Android常见安全风险点之通用型拒绝服务漏洞

由于应用开发者没有对传入的数据做异常判断,恶意应用可以通过传入畸形数据,例如向getXXXExtra()传入自定义的序列化类对象,会导致应用本地拒绝服务。

对getextra方法加上try catch 捕获异常,防止应用拒绝服务。

我要评论!

想一个你喜欢的昵称。
给一个你的常用邮箱。
想和萌萌哒的TA们说点啥。
  • 存在内容被替换的风险,SharedPreference禁止使用MODE_WORLD_READABLE和MODE_WORLD_WRITABLE。 具体的修复方法可参考上一篇文章《Android常见安全风险点之File模式配置错误》。
  • 风险在于数据库数据泄露,可被删除、篡改等问题。 若有这方面的问题,其实可以参考WEB上对SQL的防护,通常可以是定向过滤、参数化等,也可以是白名单模式。 然而对于安卓而言,考虑到数据库文件就在本地,所以建议增加一环,将SQLITE文件进行加密,解密放在SO扩展中。
  • 使用Webview时需要关闭webview的自动保存密码功能,防止用户密码被webview明文存储。 设置webView.getSettings().setSavePassword(false)即可。
  • 默认情况下当旋转屏幕时,WebView将重新加载整个页面。怎么解决旋转时屏幕会从loadUrl()方法重新加载原始URL的问题? 无需Java编码,在配置文件中这样配置: android:configChanges="keyboard|keyboardHidden|orientation|scree...
  • 创建一个属于你自己的android.app.Application的子类,然后在manifest中申明一下这个类,这是android就为此建立一个全局可用的实例,你可以在其他任何地方使用Context.getApplicationContext()方法获取这个实例,进而获取其中的状态(变量)。 下面...
微信扫一扫即可带走我!