关键信息 漏洞描述 漏洞类型: Android Manifest Misconfiguration 导致的 Task Hijacking 受影响应用: Cat House app (com.house.auscat) 影响范围: 所有 Android 版本在 Android 11 之前 复现步骤 1. 用户下载恶意应用 2. 用户使用恶意应用 3. 用户使用受害应用，此时看到的活动不是应用的原始活动，而是恶意应用的活动 原理 利用 属性未设置或默认为包名的特点，攻击者可以设置与目标应用一致的 ，从而创建一个与受害者应用相同的任务栈。 当受害者启动应用时，恶意应用的任务栈会被带到前台，实现任务劫持。 缓解措施 在 中设置 属性为随机生成的任务亲和性，或将其设置为空字符串以强制所有活动使用独立的任务亲和性。 攻击者代码示例 AndroidManifest.xml: MainActivity.java: 影响 由于 Android manifest 文件的配置错误，攻击者可以通过任务劫持攻击创建恶意移动应用，劫持合法应用并窃取设备上的敏感信息。