关键信息 漏洞描述 漏洞类型: Android Manifest Misconfiguration 导致的 Task Hijacking。 受影响应用: webbull-stock app (org.dayup.stocks)。 影响范围: 所有 Android 版本在 Android 11 之前。 复现步骤 1. 用户下载恶意应用。 2. 用户使用恶意应用。 3. 用户使用受害应用，此时显示的活动不是应用的原始活动，而是恶意应用的钓鱼活动。 4. 用户误以为在使用受害应用，输入个人信息，导致账户信息泄露或授予恶意应用相应权限。 原理 由于大多数应用的 属性未设置，默认为包名，可以通过设置与目标应用一致的 来创建相同的任务栈。 当启动受害应用时，恶意应用的任务栈会被带到前台，用户看到的是恶意活动而非原始活动。 缓解措施 在 中设置 属性为随机生成的任务亲和性，或将其设置为空字符串以强制所有活动使用随机生成的任务亲和性。 攻击者代码示例