Android屬性allowBackup安全風(fēng)險(xiǎn)淺析

4.allowBackup風(fēng)險(xiǎn)POC

1) 不在AndroidManifest.xml文件設(shè)置allowBackup屬性值,其默認(rèn)值為”true”,則應(yīng)用可通過(guò)adb命令進(jìn)行備份整個(gè)應(yīng)用的數(shù)據(jù)；
AndroidManifest.xml文件內(nèi)容：

該P(yáng)OC應(yīng)用啟動(dòng)后如下左圖所示與登錄之后如下右圖所示：

通過(guò)adb命令備份該應(yīng)用登錄之后的應(yīng)用數(shù)據(jù)：

通過(guò)作者Nikolay Elenkov寫(xiě)的解密程序Android Backup Extractor[3]解密出備份的文件”allowBackup.ab”,可得知該P(yáng)OC應(yīng)用的數(shù)據(jù)(登錄用戶名和密碼)如下圖所示：

在另外一臺(tái)Android手機(jī)上，安裝該P(yáng)OC應(yīng)用，然后通過(guò)恢復(fù)上面?zhèn)浞莸臄?shù)據(jù)，可以使得新安裝的應(yīng)用達(dá)到登錄狀態(tài)：

恢復(fù)數(shù)據(jù)之前：

點(diǎn)擊“恢復(fù)我的數(shù)據(jù)”，恢復(fù)數(shù)據(jù)之后，在沒(méi)有輸入用戶名和密碼的情況下，通過(guò)恢復(fù)數(shù)據(jù)，點(diǎn)擊應(yīng)用圖標(biāo)，直接進(jìn)入登錄狀態(tài)：

2) 在AndroidManifest.xml文件顯示設(shè)置allowBackup屬性值為false，即android:allowBackup="false",則Android應(yīng)用不可通過(guò)adb命令進(jìn)行備份和恢復(fù)整個(gè)應(yīng)用的數(shù)據(jù)；
AndroidManifest.xml文件內(nèi)容：

該P(yáng)OC應(yīng)用啟動(dòng)后如下左圖所示與登錄之后如下右圖所示：

通過(guò)adb命令備份該應(yīng)用登錄之后的應(yīng)用數(shù)據(jù)：

通過(guò)解密出備份的文件”allowBackup.ab”,通過(guò)如下圖所示可得知該P(yáng)OC應(yīng)用的備份的數(shù)據(jù)為空，因此備份不成功：

在另外一臺(tái)Android手機(jī)上，安裝該P(yáng)OC應(yīng)用，然后通過(guò)恢復(fù)上面?zhèn)浞莸臄?shù)據(jù)，可以使得新安裝的應(yīng)用達(dá)到登錄狀態(tài)：

恢復(fù)數(shù)據(jù)之前：

恢復(fù)數(shù)據(jù)之后，重新打開(kāi)應(yīng)用，發(fā)現(xiàn)沒(méi)有直接進(jìn)入登錄狀態(tài)：

5.allowBackup風(fēng)險(xiǎn)修復(fù)建議

阿里聚安全建議將allowBackup屬性值顯示設(shè)置為false：

• 網(wǎng)絡(luò)安全專業(yè)學(xué)習(xí)布線么？
• android uc瀏覽器: Android UC瀏覽器：一款功能強(qiáng)大的移動(dòng)瀏覽工具
• 360安全瀏覽器6.2：您的網(wǎng)絡(luò)安全守護(hù)者
• 網(wǎng)絡(luò)安全審查辦法是什么？
• Android版“微軟自拍”終于來(lái)了