PhoneGap是否安全？

攻击者有多少电话被强化？尤其是我们自己页面中的XSS漏洞，PhoneGap API暴露给未知的攻击者。PhoneGap是否安全？

例如，iPhone上的PhoneGap.exec（）命令是否安全？

从JavaScript中，PhoneGap.exec命令令我担心，例如， PhoneGap.exec(successCB, errorCB, "com.phonegap.contacts","search", [{"fields":fields, "findOptions":options}]);（针对iPhone目标的JavaScript复制from here）。 exec命令理论上应该受到限制，并且只有能够访问PhoneGap API类（本例中为com.phonegap.contacts）和方法（例如本例中的搜索）。

如果我们的应用程序中存在XSS可调性，那么与仅在浏览器沙箱中运行相比，任何攻击者的攻击面都会扩大。最终用户的手机面临PhoneGap中的任何漏洞，可能允许攻击者访问特权的ObjectiveC代码/ api。我可以在PhoneGap安全was this上找到唯一的文档。

来源

2011-09-27 robocat

不是的PhoneGap /安全专家，但不管执行的应用程序在自己的安全沙箱中运行的所有iOS平台。这应该限制任何PhoneGap特定安全漏洞的暴露。 http://developer.apple.com/library/ios/#documentation/iphone/conceptual/iphoneosprogrammingguide/RuntimeEnvironment/RuntimeEnvironment.html – Perception

与Android相关 - 但可能相关：http://groups.google.com/group/ phonegap-dev/browse_thread/thread/1049124ad37abacb – robocat

以下是针对Skype的XSS攻击示例： http://www.theregister.co.uk/2011/09/20/skype_for_iphone_contact_theft/ – robocat

您可以通过修改PhoneGap.plist/Plugins并删除任何不需要的控件来控制API访问。

随着PhoneGap的1.1（即将推出） - 存在其中只有某些外部URL可以被连接到一个白名单功能（在PhoneGap.plist/ExternalHosts） - 无论是在JavaScript或Objective-C。

来源

2011-09-27 19:22:15 Shazron

如果您将该答案复制到http://stackoverflow.com/questions/7564533/how-to-disable- phonegap-apis-functionality我可以接受你的答案，因为它完全回答了这个问题！我不确定它是否回答了上述问题:)谢谢 – robocat

OOoops - 刚刚意识到我要求你做你已经做过的事 - 呃！现在打勾。 – robocat

这大约科尔多瓦/ PhoneGap的安全问题进行会谈：

http://packetstormsecurity.com/files/124954/apachecordovaphonegap-bypass.txt

“下面的电子邮件是在2014年1月17日发送至Apache Cordova/PhoneGap的在2013年12月13日，又一次。由于没有回应，我们在这里重新发布它，以提醒普通大众 Apache Cordova/PhoneGap的固有漏洞。“如果这是真的，我也会关心我。

在Android上，如果PhoneGap的使用addJavascriptInterface（）为桥梁，然后在出现严重的安全隐患：

http://www.droidsec.org/news/2014/02/26/on-the-webview-addjsif-saga.html

来源

2014-09-26 03:36:01 robocat

PhoneGap是否安全？

回答

相关问题