搜索

[27712] 2019-11-08_从RainbowBridge看Js与Java交互中的安全漏洞

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-19
2019-11-08_从RainbowBridge看Js与Java交互中的安全漏洞 从 R a i n b o w B r i d g e 看 J s 与 J a v a 交 互 中 的 安 全 漏 洞 原 创   Z e r y   O P P O 安 全 应 急 响 应 中 心   2 0 1 9 - 1 1 - 0 8 收 录 于 话 题 # 不 断 学 习   不 断 成 长   , 1 8 # 子 午 实 验 室 专 辑   , 1 0 以 上 文 章 由 来 自 O P P O 子 午 互 联 网 安 全 实 验 室 【 Z e r y 】 有 赏 投 稿 ， 也 欢 迎 广 大 朋 友 继 续 投 稿 ， 详 情 可 点 击 O S R C 重 金 征 集 文 稿 ！ ！ ！ 了 解 ~ ~ 温 馨 提 示 ： 建 议 广 大 作 者 朋 友 们 用 m a r k d o w n 格 式 投 稿 ， 特 别 是 包 含 大 量 代 码 的 文 章 前 言 H y b r i d 混 合 开 发 模 式 正 在 被 越 来 越 多 的 A P P 所 使 用 ， 这 种 模 式 中 一 个 绕 不 开 的 话 题 就 是 J s 如 何 与 J a v a 进 行 交 互 ， 而 早 在 A n d r o i d   4 . 2 之 前 的 版 本 中 ， 由 w e b v i e w 提 供 J s 与 j a v a 交 互 的 a d d j a v a s c r i p t I n t e r f a c e 接 口 就 出 现 了 严 重 的 安 全 漏 洞 ， 虽 然 此 后 A n d r o i d 限 制 了 只 有 添 加 @ J a v a s c r i p t I n t e r f a c e 的 方 法 才 可 以 被 j s 调 用 ， 但 这 种 交 互 方 式 导 致 了 很 多 兼 容 性 问 题 ， 这 也 让 很 多 开 发 人 员 脑 洞 大 开 另 辟 蹊 径 开 发 出 了 其 它 交 互 方 式 ， 其 中 就 包 括 本 文 的 主 角 ： R a i n b o w B r i d g e R a i n b o w B r i d g e 什 么 是 R a i n b o w B r i d g e ？ R a i n b o w B r i d g e 其 实 是 J s B r i d g e 中 的 一 种 。 我 们 将 从 一 个 d e m o 开 始 ， 向 大 家 展 示 R a i n b o w B r i d g e 的 整 个 流 程 。 首 先 这 个 A P P 会 在 w e b v i e w 中 加 载 一 个 h t m l ， 其 中 有 如 下 代 码 ： 我 们 看 到 这 段 J s 调 用 了 R a i n b o w B r i d g e . c a l l M e t h o d ， 并 在 回 调 中 取 得 了 返 回 的 t o k e n ， 而 这 个 T o k e n 是 由 J a v a 层 维 护 的 ， 那 么 就 说 明 这 里 实 际 上 是 J s 调 用 J a v a 方 法 并 取 得 调 用 结 果 。 我 们 继 续 跟 进 R a i n b o w B r i d g e . j s 中 ， 看 一 下 c a l l M e t h o d 是 怎 么 实 现 的 ： 在 c a l l M e t h o d 中 调 用 P r i v a t e M e t h o d . c a l l N a t i v e M e t h o d ( c l a z z ,   p o r t ,   m e t h o d ,   p a r a m ) ， 而 c a l l N a t i v e M e t h o d 如 下 ： < b u t t o n   o n c l i c k   =   " R a i n b o w B r i d g e . c a l l M e t h o d ( ' J s I n v o k e J a v a S c o p e ' ,   ' g e t T o k e n ' , { } , f u n c t i o n ( m s g ) { a l e r t ( J S O N . s t r i n g i f y ( m s g . d a t a . t o k e n ) ) } ) ; " > 获 取 已 登 录 的 T o k e n < / b u t t o n >
它 将 传 入 c a l l N a t i v e M e t h o d 的 参 数 c l a z z 、 p o r t 、 m e t h o d 、 j s o n S t r 拼 接 成 一 个 u r i ， 其 中 J S _ B R I D G E _ P R O T O C O L _ S C H E M A 为 " r a i n b o w " ， 所 以 按 照 传 入 的 参 数 ， 这 个 u r i 应 该 为 :   " r a i n b o w : / /   J s I n v o k e J a v a S c o p e : < p o r t > / g e t T o k e n ? " 紧 接 着 将 这 个 u r i 作 为 m e s s a g e 调 用 w i n . p r o m p t ( ) 到 这 里 ， 熟 悉 A n d r o i d   W e b V i e w 的 同 学 可 能 已 经 猜 到 接 下 来 的 流 程 了 ， 在 w i n . p r o m p t ( ) 执 行 后 ， A n d r o i d 中 会 调 用 对 应 的 W e b C h r o m e C l i e n t 类 的 o n J s P r o m p t ( ) 方 法 ， 这 时 流 程 就 从 J s 层 走 到 了 J a v a 层 。 那 么 o n J s P r o m p t ( ) 中 又 进 行 了 怎 样 的 操 作 呢 ， 首 先 我 们 在 o n C r e a t e ( ) 中 找 到 当 前 对 应 的 W e b C h r o m e C l i e n t 类 为 J S B r i d g e W e b C h r o m e C l i e n t ( ) : J S B r i d g e W e b C h r o m e C l i e n t 类 中 重 写 了 o n J s P r o m p t ( ) 方 法 ， 其 中 调 用 了 J s C a l l J a v a . n e w I n s t a n c e ( ) . c a l l ( ) 方 法 ， 并 传 入 了 m e s s a g e   a r g 3 ： 在 J s C a l l J a v a . n e w I n s t a n c e ( ) . c a l l ( ) 中 依 次 调 用 J s C a l l J a v a 类 的 t h i s .   p a r s e M e s s a g e ( S t r i n g ) 和 t h i s .   i n v o k e N a t i v e M e t h o d ( W e b V i e w ) 在 t h i s . p a r s e M e s s a g e ( S t r i n g ) 中 ， 从 J s 传 入 的 m e s s a g e 作 为 u r i 被 解 析 ， 并 对 t h i s .   m C l a s s N a m e 、 t h i s .   m M e t h o d N a m e 、 t h i s .   m P o r t 、 t h i s .   m P a r a m s 进 行 赋 值 ：
t h i s . p a r s e M e s s a g e ( S t r i n g ) 执 行 结 束 后 继 续 执 行 t h i s . i n v o k e N a t i v e M e t h o d ( W e b V i e w ) ： 其 中 首 先 调 用 N a t i v e M e t h o d I n j e c t H e l p e r . f i n d M e t h o d ( ) 获 取 了 类 名 为 t h i s . m C l a s s N a m e 中 方 法 名 为 t h i s . m M e t h o d N a m e 的 方 法 ， 接 下 来 判 断 方 法 是 否 存 在 ， 若 存 在 就 将 t h i s . m P a r a m s 和 一 个 J s C a l l b a c k 对 象 一 起 构 造 一 个 O b j e c t ， J s C a l l b a c k 对 象 这 里 暂 且 不 表 ， 最 后 使 用 M e t h o d . i n v o k e 调 用 这 个 方 法 ： 至 此 ， 我 们 已 经 分 析 出 了 一 次 J s 调 用 J a v a 的 流 程 ， 那 么 被 调 用 的 J a v a 状 态 、 返 回 值 该 怎 么 回 传 到 J s 呢 ？ 怎 么 触 发 J s 回 调 呢 ？ 我 们 接 着 往 下 看 ， 既 然 这 个 例 子 s 是 J s 调 用 J a v a 的 J s I n v o k e J a v a S c o p e 类 的 g e t T o k e n ( ) 方 法 ， 那 么 我 们 找 到 这 个 方 法 看 下 ：
可 以 看 到 其 中 将 获 取 的 t o k e n 和 i m s i 构 造 成 一 个 j s o n 对 象 ， 接 着 调 用 J s C a l l b a c k . i n v o k e J s C a l l b a c k ( ) , 在 J s C a l l b a c k . i n v o k e J s C a l l b a c k   ( ) 中 又 调 用 了 c a l l ( ) : 终 于 来 到 最 后 处 理 的 c a l l ( ) 方 法 里 ：
可 以 看 出 来 这 里 c a l l ( ) 方 法 就 是 将 J s 所 调 用 的 J a v a 方 法 ( 本 例 中 为 g e t T o k e n ) 的 返 回 值 、 状 态 等 信 息 拼 接 称 为 一 个 J s 语 句 并 用 l o a d U r l 执 行 ， 这 个 完 整 的 J s 语 句 为 ： 其 中 a r g 1 0 为 g e t T o k e n ( ) 中 构 造 的 j s o n 对 象 ， 作 为 g e t T o k e n 的 返 回 值 。 o k ， J a v a 所 有 部 分 也 执 行 完 了 ， 当 l o a d U r l 执 行 J s 中 的 R a i n b o w B r i d g e . o n C o m p l e t e 时 ， 流 程 回 到 J s 中 ： 调 用 了 ： 最 终 将 返 回 结 果 传 入 一 开 始 R a i n b o w B r i d g e . c a l l M e t h o d 注 册 的 回 调 中 执 行 。 整 个 J s 调 用 J a v a 的 流 程 到 此 结 束 。 我 们 画 一 张 图 来 展 示 一 下 从 c a l l M e t h o d ( ) 到 c a l l B a c k ( ) 的 完 整 流 程 ： " j a v a s c r i p t : R a i n b o w B r i d g e . o n C o m p l e t e ( < p o r t > , { s t a t u s :   { c o d e :   0 , m s g :   ' ' } , d a t a :   { < a r g 1 0 > } } ) ; "
看 完 上 面 是 不 是 有 点 晕 ？ 没 关 系 我 们 用 一 句 话 总 结 一 下 ： R a i n b o w B r i d g e 重 写 了 W e b C h r o m e C l i e n t 类 中 的 回 调 函 数 o n J s P r o m p t ( ) ， 当 J s 调 用 J a v a 方 法 时 ， 把 目 标 J a v a 类 名 ， 方 法 名 ， 参 数 传 入 w i n d o w . p r o m p t ( ) ， J a v a 层 的 回 调 函 数 o n J s P r o m p t ( ) 被 触 发 ， 它 将 调 用 i n v o k e 去 执 行 接 收 到 的 目 标 方 法 ， 执 行 完 成 后 使 用 l o a d U r l ( ) 将 结 果 返 回 给 J s 层 。 简 化 一 下 就 是 这 样 的 ：
安 全 性 从 上 面 可 以 看 出 ， J s 层 向 J a v a 层 传 入 类 名 、 方 法 名 和 参 数 ， 就 可 以 调 用 这 个 方 法 。 那 么 J s 是 不 是 可 以 调 用 J a v a 层 的 任 意 方 法 呢 ？ 要 回 答 这 个 问 题 ， 首 先 要 搞 清 楚 J a v a 是 在 哪 里 拿 到 需 要 调 用 的 方 法 的 ， 也 就 分 析 是 上 述 f i n d M e t h o d ( ) 的 实 现 。 我 们 找 到 f i n d M e t h o d ( ) 的 代 码 ， 看 起 来 是 在 t h i s . m A r r a y M a p 这 个 M a p 中 查 找 类 名 和 方 法 名 ：
而 t h i s . m A r r a y M a p 在 p u t M e t h o d ( ) 方 法 中 被 赋 值 ： 我 们 看 下 这 个 p u t M e t h o d ( ) 方 法 ， 它 其 实 是 将 之 前 p a r s e M e s s a g e ( ) 解 析 的 类 名 和 类 中 的 方 法 名 保 存 入 t h i s . m A r r a y M a p ， 当 然 ， 我 们 看 到 在 对 t h i s . m A r r a y M a p 进 行 写 入 之 前 ， 会 先 对 该 M e t h o d 进 行 两 个 判 断 ：
这 两 个 判 断 就 是 ： a . 该 方 法 必 须 被 P u b l i c   S t a t i c 修 饰 b . 该 方 法 的 参 数 必 须 依 次 为 W e b V i e w ,   J S O N O b j e c t ,   J s C a l l B a c k 这 三 个 类 型 。 只 有 通 过 这 两 个 判 断 的 方 法 ， 才 能 被 放 入 M a p 中 供 J s 调 用 调 用 。 找 到 方 法 的 来 源 后 ， 我 们 还 得 继 续 往 回 看 p u t M e t h o d ( ) 的 交 叉 引 用 ， 找 到 这 个 类 的 来 源 。 我 们 可 以 看 到 p u t M e t h o d ( ) 在 i n j e c t ( ) 方 法 中 被 调 用 ， 传 入 p u t M e t h o d ( ) 的 类 来 自 于 t h i s . m I n j e c t C l a s s e s ： 而 这 个 t h i s . m I n j e c t C l a s s e s 在 c l a z z ( ) 中 被 赋 值 ： 找 到 c l a z z ( ) 的 交 叉 引 用 ， 就 在 o n C r e a t e ( ) 初 始 化 w e b v i e w 的 地 方 ： 那 么 这 个 问 题 就 清 楚 了 ， 总 结 一 下 ， J s 只 能 调 用 传 入 J s B r i d g e . c l a z z 的 类 中 的 方 法 ， 而 不 能 调 用 任 意 类 的 任 意 方 法 。 而 且 被 调 用 的 方 法 必 须 是 P u b l i c   S t a t i c ， 同 时 有 且 仅 有 W e b V i e w ,   J S O N O b j e c t , J s C a l l B a c k 这 三 个 类 型 的 参 数 。 虽 然 R a i n b o w B r i d g e 对 J s 可 调 用 的 J a v a 类 和 方 法 进 行 了 限 制 ， J s 无 法 调 用 任 意 类 和 方 法 ， 但 在 一 些 情 况 下 由 于 业 务 需 要 ， J a v a 还 是 会 给 J s 开 放 功 能 很 强 大 的 方 法 ， 这 种 情 况 下 ， 一 旦 w e b v i e w 加 载 恶 意 J s 就 可 以 调 用 到 这 些 很 危 险 的 方 法 ， 因 此 为 了 限 制 能 调 用 J a v a 方 法 的 J s ， R a i n b o w B r i d g e 可 以 在 J s 调 用 J a v a 方 法 时 对 调 用 的 J s 进 行 白 名 单 检 查 ：
这 里 的 d e m o 在 o n J s P r o m p t ( ) 中 添 加 了 一 个 c h e c k W h i t e L i s t ( ) 方 法 ， 对 调 用 的 u r l 进 行 检 查 ， 检 查 通 过 之 后 才 能 调 用 J a v a 方 法 。 漏 洞 由 上 一 节 可 知 ， R a i n b o w B r i d g e 对 J s 调 用 的 J a v a 方 法 做 了 限 制 ， 同 时 也 可 以 增 加 对 调 用 的 J s 进 行 白 名 单 检 查 。 但 是 ， 由 于 R a i n b o w B r i d g e 框 架 未 提 供 统 一 的 白 名 单 检 查 ， 留 给 程 序 员 自 由 发 挥 的 空 间 很 大 ， 这 里 面 就 有 出 现 安 全 漏 洞 的 可 能 。 我 们 仍 以 上 面 这 个 d e m o 为 例 对 这 类 漏 洞 进 行 完 整 的 展 示 。 首 先 要 能 让 w e b v i e w 加 载 一 个 恶 意 的 h t m l ， 这 样 我 们 才 能 用 这 个 h t m l 中 的 恶 意 J s 去 调 用 应 用 J a v a 层 的 重 要 方 法 。 在 本 例 中 ， M a i n A c t i v i t y 存 在 一 个 s c h e m e 入 口 ： 同 时 在 M a i n A c t i v i t y 中 会 获 取 这 个 s c h e m e 的 参 数 ” u r l ” 作 为 u r l 在 w e b v i e w 中 打 开 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理