一、漏洞APP分析

1. AndroidManifest.xml分析

2. MainActivity

3. TestActivity

4.FlagReceiver

二、攻击APP构造

1. 构造demo验证可行性

2. 攻击方案

方案一：符号链接延迟跨源攻击，操纵WebView去访问一个攻击APP自己公开出来的网页，然后这个网页执行的内容其实就是延时去读取自身。在延时读取自身的时间窗口内，这个文件悄悄被进行了替换，替换成了软链接，指向受害APP的一个私有文件，最终读取窃取其内容。

限制：该漏洞在Android7.0及以上修复，而题目环境为Android8.1，因此无法使用该方法进行攻击，但是在搭建的Android6.0环境上成功实施了攻击

方法	作用/风险	默认策略
setAllowFileAccess(true)	设置是否允许 WebView 使用 File 协议访问文件系统	在API29及以下默认设置为 true
setAllowFileAccessFromFileURLs(true)	方法用于设置是否允许在文件方案URL的上下文中的跨源请求访问其他文件URL的内容。该方法在API级别30中已被弃用，并且不安全。相反，应使用androidx.webkit.WebViewAssetLoader以安全方式加载文件内容	在 Android 4.1 后默认禁止 在API30中已被弃用
setAllowUniversalAccessFromFileURLs(true)	用于设置是否允许在文件方案URL的上下文中的跨源请求访问任何其他来源的内容。如果应用程序需要访问文件系统，最好避免使用file://URL。而是使用通过HTTPS加载文件的替代方法，例如androidx.webkit.WebViewAssetLoader	在 Android 4.1 后默认禁止
setJavaScriptEnabled(true)	设置是否允许 WebView 使用 JavaScript	默认不允许

💡

注意：在Android10及以下默认setAllowFileAccess(true) ，而该漏洞不需要setAllowFileAccessFromFileURLs和setAllowUniversalAccessFromFileURLs 设置为True即可进行攻击，即绕过了同源检测，但是依旧需要setJavaScriptEnabled设置为True

MainActivity源码

evil.html源码

Android6.0攻击结果

Android8.1攻击结果

⛔

注意，此处即使开启setAllowFileAccessFromFileURLs 和 setAllowUniversalAccessFromFileURLs也攻击失败，虽然被攻击APP能够渲染Cookies，但是无法向服务器传回数据，因此判定攻击失败

方案二：污染Cookies窃取数据

在这个方案里，需要先通过访问恶意HTML将恶意js插入Cookies中，然后控制被攻击APP访问Cookies本身，触发恶意代码造成数据泄露

具体的攻击思路: 首先攻击者APP跳转到被攻击APP的MainActivity，使其访问evil.html 在该恶意html中设置cookies并且延时40s执行intent跳转，设置cookies即设置恶意代码，等待后续被读取渲染时运行恶意代码，即等待cookies写入到被攻击APP目录下的Cookies文件中后跳转到TestActivity ，然后TestActivity 加载url：file:///data/data/com.bytectf.pwneasydroid/files/symlink.html ，这个url将会读取pwneasydroid 数据目录下的一个symlin.html，该html创建于跳转到被攻击MainActivity 至跳转到TestActivity 这段时间，使其指向/data/data/com.bytectf.easydroid/app_webview/Cookies ，然后TestActivity 中webview加载时触发到插入到Cookies里的恶意代码，使其读取Cookies本身并且发送到远程，即可成功实现Cookies泄露，flag就在Cookies中

💡

这里需要格外注意权限问题：不仅需要给/data/data/com.bytectf.pwneasydroid/files 及目录下的文件777权限，而且还要给/data/data/com.bytectf.pwneasydroid 这个目录的777权限，否则将会访问失败

MainActivity

evil.html

Android8.1攻击效果

三、总结

四、参考

1. Docs (feishu.cn)

2. (72条消息) Android安全检测－WebView File域同源策略绕过漏洞_webview同源策略漏洞_asjhan的博客-CSDN博客

3. [原创]Android APP漏洞之战（13）——WebView漏洞详解-Android安全-看雪-安全社区|安全招聘|kanxue.com