檢測APK是否存在Janus漏洞步驟

Janus說明

  Android APP僅使用V1簽名，可能存在Janus漏洞（CVE-2017-13156），Janus漏洞（CVE-2017-13156）允許攻擊者在不改變原簽名的情況下任意修改APP中的代碼邏輯。

  影響范圍：Android系統5.1.1 - 8.0

檢測方式

方式1-使用GetApkInfo.jar工具

GetApkInfo.jar （https://github.com/bihe0832/Android-GetAPKInfo）

打開cmd，輸入命令

java -jar GetApkInfo.jar路徑  apk路徑

結果確認：
V2簽名為false，說明存在janus漏洞。

方式2-把APK改成zip解壓查看

把包中的META-INF文件夾下的*.SF文件打開

左邊是只使用了V1，右邊是V1+V2

修復

APK打包時使用V1+V2的簽名方式。