[论文解读] Code Injection Attacks on HTML5-based Mobile Apps

Xing Jin, Tongbo Luo+2 more|arXiv (Cornell University)|Oct 28, 2014

Web Application Security Vulnerabilities参考文献 21被引用 14

一句话总结

本文研究了基于 HTML5 的移动应用在使用 PhoneGap 等框架开发时的代码注入漏洞，展示了攻击者如何通过 2D 条形码、Wi-Fi 扫描和蓝牙配对等攻击向量利用 JavaScript 注入，导致应用完全被攻破。研究在分析的 186 个 PhoneGap 插件中识别出 11 个存在漏洞的插件，并在两个实际生产应用中确认了真实世界的利用，揭示了广泛使用的跨平台开发模式中存在严重安全风险。

ABSTRACT

HTML5-based mobile apps become more and more popular, mostly because they are much easier to be ported across different mobile platforms than native apps. HTML5-based apps are implemented using the standard web technologies, including HTML5, JavaScript and CSS; they depend on some middlewares, such as PhoneGap, to interact with the underlying OS. Knowing that JavaScript is subject to code injection attacks, we have conducted a systematic study on HTML5-based mobile apps, trying to evaluate whether it is safe to rely on the web technologies for mobile app development. Our discoveries are quite surprising. We found out that if HTML5-based mobile apps become popular--it seems to go that direction based on the current projection--many of the things that we normally do today may become dangerous, including reading from 2D barcodes, scanning Wi-Fi access points, playing MP4 videos, pairing with Bluetooth devices, etc. This paper describes how HTML5-based apps can become vulnerable, how attackers can exploit their vulnerabilities through a variety of channels, and what damage can be achieved by the attackers. In addition to demonstrating the attacks through example apps, we have studied 186 PhoneGap plugins, used by apps to achieve a variety of functionalities, and we found that 11 are vulnerable. We also found two real HTML5-based apps that are vulnerable to the attacks.

研究动机与目标

• 评估依赖 Web 技术和中间件（如 PhoneGap）的 HTML5 移动应用的安全性。
• 调查常见应用功能（如条形码扫描、Wi-Fi 扫描和蓝牙配对）是否引入代码注入漏洞。
• 识别并分析用于扩展应用功能的易受攻击的 PhoneGap 插件。
• 在现有生产应用中演示这些漏洞的真实世界利用。
• 为开发人员和供应商提供关于缓解混合移动应用架构中注入风险的实际建议。

提出的方法

• 对 186 个 PhoneGap 插件进行系统性的静态与动态分析，以检测注入漏洞。
• 开发并部署示例应用，以模拟 2D 条形码扫描和 Wi-Fi 接入点枚举等常见攻击向量。
• 通过不受信任的输入源（如用户提供的数据或设备交互）进行 JavaScript 注入的利用。
• 对真实基于 HTML5 的移动应用进行逆向工程，以验证漏洞可利用性并评估真实世界的影响。
• 在受限的混合应用执行模型中使用标准的基于 Web 的攻击技术（如 XSS 和命令注入）。
• 通过受控实验验证攻击链，并确认权限提升和数据外泄行为。

实验结果

研究问题

• RQ1 是否能够成功对使用 PhoneGap 或类似框架的基于 HTML5 的移动应用发起代码注入攻击？
• RQ2 在混合应用中，哪些常见应用功能最容易受到注入攻击？
• RQ3 在广泛使用的 PhoneGap 插件中，注入漏洞的普遍程度如何？
• RQ4 是否可以通过这些注入向量真实利用基于 HTML5 的移动应用？
• RQ5 此类攻击在数据泄露和系统被攻破方面的实际后果是什么？

主要发现

• 在分析的 186 个 PhoneGap 插件中，有 11 个存在代码注入攻击漏洞，主要原因是输入过滤不充分。
• 攻击者可以利用来自设备交互的不受信任输入（如扫描 2D 条形码或连接到 Wi-Fi 网络）来注入恶意 JavaScript 代码。
• 本研究确认了两个真实世界的基于 HTML5 的移动应用存在代码注入漏洞，证明了真实世界的可利用性。
• 如果输入未经过适当验证，蓝牙配对和 MP4 视频播放等功能可能被滥用以执行任意代码。
• 由于 Web 逻辑与原生插件访问的结合，混合应用的攻击面显著扩大。
• 研究发现，即使看似无害的用户输入，若通过存在漏洞的插件处理，也可能导致应用完全被攻破。