Android解压缩安全：ZipEy与路径遍历风险.pptxVIP

1ZipEntry漏洞

2解压缩Android中现在开发过程中会有很多场景中使用到解压缩文件最常用的是是ZipInputStream和ZipEntry类

3解压缩操作系统文件名要求，不允许文件名包含一些特殊字符的，但是在ZipInputStream/ZipOutputStream类却是可以的由于zip格式压缩文件允许”../“的字符串，攻击者可以在APK加载时对应用本来想加载的文件进行“调虎离山”，将自己利用多个”../“生成的压缩文件替换原文件，这种情况下如果APK对这个zip文件解析不当，那么轻则导致文件覆盖，重则导致本地拒绝服务，甚至代码执行。

4路径

5