Android常见安全风险点之HTTPS不校验证书

HTTPS禁止使用ALLOW_ALL_HOSTNAME_VERIFIER,因为这样会存在中间人攻击的风险。

必须使用STRICT_HOSTNAME_VERIFIER并校验证书,详细修复方案请参照Google官方关于SSL的安全建议:https://developer.android.com/training/articles/security-ssl.html。

在乌云漏洞平台上,有大量存在HTTPS证书不校验漏洞,例如国内绝大部分Android APP存在信任所有证书漏洞、亚马逊最新官方android版存在一处信任所有证书漏洞、Yahoo雅虎在国内访问遭遇SSL中间人攻击、携程旅游网最新android客户端https未校验证书导致https通信内容完全被捕获。

相关推荐:
webview组件的接口函数addJavascriptInterface存在远程代码执行漏洞,远程攻击者利用此漏洞能实现本地java和js的交互,可以对Android移动终端进行网页挂马从而控制受影响设备。 确保只在访问可信页面数据时 …
默认情况下当旋转屏幕时,WebView将重新加载整个页面。怎么解决旋转时屏幕会从loadUrl()方法重新加载原始URL的问题? 无需Java编码,在配置文件中这样配置: android:configChanges="keyboard|keyboardHi …
科普下: build.prop 是Android系统中一个类似于Windows系统注册表的文件,该文件内定义了系统初始(或永久)的一些参数属性、功能的开放等。并且在 Android中虽然每一版都有自己独有的参数,但绝大部分都是 …
存在内容被替换的风险,SharedPreference禁止使用MODE_WORLD_READABLE和MODE_WORLD_WRITABLE。 具体的修复方法可参考上一篇文章《Android常见安全风险点之File模式配置错误》。
在新的API版本下,请使用 startActivityForResult 方法来代替旧的startSubActivity方法。
拿起手机扫一扫即可带走我!