Android引入了带有Android 6.0棉花糖的应用程序链接,以提供一种更安全的方式来从(https)链接启动特定应用程序。
此外,我认为Android App链接涵盖了自定义方案暴露的主要漏洞。
主要漏洞之一是恶意应用程序正在等待使用相似的意图过滤器拦截相同的URL。然后操作系统将向用户显示模糊对话框,以选择打开链接的应用程序。
请参阅:Measuring the Insecurity of Mobile Deep Links of Android
如果已按照documentation for the Android AppLinks正确设置了应用链接,则应用链接URL应将用户直接带到应用。
但是,我发现情况并非总是如此。对于某些设备,可能会在“应用链接URL”的首次使用时显示“模棱两可的对话框”。
为什么吗?
在App设置下有一个奇怪的设置,称为“转到支持的URL”->在App Link依赖的App Links子标题下设置为默认值。此设置允许用户更改App Link行为。它提供了以下三个选项。
最奇怪的是,此设置的默认设置与每个供应商的设备都不同。
如果设置不是“在此应用程序中”,则操作系统将显示至少包含您自己的应用程序和浏览器的模糊对话框。
问题?