关键信息 漏洞描述 漏洞类型: Android Manifest Misconfiguration 导致的 Task Hijacking 受影响应用: Hey Kakao app (com.kakao.i.connect) 影响范围: 所有 Android 版本在 Android 11 之前 漏洞原理 Task Affinity: 大多数应用的 属性未设置或默认为包名，攻击者可以设置与目标应用一致的 。 Hijack Activity: 攻击者创建一个与目标应用相同的任务栈，当用户启动目标应用时，恶意活动被带入前台。 复现步骤 1. 用户下载恶意应用。 2. 用户使用恶意应用。 3. 用户使用目标应用，实际显示的是恶意应用的钓鱼页面。 4. 用户在钓鱼页面输入个人信息，导致信息泄露或权限授予。 缓解措施 在 中设置 属性为空字符串或随机生成的任务亲和性。 或者在 标签中全局设置 。 攻击者代码示例 视频证明 提供了视频截图，展示攻击成功后的界面。