檢測APK是否存在Janus漏洞步驟

Janus說明

  Android APP僅使用V1簽名，可能存在Janus漏洞（CVE-2017-13156），Janus漏洞（CVE-2017-13156）容許攻擊者在不改變原簽名的狀況下任意修改APP中的代碼邏輯。

  影響範圍：Android系統5.1.1 - 8.0

檢測方式

方式1-使用GetApkInfo.jar工具

GetApkInfo.jar （https://github.com/bihe0832/Android-GetAPKInfo）

打開cmd，輸入命令

java -jar GetApkInfo.jar路徑  apk路徑

結果確認：
V2簽名爲false，說明存在janus漏洞。

方式2-把APK改爲zip解壓查看

把包中的META-INF文件夾下的*.SF文件打開

左邊是隻使用了V1，右邊是V1+V2

修復

APK打包時使用V1+V2的簽名方式。