Vulkey_Chen's Blog
·
Exploring WebView Vulnerabilities from a Black Box Perspective
内容提要
本文探讨了移动端WebView组件的漏洞挖掘，采用黑盒视角，分析二维码扫码和URL Scheme跳转的攻击方式，指出攻击者可借此获取用户凭证，并强调JSBridge的安全隐患及WebView在移动和PC端的安全风险。
关键要点
-
本文探讨了移动端WebView组件的漏洞挖掘，采用黑盒视角。
-
WebView组件用于在应用程序中嵌入和展示Web内容，简化跨平台应用开发。
-
WebView组件的漏洞入口主要有二维码扫码和URL Scheme跳转。
-
二维码扫码功能通常位于APP界面的显著位置，用户可通过扫描二维码调用WebView。
-
URL Scheme是一种自定义协议格式，允许APP在操作系统层面进行跳转。
-
通过WebView访问可以携带用户凭证，存在安全隐患。
-
利用二维码扫描和URL Scheme跳转可以获取用户凭证。
-
JSBridge技术允许JavaScript与Native代码通信，但未对调用来源进行校验存在风险。
-
通过抓包和正则匹配可以获取APP的URL Scheme信息。
-
总结指出WebView组件不仅在移动端存在，PC客户端同样面临攻击风险。
延伸解读
WebView的广泛应用与安全隐患
WebView组件在现代应用中普遍存在，尤其是在电商和社交类APP中。用户通常对其存在毫无察觉，这使得攻击者可以利用二维码和URL Scheme等方式轻易获取用户凭证。因此，开发者在设计应用时需重视WebView的安全性，确保用户数据不被泄露。
JSBridge的风险与防范
JSBridge技术虽然提升了Web与Native的交互能力，但其安全隐患不容忽视。未对调用来源进行校验的JSBridge接口，可能被恶意网页利用。开发者应考虑对JSBridge的调用进行严格的来源验证，以防止潜在的安全漏洞。
二维码与URL Scheme的攻击方式
二维码扫码和URL Scheme跳转是WebView漏洞的主要攻击入口。攻击者可以通过这些方式绕过应用的安全限制，获取用户凭证。用户在使用扫码功能时应保持警惕，避免扫描不明来源的二维码，以降低被攻击的风险。
延伸问答
WebView组件的主要功能是什么？
WebView组件用于在应用程序中嵌入和展示Web内容，简化跨平台应用开发。
二维码扫码和URL Scheme跳转如何成为WebView的漏洞入口？
二维码扫码和URL Scheme跳转可以直接调用WebView加载特定网页，从而获取用户凭证。
JSBridge技术存在哪些安全隐患？
JSBridge未对调用来源进行校验，导致任意网页或第三方脚本可调用注册的Native接口，存在安全风险。
如何通过抓包获取APP的URL Scheme信息？
可以通过抓包和正则匹配的方式获取APP的URL Scheme信息，分析WebView访问的URL。
WebView组件在PC端是否也存在安全风险？
是的，随着类CEF和类Electron框架的出现，PC客户端同样面临WebView组件的攻击风险。
WebView组件如何携带用户凭证？
WebView组件在访问时会携带当前APP的登录凭证，因其设计架构结合了Native UI与WebView。
