Input Validation Issues - Part 2

Exploiting Input Validation in Webview

Pendahuluan

Android Webview adalah komponen yang berfungsi agar developer bisa menyediakan akses web browsing kepada user dalam aplikasi mereka. Namun, menyematkan webview dapat menjadi berisiko jika tidak ditangani dengan benar. Hal ini terjadi karena beberapa browser memiliki kemampuan menjalankan URI schemes seperti ftp://, http://, https://, file://, dll.

Dengan menggunakan URI scheme file://, Attacker bisa melihat konten yang ada di dalam penyimpanan lokal.

Serangan ini tidak memerlukan perangkat root atau aplikasi pada mode debug, cukup terdapat address bar untuk menginputkan URL.

Penjelasan

Tampilan Soal Input Validation Issues - Part 2

Bagian aplikasi yang akan kita bahas kali ini memiliki fitur webview. Kita akan mencari tahu apakah fitur ini rentan terhadap serangan melalui URI schemes.

Melihat Source Code

InputValidation2URISchemeActivity.class

package jakhar.aseem.diva;

import android.os.Bundle;
import android.support.v7.app.AppCompatActivity;
import android.view.View;
import android.webkit.WebView;
import android.widget.EditText;

public class InputValidation2URISchemeActivity extends AppCompatActivity {
  public void get(View paramView) {
    EditText editText = (EditText)findViewById(2131492993);
    ((WebView)findViewById(2131492995)).loadUrl(editText.getText().toString());
  }
  
  protected void onCreate(Bundle paramBundle) {
    super.onCreate(paramBundle);
    setContentView(2130968609);
    ((WebView)findViewById(2131492995)).getSettings().setJavaScriptEnabled(true);
  }
}

Terlihat bahwa tidak ada validasi inputan atau whitelist untuk URI schemes, sehingga user bisa menggunakan URI scheme file:// untuk melihat isi konten dari perangkat tersebut.

File URL Scheme

Sebagai contoh kita akan melihat file .xml yang sebelumnya telah kita buat.

file:///data/data/jakhar.aseem.diva/shared_prefs/jakhar.aseem.diva_preferences.xml

Terlihat bahwa file tersebut tampil pada webview. Ini membuktikan bahwa fitur tersebut bisa mengakses file yang ada di dalam perangkat.

Kesimpulan

Risiko yang bisa terjadi adalah aplikasi tersebut bisa mengakses konten yang ada di dalam perangkat.

Menyadari fakta tersebut, terdapat rekomendasi yang bisa developer lakukan, yaitu:

• Membuat whitelist untuk URI schemes yang diperbolehkan.