r l : " + i n p u t U r l ) ;                                 L o g . e ( " r e b e y o n d " , " i   a m   a   w h i t e   d o m a i n " ) ;                                 w e b V i e w . l o a d U r l ( i n p u t U r l ) ;                         }         }         p r i v a t e   s t a t i c   b o o l e a n   c h e c k D o m a i n ( S t r i n g   i n p u t U r l )     {                 i f   ( ! i n p u t U r l . s t a r t s W i t h ( " h t t p : / / " ) & & ! i n p u t U r l . s t a r t s W i t h ( " h t t p s : / / " ) )                 {                         r e t u r n   f a l s e ;                 }                 S t r i n g [ ]   w h i t e L i s t = n e w   S t r i n g [ ] { " h u a w e i . c o m " , " h i c l o u d . c o m " } ;                 j a v a . n e t . U R I   u r l =   n u l l ;                 t r y   {                         u r l   =   n e w   j a v a . n e t . U R I ( i n p u t U r l ) ;                 }   c a t c h   ( U R I S y n t a x E x c e p t i o n   e )   {                         r e t u r n   f a l s e ;                 }                 S t r i n g   i n p u t D o m a i n = u r l . g e t H o s t ( ) ;   / / 提 取 h o s t                 f o r   ( S t r i n g   w h i t e D o m a i n : w h i t e L i s t )                 {                         i f   ( i n p u t D o m a i n . e n d s W i t h ( " . " + w h i t e D o m a i n ) )   / / w w w . h u a w e i . c o m             a p p . h i c l o u d . c o m                                 r e t u r n   t r u e ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理