黑客可通过 JavaScript 漏洞破解谷歌眼镜

近日，一个存在于谷歌眼镜的安全漏洞被发现，能够让攻击者轻易执行任意代码。事实上，这个漏洞可以追溯到去年下半年安全研究人员在Android 4.1系统中发现的JavaScript API错误。这个功能为“addJavascriptInterface()”，被设计为允许开发者通过有限范围的JavaScript来访问Java代 码，但是由于存在Bug，只需创建一个运行代码的WebView，就能够访问已经损坏的JavaScript功能。

简单地说，便是通过这个漏洞获得最高JavaScript权限。

谷歌方面也曾经承认Android 4.1中的这个漏洞，表示攻击者能够以意想不到的方式来操纵主机应用程序，随意执行Java代码。在开源安全漏洞检测工具Metasploit最近的测试中，发现这个漏洞依然存在于最新的谷歌眼镜XE12软件版本中。

该漏洞对于谷歌眼镜的影响还是非常大的，因为很多Android免费应用程序都要使用WebView来加载HTML内容（如开发者网站、说明及广告），如果攻击者可以通过恶意的JavaScript代码来肆意修改HTML内容，将会对网站运营者及用户造成重大损失。

显然，这是谷歌眼镜目前存在的一个安全隐患，但谷歌方面并未发表声明，我们希望漏洞能够尽快被修补。

来源：androidauthority

文章转载自 开源中国社区 [http://www.oschina.net]