本地html app跨域,来自本地HTML文件的WebView JavaScript跨域

今天早上我发现似乎有效的解决方案。

Java部分

初始化您的WebView:

WebView _webView = (WebView) this.findViewById(R.id.id_of_your_webview_in_layout);

获取WebView设置:

WebSettings settings = _webView.getSettings();

设置以下设置

settings.setJavaScriptEnabled(true);

settings.setAllowFileAccessFromFileURLs(true); //Maybe you don't need this rule

settings.setAllowUniversalAccessFromFileURLs(true);

现在你可以通过标准方式加载你的html文件:

_webView.loadUrl("file:///android_asset/www/index.html");

Javascript部分

以标准方式创建XHR请求

var xhr = new XMLHttpRequest();

xhr.open("get", "http://google.com", false);

xhr.send();

在某处打印结果

document.body.innerHTML = xhr.responseText

NOTICE: This procedure works only on API level 16 or higher (At least the documentation says that).

Frida是一款功能强大的动态分析工具,可以帮助我们检测App中的WebView访问漏洞。以下是使用Frida检测App中是否存在WebView访问漏洞的步骤: 1. 安装Frida框架,并在移动设备上安装Frida客户端。 2. 在移动设备上运行要分析的App,并在PC上启动Frida。 3. 在Frida中使用JavaScript编写脚本,通过Hook App中的WebView相关方法,来检测WebView访问漏洞。例如,以下是一个检测WebView访问漏洞的Frida脚本: ``` function hookWebView() { Java.perform(function () { var WebView = Java.use("android.webkit.WebView"); WebView.setAllowFileAccessFromFileURLs.implementation = function (allow) { if (allow) { console.log("Potential WebView cross-origin access vulnerability detected: setAllowFileAccessFromFileURLs(true)"); } return this.setAllowFileAccessFromFileURLs(allow); } WebView.setAllowUniversalAccessFromFileURLs.implementation = function (allow) { if (allow) { console.log("Potential WebView cross-origin access vulnerability detected: setAllowUniversalAccessFromFileURLs(true)"); } return this.setAllowUniversalAccessFromFileURLs(allow); } }); } setTimeout(hookWebView, 1000); ``` 4. 运行脚本,通过Hook App中的WebView相关方法,来检测WebView访问漏洞。 5. 如果脚本中检测到访问漏洞,就可以通过修改App代码来修复该漏洞。例如,可以将setAllowFileAccessFromFileURLs()、setAllowUniversalAccessFromFileURLs()等方法设置为false,从而避免访问漏洞。 总之,使用Frida可以检测App中是否存在WebView访问漏洞,这可以帮助开发人员及时发现并修复这些漏洞,从而提高App的安全性。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值