Activity 组件暴露检测

漏洞描述：
导出的 Activity 组件可以被第三方 APP 任意调用，导致敏感信息泄露，并可能受到绕过认证、恶意代码注入等攻击风险。

修复建议：
如果应用的Activity组件不必要导出，或者组件配置了intent filter标签，建议显式设置组件的 android:exported 属性为false；如果组件必须要提供给外部应用使用，建议对组件进行权限控制。

修复方案：
1、修改android:exported属性
true：允许被启动；
false：不允许被启动，这个Activity只会被当前Application或者拥有同样user ID的Application的组件调用

Activity中是否有intent filter标签
没有intent filter - 默认值为false
没有任何的filter意味着这个Activity只有在详细的描述了它的class name后才能被唤醒，这意味着这个Activity只能在应用内部使用，因为其它应用程序并不知道这个class的存在，所以在这种情况下，它的默认值是false

 有intent filter - 默认值为true
 如果Activity里面至少有一个filter的话，意味着这个Activity可以被其它应用从外部唤起，这个时候它的默认值是true

2、权限控制（如果设置权限控制，就认为不存在安全风险）
不只有exported这个属性可以指定Activity是否暴露给其它应用，也可以使用permission来限制外部实体唤醒当前Activity
android:permission 指定启动该Activity所需要的权限名称
如果人家设置了android:permission=”xxx.xxx.xx”那么，你就必须在你的application的Manifest中设置 usepermission xxx.xxx.xx才能访问人家的东西

例如：
有两个Android工程Demo1,与Demo2. Demo1工程有两个Activity一个是主Activity,另一个是ViewActivity,这个Activity我们给自定义了android.test.action.VIEW的action以及com.test.permission.VIEW的permission。

另一个Demo2的主Activity去调用Demo1里的ViewActivity
在AndroidMainfest.xml中定义action与permission,代码如下:

<?xml version="1.0" encoding="utf-8"?>
<manifest xmlns:android="http://schemas.android.com/apk/res/android"
    package="com.test.demo1">

    <!--自定义permission-->
    <permission
        android:name="com.test.permission.VIEW"
        android:protectionLevel="normal" />
    <application
        android:allowBackup="true"
        android:icon="@mipmap/ic_launcher"
        android:label="@string/app_name"
        android:roundIcon="@mipmap/ic_launcher_round"
        android:supportsRtl="true"
        android:theme="@style/Theme.Demo1">
        <activity
            android:name=".ViewActivity"
            android:label="自定义action与permission"
            android:permission="com.test.permission.VIEW">
            <intent-filter>
                <!--自定义action-->
                <action android:name="android.test.action.VIEW" />
                <category android:name="android.intent.category.DEFAULT" />
            </intent-filter>

        </activity>
        <activity android:name=".MainActivity">
            <intent-filter>
                <action android:name="android.intent.action.MAIN" />

                <category android:name="android.intent.category.LAUNCHER" />
            </intent-filter>
        </activity>
    </application>
    <!--同一个android工程访问ViewActivity也要申请权限-->
    <uses-permission android:name="com.test.permission.VIEW" />
</manifest>

在demo1的MainActivity.java中设置点击去跳转到ViewActivity,也需要申请权限（manifest里面配置uses-permission）

public class MainActivity extends AppCompatActivity {

    @Override
    protected void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        setContentView(R.layout.activity_main);
    }
    public void onViewClick(View view) {
        switch (view.getId()) {
            case R.id.startViewActivity:
                Intent mIntent = new Intent();
                //自定义action
                mIntent.setAction("android.test.action.VIEW");
                startActivity(mIntent);
                break;
            default:
                break;
        }
    }
}

上面是同一个Android工程里访问ViewActivity的情形，下面我们新建一个Demo2的android工程，去调用ViewActivity.
Demo2 MainActivity.java代码如下:

public class MainActivity extends AppCompatActivity {

    @Override
    protected void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        setContentView(R.layout.activity_main);
    }

    public void onViewClick(View view) {
        switch (view.getId()) {
            case R.id.tvStartDemo1ViewActivity:
                //跳转demo1的ViewActivity，需要在manifest声明权限
                Intent mIntent = new Intent();
                //自定义action
                mIntent.setAction("android.test.action.VIEW");
                startActivity(mIntent);
                break;
            default:
                break;
        }
    }
}

在Demo2工程里的AndroidMainifest.xml中申请权限，不加权限程序会报错,代码如下:

<?xml version="1.0" encoding="utf-8"?>
<manifest xmlns:android="http://schemas.android.com/apk/res/android"
    package="com.test.demo2">
    //demo1的权限
    <uses-permission android:name="com.test.permission.VIEW"/>
    <application
        android:allowBackup="true"
        android:icon="@mipmap/ic_launcher"
        android:label="@string/app_name"
        android:roundIcon="@mipmap/ic_launcher_round"
        android:supportsRtl="true"
        android:theme="@style/Theme.Demo2">
        <activity android:name=".MainActivity">
            <intent-filter>
                <action android:name="android.intent.action.MAIN" />

                <category android:name="android.intent.category.LAUNCHER" />
            </intent-filter>
        </activity>
    </application>

</manifest>

这样app B 给app A 发送消息，A就可以收到了，若未在app B的menifest文件中声明使用相应的权限，app B发送的消息，A是收不到的。

另外，也可在app B 的menifest文件中声明权限时，添加android:protectionLevel=“signature”,指定app B只能接收到使用同一证书签名的app 发送的消息。

Intent 隐式调用漏洞检测

漏洞描述：
隐式 Intent 没有明确指明哪些接收方有权限接收，恶意程序指定 action 标识后，可以获取 Intent 内容，导致数据泄露、Intent 劫持、仿冒、钓鱼应用等风险。

修复建议：
使用 Intent.setPackage、Intent.setComponent、Intent.setClassName、Intent.setClass、new Intent(context, class) 中任一种方法明确指定目标接收方，显式调用 Intent 。

修复方案：
1、Broadcast发送广播漏洞修复
1）如果确定只是应用内部Receiver接受，则通过LocalBroadcastManager.sendBroadcast(intent)发送;

发送广播
Intent intent = new Intent();
intent.setAction(TestBroadcastReceiver.TEST_RECEIVER_ACTION);
 intent.putExtra("content", "这是广播");
LocalBroadcastManager.getInstance(ViewActivity.this).sendBroadcast(intent);

广播接收注册

    TestBroadcastReceiver receiver = new TestBroadcastReceiver();
    IntentFilter filter = new IntentFilter(TestBroadcastReceiver.TEST_RECEIVER_ACTION);
    LocalBroadcastManager.getInstance(MainActivity.this).registerReceiver(receiver, filter);

2）如果不是应用内接受，则使用显示意图指定广播接收器，后者通过setPackage指定包名

//广播发送
Intent intent = new Intent();
intent.setPackage("com.test.demo1");
intent.setAction(TestBroadcastReceiver.TEST_RECEIVER_ACTION);
intent.putExtra("content", "这是广播");
sendBroadcast(intent);
//广播接收注册
receiver = new TestBroadcastReceiver();
IntentFilter filter = new IntentFilter(TestBroadcastReceiver.TEST_RECEIVER_ACTION);
registerReceiver(receiver, filter);

3）如果无法指定显示指定，则在发送广播时，增加权限限制，规定接受该广播所需要的权限。(
同上面Activity组件暴露设置权限方案)

4）可以使用EventBus替换

2、跳转系统应用设置或者通知设置
1）跳转系统设置

            val intent = Intent()
            intent.addFlags(Intent.FLAG_ACTIVITY_NEW_TASK)
            //设置包名
            intent.setPackage("com.android.settings")
            intent.action = "android.settings.APPLICATION_DETAILS_SETTINGS"
            intent.data = (Uri.fromParts("package", packageName, null))
            startActivityForResult(intent, 0)

2）跳转到通知设置（只针对5.0以上系统，如果要适配5.0以下，5.0以下直接跳设置页面）

            val intent = Intent()
            if (Build.VERSION.SDK_INT >= Build.VERSION_CODES.O) {
                intent.action = Settings.ACTION_APP_NOTIFICATION_SETTINGS
                intent.setPackage("com.android.settings")
                //这种方案适用于 API 26, 即8.0（含8.0）以上可以用
                //这种方案适用于 API 26, 即8.0（含8.0）以上可以用
                intent.putExtra(Settings.EXTRA_APP_PACKAGE, packageName)
                intent.putExtra(Settings.EXTRA_CHANNEL_ID, applicationInfo.uid)
                startActivityForResult(
                    intent,
                    0
                )
            } else {
                intent.action = Settings.ACTION_APP_NOTIFICATION_SETTINGS
                intent.setPackage("com.android.settings")
                intent.putExtra("app_package", packageName)
                intent.putExtra("app_uid", applicationInfo.uid)
                startActivityForResult(
                    intent,
                    0
                )
            }

WebView 系统隐藏接口漏洞检测

漏洞描述：
WebView 组件包含3个隐藏的系统接口，恶意程序可以利用它们实现远程代码执行。

修复建议：
使用 WebView.removeJavascriptInterface 删除 searchBoxJavaBridge_、accessibility、accessibilityTraversal 这三个隐藏接口。

修复方案：
1、在webview初始化进行设置

    private static void removeJsInterface(WebView webView) {
        webView.removeJavascriptInterface("searchBoxJavaBridge_");
        webView.removeJavascriptInterface("accessibility");
        webView.removeJavascriptInterface("accessibilityTraversal");
    }

2、通过Aspectj进行全局修复

@Around("call(* android.webkit.WebView.getSettings(..))")
    public Object fixWebViewBug(ProceedingJoinPoint joinPoint) throws Throwable {
        try {
            Object object = joinPoint.getTarget();
            WebView webView = (WebView) object;

            //移除隐藏接口
            webView.removeJavascriptInterface("searchBoxJavaBridge_");
            webView.removeJavascriptInterface("accessibility");
            webView.removeJavascriptInterface("accessibilityTraversal");
            return settings;
        } catch (Exception e) {
            e.printStackTrace();
        }
        return joinPoint.proceed();
    }

WebView 明文存储密码漏洞检测

漏洞描述：
在使用 WebView 的过程中忽略了 WebSettings.setSavePassword 或调用了 WebSettings.setSavePassword(true)，当用户选择保存在 WebView 中输入的用户名和密码，则会被明文保存到应用数据目录的databases/webview.db中。如果手机被root就可以获取明文保存的密码，造成用户的个人敏感数据泄露。

修复建议：
使用WebView.getSettings().setSavePassword(false)来禁止保存密码。

修复方案：
1）在webview初始化进行设置

WebView.getSettings().setSavePassword(false)

2）通过Aspectj全局修复

@Around("call(* android.webkit.WebView.getSettings(..))")
    public Object fixWebViewBug(ProceedingJoinPoint joinPoint) throws Throwable {
        try {
            Object object = joinPoint.getTarget();
            WebView webView = (WebView) object;
            //禁用保存密码
            WebSettings settings = (WebSettings) joinPoint.proceed();
            settings.setSavePassword(false);
            return settings;
        } catch (Exception e) {
            e.printStackTrace();
        }
        return joinPoint.proceed();
    }

ZIP 文件目录遍历漏洞检测

漏洞描述：
解压 ZIP 文件，没有对上级目录字符串进行过滤校验，可能导致被解压的文件发生目录跳转，解压到其他目录，并且覆盖相应的文件，最终导致任意代码执行。

修复建议：
解压 ZIP 文件时，判断文件名是否有 ../ 特殊字符；对重要的 ZIP 压缩
包文件进行校验，校验通过才进行解压。

修复方案：
解压缩ZIP格式文件时，注意验证其来源和完整性，并禁止解压目录遍历，例如：

static final int BUFFER = 512;
    static final int TOOBIG = 0x6400000; // upper limit of filesize, 100MB
    static final int TOOMANY = 1024; // upper limit of entries

    private String validateFilename(String filename, String intendedDir) {
         File f = new File(filename);
         String canonicalPath = f.getCanonicalPath();
         File iD = new File(intendedDir);
         String canonicalID = iD.getCanonicalPath();
         if (canonicalPath.startsWith(canonicalID)) {
         return canonicalPath;
         } else {
         throw new IllegalStateException("File is outside extraction target
        directory.");
         }
    }   

参考
Android 应用常见漏洞以及修复方案
[Android开发常见安全漏洞总结]
(https://blog.csdn.net/cufelsd/article/details/89484324?spm=1001.2101.3001.6650.17&utm_medium=distribute.pc_relevant.none-task-blog-2%7Edefault%7EBlogCommendFromBaidu%7Edefault-17.no_search_link&depth_1-utm_source=distribute.pc_relevant.none-task-blog-2%7Edefault%7EBlogCommendFromBaidu%7Edefault-17.no_search_link)