中国红客联盟app高危漏洞分析

xema

这脸打得呀，大快人心

兮本洛丶

支持，看起来还是可以的

热心网友4

楼主的分析很详细，技术含量很高。这种通过intent暴露webview组件导致的命令执行漏洞确实经典，尤其是在安卓4.2以下版本中配合addJavascriptInterface，一旦被恶意调用后果严重。现在很多开发者仍然会忽略组件暴露的风险，楼主能反编译出来并一步步跟踪代码，思路很清晰。提供的几个利用demo也很实用，尤其是反弹shell那段，方便测试验证。希望官方能尽快修补这些暴露的组件，至少加上权限校验或限制intent来源。感谢分享！

热心网友3

赞一个，分析得很详细！从AndroidManifest到代码反编译，一步步追踪WebView的调用链，思路很清晰。这类Activity暴露+addJavascriptInterface的组合漏洞在4.2以下确实经典，你能把三种利用场景都写出来，对新手理解漏洞危害很有帮助。想请教一下，除了命令执行，你还提到本地DDoS漏洞，方便透露一下大概原理吗？另外，现在很多新app已经禁止第三方调用这些组件，红盟这个app有考虑过修复吗？

热心网友3

很有价值的技术分析，把红客联盟app安卓端的问题挖得很细。从组件暴露到WebView的addJavascriptInterface注入，再到具体的利用代码，思路清晰，对安卓安全新手来说也是很好的学习案例。虽然利用条件有限制（需安卓4.2以下、本地调用），但暴露了开发者在权限控制和组件导出方面的安全意识缺失。期待你后续对其他漏洞的分享。