(爱加密系列教程二十三)伪加密+设备管理器不可删+webview漏洞

最新推荐文章于 2021-05-07 14:50:08 发布

原创

最新推荐文章于 2021-05-07 14:50:08 发布 · 918 阅读

0 ·

CC 4.0 BY-SA版权

这篇教程探讨了两种Android安全措施：伪加密技术，包括防止apk被打开和文件被破坏，以及设备管理器的不可删除应用。通过申请设备管理器权限，使应用变得难以卸载。同时，文章还涉及了WebView漏洞，讲解如何利用JavaScript接口调用SmsManager发送短信，提醒用户注意此类潜在的安全风险。

伪加密1：apk打开需要密码

成因：修改zip的头,把文件的加密标志设置为ture,还原就把加密标志设置为false.利用了Android处理zip文件不判断头里的加密信息,其他压缩软件,java默认实现的zip api都有检测zip头中的加密信息

伪加密2：apk压缩文件被破坏

成因：APK在PC上面可以看作一个压缩文件，在Android系统里面它就是一个手机系统软件文件。Android系统对APK的识别是从标志头到标志尾，其他多余数据都会无视。所以说在标志尾添加其他数据对把APK看做压缩文件的PC端来说这个文件被破坏了，所以你要对其进行解压或者查看都会提示文件已损坏，用反编译工具也会提示文件已损坏，但是它却不会影响在Android系统里面的正常运行和安装而且也能兼容到所有系统。使用压缩文件修复工具也能把它修复好让我们做的保护消失。

请输入图片描述

设备管理器不可删除：某app申请到了设备管理器权限后，在设备管理列表隐身，并且不可被卸载，如obad

成因：

    </receiver> 

 如果去掉上面的<action android:name="android.app.action.DEVICE_ADMIN_ENABLED"  /> ，android还是允许app注册成为设备管理器，但是此app会在设备管理列表隐身，且不可被取消设备管理器权限。



  webview漏洞：  Android系统通过WebView.addJavascriptInterface方法注册可供javascript调用的java对象，以用于增强javascript的功能。但是系统并没有对注册JAVA类的方法调用的限制。导致攻击者可以利用反射机制调用未注册的其它任何JAVA类，最终导致javascr

最低0.47元/天解锁文章