Android Janus漏洞修复

Android Janus漏洞修复## 标题

• 什么是Janus漏洞
  自诞生以来，Android就要求开发者对应用进行签名。在应用进行更新时，只有更新包的签名与现有的app的签名一致的情况下，Android运行时才允许更新包安装到系统。若app被恶意的攻击者修改，重新打包签名，由于攻击者无法获得原始开发者的私钥，其重打包的签名与原始签名不一致，系统会拒绝安装此更新。这样可以保证每次的更新一定来自原始的开发者。然而Google在2017年4日发布的Android安全公告中提到一个Android的漏洞，利用该漏洞的攻击者可修改app而不影响其原始签名。该漏洞产生的根源在于：一个文件可以同时是APK文件和DEX文件。由于这种同时为APK文件和DEX文件的二元性，联想到罗马的二元之神Janus，将该漏洞命名为：Janus漏洞。该漏洞仅影响基于 JAR 签名的方案（v1 方案）。不影响自Android 7.0 以来引入的 APK 签名方案 v2（v2 方案）。

• 发现Janus漏洞
  昨天我的领导突然发了一份文档给我并对我讲这是网信办对我们APP的检查报告，让我十万火急地去解决掉，我打开乍一眼看到Janus漏洞也是很懵逼的，这是什么鬼（第一次听说），没办法只能去某度上去科普了，查了很多资料觉得网上说的不够详细所以决定在解决这个问题后把自己踩的坑填起来。

• 解决Janus漏洞
  网上说产生这个漏洞的原因是因为APP在签名打包的只使用了V1(Jar Signature),
  
  这就奇了怪了哈，我明明在用Android studio 打包的时候用的是V1+V2签名生成APK，怎么生成APK后就只