惊现首个安卓高危漏洞 大量应用成为黑客管道

近期国内爆出的安卓WebView安全漏洞会导致大量应用成为黑客管道。漏洞危及超过90%的安卓手机，当用户通过存在漏洞的APP打开挂马网页后，可被黑客大规模利用，包括远程操控手机窃取隐私、扣费等。

上网快鸟云安全团队第一时间进行分析，该漏洞的原理是在Android的SDK中封装了webView控件，该控件可以和使用它的应用程序结合的更加紧密，在页面内允许 JavaScript 调用 Java 代码。这个特性带来便捷的同时也具有很大的潜在风险。因为 Java 代码本身可以调用系统本身的很多功能，例如读写文件，拨打电话、发短信扣费等，经过精心构造，甚至可以 root 手机，安装恶意程序。系统在设计时，对可以调用的 Java 代码做了一定的限制，但是这个限制在 4.2 之前的系统上不严密，会导致限制可以被绕过，形同虚设。出于安全考虑，为了防止Java层的函数被随便调用，Google在4.2版本之后，规定允许被调用的函数必须以JavascriptInterface进行注解，所以如果某应用依赖的API Level为17或者以上，就不会受该问题的影响（注：Android 4.2中API Level小于17的应用也会受影响）。国内大量的移动开发者都错误的调用了webView控件接口，导致漏洞攻击大规模爆发。

针对此次的安卓WebView安全漏洞，上网快鸟紧急与安全宝联合开发，推出防护方案，上网快鸟用户无需升级即可拦截该漏洞攻击，在享受流量压缩服务的同时得到实时防护。对于移动应用开发者，将自己的网站加入安全宝即可防御此类挂马。上网快鸟率先做出响应，体现了云服务的技术优势。安装了上网快鸟的用户，网络访问请求会经过快鸟云服务器进行综合处理，其中云压缩服务通过压缩技术为用户节省流量；云加速服务能够加速2G/3G网速；云安全服务通过云端流量过滤实时确保手机安全。

在各应用厂商修复该问题期间，上网快鸟建议未安装上网快鸟的用户暂时使用系统自带的浏览器访问网页，并且不要访问社交应用中陌生人发来的链接。

上网快鸟http://www.quickbird.com