WIKI

9.5 Databases任意读写漏洞检测

(1)描述

APP在使用openOrCreateDatabase创建数据库时,将数据库设置了全局的可读权限,攻击者恶意读取数据库内容,获取敏感信息。在设置数据库属性时如果设置全局可写,攻击者可能会篡改、伪造内容,可以能会进行诈骗等行为,造成用户财产损失。

(2)风险等级

(3)影响范围

所有

(4)检测方法

检测类型:静态分析

(5)修复建议

ü  MODE_PRIVATE模式创建数据库

ü  使用sqlcipher等工具加密数据库

ü  避免在数据库中存储明文和敏感信息

(6)样例分析

www.wooyun.org/bugs/wooyun-2010-047172

www.wooyun.org/bugs/wooyun-2010-054438

www.wooyun.org/bugs/wooyun-2010-0151270

(7)参考资料

http://jap.alibaba.com/blog.htm?id=56

http://wolfeye.baidu.com/blog/global-rw-of-database/