关于Android中WebView远程代码执行漏洞浅析

近日，国外安全研究人员Justicz和RafayBaloch共同发现Android中WebView的远程代码执行漏洞。该漏洞影响了Android 4.4至7.1.1版本，安卓系统的电脑端众多 app 等都受到了影响。在恶意攻击者的攻击下，用户耗费手机的 流量就可能被攻击者消耗一空，甚至有可能会因此导致卡机。

本文将从漏洞的产生原因、危害以及如何避免这一漏洞对移动设备造成危害等几个方面进行简单分析，以期使读者进一步加强关于移动设备安全的认识。

导致漏洞产生的因素

从危害程度而言，这一漏洞的影响范围极广，这其中包含的原因是 WebView 向JavaScript暴露了一个名为“addJavascriptInterface”的接口，这个接口允许网页把一些 js 代码注入到WebView的系统里，同时，DexClassLoader也会加载进来，之后会使得这些代码动态执行。

更具体的来说：利用这个接口，在攻击者的配合下，用户访问带有恶意代码的网页时，这些代码会在 WebView 中被执行，此时，就会将攻击者想要的结果反应出来。

产生的后果

通过这一漏洞所带来的的后果不比其它严重漏洞想要轻微。简单来说，因为在 Webview 的放置隔离中，JavaScript 运行在沙箱中，此时驱动 SandBox 的基础因素JS接口强制允许攻击者执行一些不被认为是科学的JS代码的行为。且此漏洞使得攻击者可以在用户不知情的情况下注入一些恶意的程序运行，这样对手机的安全造成了很大的威胁。

避免成为受害者

为了避免成为这一漏洞的受害者， 的办法就是升级 Android 操作系统，并将 WebView 组件升级至 53.0.2785 以上，特别是 Android 6.0 及以上的用户，选装 Google 提供的 WebView 内核可大大提高安全性。

总之，在如今各种高强度攻击接二连三的大环境下，提升自我保护意识、充分了解移动设备的安全问题也一定是必要的。越是了解这些安全漏洞，就越能避免成为攻击者的下一个眼中钉。