关键信息 漏洞描述 漏洞类型: Android Manifest Misconfiguration 导致的 Task Hijacking 受影响应用: Legend of the Phoenix app (com.duige.hzw.multilingual) 影响范围: 所有 Android 版本在 Android 11 之前 漏洞原理 Task Hijacking: 允许恶意应用继承易受攻击应用的权限，常用于钓鱼用户凭证。 利用方式: 恶意行为者操纵或接管 Android 中的任务，导致显著的安全漏洞。 复现步骤 1. 用户下载恶意应用。 2. 用户使用恶意应用。 3. 用户使用受害应用时，看到的活动不是应用的原始活动，而是恶意应用的钓鱼活动。 4. 用户误以为在使用受害应用（实际上是恶意应用），输入个人信息或授予恶意应用相应权限。 视频概念验证 恶意程序执行后，任务被成功劫持，当启动受害应用时，实际打开的是恶意应用。 缓解措施 在 文件中设置 属性为 ，强制所有活动使用随机生成的任务亲和性，或在标签上设置以对应用中的所有活动强制执行。 攻击者应用代码示例