WebView漏洞-低调大师

WebView漏洞

2017-11-14 611

WebView的漏洞有多少？

http://jaq.alibaba.com/blog.htm?spm=0.0.0.0.4O9HwS&id=89

Android 4.2以下版本开发时WebView不止是调用了addJavascriptInterface才会有风险，只要用了WebView就会有问题，比如默认加入的searchBoxJavaBridge_对象：

http://blog.sina.com.cn/s/blog_777f9dbb0102v8by.html

http://wolfeye.baidu.com/blog/android-webview/

accessibility和accessibilityTraversal,如果手机系统版本低于（不含）4.4，而且开启了系统辅助功能中的某一项服务就有可能受到此威胁。

http://wolfeye.baidu.com/blog/android-webview-cve-2014-7224/

Android安全开发之WebView中的大坑

http://blog.csdn.net/zhangcanyan/article/details/51930775

安全开发建议

1)建议开发者通过以下方式移除该JavaScript接口：

removeJavascriptInterface("searchBoxJavaBridge_")

removeJavascriptInterface("accessibility")；

removeJavascriptInterface("accessibilityTraversal")

2)出于安全考虑，为了防止Java层的函数被随便调用，Google在4.2版本之后,规定允许被调用的函数必须以@JavascriptInterface进行注解

3)通过WebSettings.setSavePassword(false)关闭密码保存提醒功能

4)通过以下设置，防止越权访问，跨域等安全问题：

setAllowFileAccess(false)

setAllowFileAccessFromFileURLs(false)

setAllowUniversalAccessFromFileURLs(false)

本文转自fatshi51CTO博客，原文链接：http://blog.51cto.com/duallay/1876506 ，如需转载请自行联系原作者

微信关注我们

原文链接：https://yq.aliyun.com/articles/519561

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

【Android游戏开发之二】剖析游戏开发用view还是surfaceView ？！

在Android游戏当中充当主要的除了控制类外就是显示类，在J2ME中我们用Display和Canvas来实现这些，而Google Android中涉及到显示的为view类，Android游戏开发中比较重要和复杂的就是显示和游戏逻辑的处理。这里我们说下android.view.View和android.view.SurfaceView。SurfaceView是从View基类中派生出来的显示类，直接子类有GLSurfaceView和VideoView，可以看出GL和视频播放以及Camera摄像头一般均使用SurfaceView，到底有哪些优势呢? SurfaceView可以控制表面的格式，比如大小，显示在屏幕中的位置，最关键是的提供了SurfaceHolder类，使用getHolder方法获取，相关的有Canvas lockCanvas() Canvas lockCanvas(Rect dirty) 、void removeCallback(SurfaceHolder.Callback callback)、void unlockCanvasAndPost(Canvas canvas)...

2017-11-15

486

初学objectice-C的朋友都有一个困惑，总觉得对objective-C的内存管理机制琢磨不透，程序经常内存泄漏或莫名其妙的崩溃。我在这里总结了自己对objective-C内存管理机制的研究成果和经验，写了这么一个由浅入深的教程。希望对大家有所帮助，也欢迎大家一起探讨。此文涉及的内存管理是针对于继承于NSObject的Class。一基本原理 Objective-C的内存管理机制与.Net/Java那种全自动的垃圾回收机制是不同的，它本质上还是C语言中的手动管理方式，只不过稍微加了一些自动方法。 1 Objective-C的对象生成于堆之上，生成之后，需要一个指针来指向它。 ClassA *obj1 = [[ClassA alloc] init]; 2 Objective-C的对象在使用完成之后不会自动销毁，需要执行dealloc来释放空间(销毁)，否则内存泄露。 [obj1 dealloc]; 这带来了一个问题。下面代码中obj2是否需要调用dealloc? ClassA *obj1 = [[ClassA alloc] init];ClassA *obj2 = obj1;[o...

2017-11-15

454

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。

WebView漏洞

【Android游戏开发之二】剖析游戏开发用view还是surfaceView ？！

iPhone/Mac Objective-C内存管理原理

相关文章

发表评论

资源下载

优质分享App

Mario

腾讯云软件源

Sublime Text

欢迎您！