引言

不同应用间有时存在功能协作场景，例如交互应用A接收用户输入的数据需要同步给后台应用B，让用户B执行具体的管控策略，此时后台应用B就可能开放数据库增删该接口给应用A，而应用B不想该功能接口被A以外的应用访问。这类为端侧特定应用提供非公开功能的场景，应用往往需要对调用方进行身份校验，以防止接口被滥用，危害自身应用安全甚至对系统安全造成影响。本文针对该类场景，从典型错误校验方式、不同组件获取包名的正确方式、校验包名/签名的正确方式等方面进行阐述，为进行端侧应用间的身份校验提供技术参考。

02  典型错误

通过getNameForUid获取包名

processName可由应用通过”android:process”自行定义，且”android:process”声明无任何限制。若使用processName作为包名，恶意应用可直接声明”android:process”为白名单内应用，绕过白名单限制。

如下为示例错误代码：

//该方法为错误的获取包名方法，只能获取进程名，进程名可伪造
int pid = Binder.getCallingPid();
ActivityManager activityManager = (ActivityManager)getSystemService(Context.ACTIVITY_SERVICE);
List<ActivityManager.RunningAppProcessInfo> processInfoList = activityManager.getRunningAppProcesses();
for (ActivityManager.RunningAppProcessInfo processInfo : processInfoList) {
    if (processInfo.pid == pid) {
        return processInfo.processName;
    }
}

例如：若白名单中存在”com.xxx.example”，恶意应用包名为“com.test.xxx”,恶意应用就可以在其manifest中声明” android:process=”com.xxx.example” ”，此时通过该方法获取的恶意应用的processName为”com.xxx.example”，从而绕过白名单校验。

② 校验包名方法错误

采用startswith、endswith或String类的contains等可绕过的包名匹配方法，或匹配包名时忽略大小写，均可被绕过。

例如：校验com.xxx.function包名，绕过示例如下：

使用startswith(“com.xxx.function”）：com.xxx.functiontest

使用endswith(“com.xxx.function”)：com.testcom.xxx.function

使用contains(“com.xxx.function”)：com.xxx.functiontest、com.testcom.xxx.function

使用equalsIgnoreCase(“com.xxx.function”)：com.xxx.Function

若采用白名单方式校验应用，由于白名单内应用可能被卸载，推荐同时校验白名单内应用的包名和签名。

3.1 获取调用方包名安全方案

① Activity获取调用方包名(Android 11及以上版本可用)

Activity可通过反射Activity的mReferrer方法获取调用方包名，代码示例如下：

Field referrerField = Activity.class.getDeclaredField("mReferrer");
referrerField.setAccessible(true);
String packgeName = (String)referrerField.get(this);

② Provider获取调用方包名

Provider可通过getCallingPackage方法获取调用方包名，代码示例如下：

String packageName = getCallingPackage();

③ Service获取调用方包名

/* 通过uid获取调用方包名,任意应用可用*/
int uid = Binder.getCallingUid();
if(uid >=10000){
    //通过getPackagesForUid获取包名列表，获取的为所有该uid下的包名，不存在伪造包名
    String[] pkgName = getPackageManager().getPackagesForUid(uid);
}else{
    //当uid小于10000时，将获取到所有共享system uid的包名，数量较多，建议通过其他方式获取包名或根据白名单自行定义校验策略
}

/* 通过uid获取调用方包名,任意应用可用*/
int uid = msg.sendingUid;
if(uid >=10000){
    //通过getPackagesForUid获取包名列表，获取的为所有该uid下的包名，不存在伪造包名
String[] pkgName = getPackageManager().getPackagesForUid(uid);
}else{
    //当uid小于10000时，将获取到所有共享system uid的包名，数量较多，建议通过其他方式获取包名或根据白名单自行定义校验策略
}

/* 通过pid获取调用方包名 
 * 仅系统签名应用可用，需REAL_GET_TASKS权限*/
int pid = Binder.getCallingPid();
//获取当前运行的所有进程，进而获取与pid对应的包名列表，不存在伪造包名
ActivityManager activityManager = (ActivityManager)getSystemService(Context.ACTIVITY_
SERVICE);
List<ActivityManager.RunningAppProcessInfo> processInfoList = activityManager.getRun
ningAppProcesses();
for (ActivityManager.RunningAppProcessInfo processInfo : processInfoList){
    if(processInfo.pid == pid){
//pkgList：调用方同pid的包名列表
        String[] pkgList = processInfo.pkgList;
    }
}

//包名白名单
private static ArrayList<String> pkgNameWhiteList = new ArrayList<>();
static {
    pkgNameWhiteList.add("com.xxx.xxx");
}


//校验包名
public boolean checkpkgName(Context context){
    String pkgName = getActivityPkgName(context);
    if(pkgName!=null){
        return pkgNameWhiteList.contains(pkgName);
    }
    return false;
}

private static Signature[] getSignatures(Context context, String packageName) {
    PackageInfo packageInfo = null;
    try {
        packageInfo = context.getPackageManager().getPackageInfo(packageName, PackageManager.GET_SIGNATURES);
        return packageInfo.signatures;
    } catch (PackageManager.NameNotFoundException e) {
        e.printStackTrace();
    }
    return null;
}