最近华为发布会官宣将在下一代移除对安卓的支持也是引发了不少的关注，也不断有消息称各大top应用厂商将推出纯鸿蒙版的应用。纯鸿蒙作为一个全新、多设备、多场景的操作系统，为开发者们提供了一个全新的平台，能够构建适用于各种设备的应用程序，从智能手机到家居设备，再到车载系统等，随着不断的发展，其安全问题也会随之而来。在这篇文章中，我们将以开源的Openharmony来探讨一些纯鸿蒙应用的基础知识，从安全的角度来分享一些纯鸿蒙应用可能存在的问题，当然我也是仍在学习中的初学者，希望通过以后的学习记录能给纯鸿蒙感兴趣的开发者或者安全爱好者传达一些安全的了解以及开发上需要注意的地方，希望能给大家带来一点帮助 : )
本文将从Openharmony源码编译到编写运行第一个纯鸿蒙应用，介绍应用间的数据交互及参数传递的载体，最后以一个null want的例子来介绍开发中可能存在的风险。笔者也是纯鸿蒙的初学者，文章中如有错误还请不吝指正，如有笔者未考虑到的风险面也请指出，后续加强补充共同学习:)
1. `# 初始化master分支源码仓`
2. `repo init -u https://gitee.com/openharmony/manifest.git -b master --no-repo-verify`
4. `# 同步源码`
5. `repo sync -c`
6. `repo forall -c 'git lfs pull'`
8. `# 配置编译环境`
9. `./build/build_scripts/env_setup.sh`
11. `# 安装依赖`
12. `bash build/prebuilts_download.sh`
14. `# 准备工作完成后开始编译源码。这里有两种方式：`
15. `# 1. 使用Openharmony提供的工具hb进行编译，提供交互式编译配置`
16. `# 执行hb set设置编译的平台`
17. `root@ubuntu ~/Huawei/aMaster hb set`
18. `OHOS Which os_level do you need? (Use arrow keys)`
19. `mini`
20. `small`
21. `❯ standard`
23. `# 选择标准系统后，选择具体的开发板类型，这里选择rk3568`
24. `OHOS Which os_level do you need? standard`
25. `OHOS Which product do you need? (Use arrow keys)`
27. `unionman`
28. `unionpi_tiger`
30. `ohemu`
31. `qemu-arm-linux-min`
32. `qemu-arm64-linux-min`
33. `qemu-x86_64-linux-min`
34. `qemu-arm-linux-headless`
36. `hihope`
37. `❯ rk3568`
38. `rk3568_mini_system`
39. `dayu210`
40. `ipcamera`
42. `kaihong`
43. `khdvk_3566b`
45. `isoftstone`
46. `zhiyuan`
47. `yangfan`
49. `osware`
50. `imx8mm`
52. `hisilicon`
53. `hispark_taurus_standard`
54. `hispark_phoenix`
55. `watchos`
57. `built-in`
58. `system_arm_default`
59. `ohos-sdk`
60. `system_arm64_default`
62. `# 最后执行hb build即可开始编译，可能会用到的一些参数hb build -h`
63. `...`
64. `-b BUILD_TYPE, --build_type BUILD_TYPE`
65. `-f, --full full code compilation`
66. `-n, --ndk compile ndk`
67. `--gn-args GN_ARGS specifies gn build arguments, eg: --gn-args="foo="bar" enable=true blah=7"`
68. `--fast-rebuild it will skip prepare, preloader, gn_gen steps so we can enable it only when there is no change for gn related script`
69. `...`
71. `# 第二种可以通过build.sh编译`
72. `./build.sh --product-name rk3568 -f`
74. `# 生成的文件`
75. `➜ images pwd`
76. `~/out/rk3568/packages/phone/images`
77. `➜ images ll`
78. `total 755M`
79. `-rw-r--r-- 1 root root 64M Jul 27 09:24 boot_linux.img`
80. `-rw-r--r-- 1 root root 50M Jul 27 10:21 chip_prod.img`
81. `-rwxr-xr-x 1 root root 8.4K Jul 27 09:24 config.cfg`
82. `-rw-r--r-- 1 root root 12M Jul 27 10:21 eng_system.img`
83. `-rw-r--r-- 1 root root 445K Jul 27 09:24 MiniLoaderAll.bin`
84. `-rwxr-xr-x 1 root root 756 Jul 27 09:24 parameter.txt`
85. `-rw-rw-r-- 1 root root 2.3M Jul 27 10:21 ramdisk.img`
86. `-rw-r--r-- 1 root root 5.4M Jul 27 09:24 resource.img`
87. `-rw-r--r-- 1 root root 50M Jul 27 10:21 sys_prod.img`
88. `-rw-r--r-- 1 root root 1.5G Jul 27 10:21 system.img`
89. `-rwxr-xr-x 1 root root 4.0M Jul 27 09:24 uboot.img`
90. `-rw-rw-r-- 1 root root 15M Jul 27 10:21 updater.img`
91. `-rw-r--r-- 1 root root 1.4G Jul 27 10:21 userdata.img`
92. `-rw-r--r-- 1 root root 256M Jul 27 10:21 vendor.img`
最后保持生成镜像文件的默认配置烧录到开发板即可
开机
OpenHarmony提供了一套UI开发框架，即方舟开发框架（ArkUI框架）。方舟开发框架可为开发者提供应用UI开发所必需的能力，比如多种组件、布局计算、动画能力、UI交互、绘制等。下面尝试在烧录的系统上编写第一个AtkTS应用。首先参考官方文档（https://gitee.com/openharmony/docs/blob/master/zh-cn/device-dev/quick-start/quickstart-ide-env-win.md）安装IDE环境。然后新建项目，选择 "Empty Ability"
在保持默认生成的情况下可以直接在开发板上安装运行
至此成功编译运行了第一个鸿蒙应用。回头看一下这个工程的目录接口
AppScope > app.json5：应用的全局配置信息。如：应用包名、版本号、应用图标、应用名称和依赖的SDK版本号等。
entry：OpenHarmony工程模块，编译构建生成一个HAP包。
src > main > ets：用于存放ArkTS源码。
src > main > ets > entryability：应用/服务的入口。
src > main > ets > pages：应用/服务包含的页面。
src > main > resources：用于存放应用/服务所用到的资源文件，如图形、多媒体、字符串、布局文件等。
src > main > module.json5：模块配置文件。主要包含HAP包的配置信息、应用/服务在具体设备上的配置信息以及应用/服务的全局配置信息。
build-profile.json5：当前的模块信息 、编译信息配置项，包括buildOption、targets配置等。
hvigorfile.ts：模块级编译构建任务脚本，开发者可以自定义相关任务和代码实现。
oh_modules：用于存放三方库依赖信息。
build-profile.json5：应用级配置信息，包括签名signingConfigs、产品配置products等。
hvigorfile.ts：应用级编译构建任务脚本。
上述工程中的 UI和功能代码都在 EntryAbility.ts和 Index.etx中。编译生成的文件为 hap文件，同样可以使用压缩软件解压它
开发态和打包后的结构对比（图摘自developer.huawei.com/consumer/cn/doc/harmonyos-guides-V2/multi-hap-build-view-0000001427744536-V2）
其中pack.info描述了当前 hap的属性，由IDE编译生成。module.json如下，由工程中的 app.json5和 module.json5合成
1. `{`
2. `"app": {`
3. `"apiReleaseType": "Release",`
4. `"bundleName": "com.example.helloworld",`
5. `"debug": true,`
6. `"icon": "$media:app_icon",`
7. `"iconId": 16777217,`
8. `"label": "$string:app_name",`
9. `"labelId": 16777216,`
10. `"minAPIVersion": 9,`
11. `"targetAPIVersion": 9,`
12. `"vendor": "example",`
13. `"versionCode": 1000000,`
14. `"versionName": "1.0.0"`
15. `},`
16. `"module": {`
17. `"abilities": [`
18. `{`
19. `"description": "$string:EntryAbility_desc",`
20. `"descriptionId": 16777218,`
21. `"exported": true,`
22. `"icon": "$media:icon",`
23. `"iconId": 16777222,`
24. `"label": "$string:EntryAbility_label",`
25. `"labelId": 16777219,`
26. `"name": "EntryAbility",`
27. `"skills": [`
28. `{`
29. `"actions": [`
30. `"action.system.home"`
31. `],`
32. `"entities": [`
33. `"entity.system.home"`
34. `]`
35. `}`
36. `],`
37. `"srcEntry": "./ets/entryability/EntryAbility.ts",`
38. `"startWindowBackground": "$color:start_window_background",`
39. `"startWindowBackgroundId": 16777221,`
40. `"startWindowIcon": "$media:icon",`
41. `"startWindowIconId": 16777222`
42. `}`
43. `],`
44. `"compileMode": "esmodule",`
45. `"deliveryWithInstall": true,`
46. `"dependencies": [],`
47. `"description": "$string:module_desc",`
48. `"descriptionId": 16777220,`
49. `"deviceTypes": [`
50. `"phone"`
51. `],`
52. `"installationFree": false,`
53. `"mainElement": "EntryAbility",`
54. `"name": "entry",`
55. `"pages": "$profile:main_pages",`
56. `"type": "entry",`
57. `"virtualMachine": "ark9.0.0.0"`
58. `}`
59. `}`
从这个配置文件中可以得到许多应用相关的配置信息，挑一些介绍一下
1. `"mainElement" : 标识hap的入口ability名称或者extension名称`
2. `"abilities" : 是一个数组，存放当前模块中所有的ability元能力的配置信息，其中可以有多个ability。Ability是应用所具备能力的抽象。(后文介绍)`
3. `"srcEntry" : 当前模块的入口文件路径`
4. `"deviceTypes" : 该标签标识hap可以运行在哪类设备上，标签值采用字符串数组的表示。`
5. `"exported" : ability是否可以被其他应用程序调用，true表示可以被其它应用调用， false表示不可以被其它应用调用`
6. `"skills" : 标识能够接收的action值的集合，取值通常为系统预定义的action值，也允许自定义`
7. `"entities" : 标识能够接收的Want的Action值的集合，取值通常为系统预定义的action值，也允许自定义`
8. `"actions" : 标识能够接收Want的Entity值的集合`
安全规范相关的我们更关注如下的配置信息
1. `"debug" : 标示应用是否可调试`
2. `"supportBackup" : 标识应用是否支持备份和恢复`
3. `"cleartextTraffic" : 是否允许使用明文网络流量`
4. `"cleartextPermitted" : 是否允许使用明文网络流量，与上述标签同在时，以此为准`
5. `"abilities" :`
6. `"exported" : ability是否可以被其他应用程序调用，true表示可以被其它应用调用， false表示不可以被其它应用调用`
7. `"skills" : 标识能够接收的action值的集合，取值通常为系统预定义的action值，也允许自定义`
8. `"entities" : 标识能够接收的Want的Action值的集合，取值通常为系统预定义的action值，也允许自定义`
9. `"actions" : 标识能够接收Want的Entity值的集合`
程序代码被编译在 .abc文件中，是二进制数据内容，可以使用 out/rk3568/clang_x64/arkcompiler/runtime_core/ark_disasm将 abc文件反编译成文本格式的方舟字节码文件（ark_disasm需要通过源码自行编译）。
上文多次提及的ability，这里简单介绍一些。Ability是应用所具备的能力的抽象，一个应用可以包含一个或多个Ability。Ability分为两种类型：FA（Feature Ability）和PA（Particle Ability）。FA/PA是应用的基本组成单元，能够实现特定的业务功能。FA有UI界面，而PA无UI界面。Page模板是FA唯一支持的模板，用于提供与用户交互的能力。我们可以简单理解为一个应用的每一个页面都对应一个 page ability。在上文我们的第一个鸿蒙应用中的index.ets即对应了UI界面，可以看到只是打印了"Hello World"，我们在页面中添加一个按钮
1. `@Entry`
2. `@Component`
3. `struct Index {`
4. `@State message: string = 'Hello World'`
6. `build() {`
7. `Row() {`
8. `Column() {`
9. `Text(this.message)`
10. `.fontSize(50)`
11. `.fontWeight(FontWeight.Bold)`
12. `// 添加按钮，以响应用户点击`
13. `Button() {`
14. `Text('Button')`
15. `.fontSize(30)`
16. `.fontWeight(FontWeight.Bold)`
17. `}`
18. `.type(ButtonType.Capsule)`
19. `.margin({`
20. `top: 20`
21. `})`
22. `.backgroundColor('#0D9FFB')`
23. `.width('40%')`
24. `.height('5%')`
25. `}`
26. `.width('100%')`
27. `}`
28. `.height('100%')`
29. `}`
30. `}`
效果如下
EntryAbility.ts的实现如下
1. `import UIAbility from '@ohos.app.ability.UIAbility';`
2. `import hilog from '@ohos.hilog';`
3. `import window from '@ohos.window';`
5. `export default class EntryAbility extends UIAbility {`
6. `onCreate(want, launchParam) {`
7. `hilog.info(0x0000, 'testTag', '%{public}s', 'Ability onCreate');`
8. `}`
10. `onDestroy() {`
11. `hilog.info(0x0000, 'testTag', '%{public}s', 'Ability onDestroy');`
12. `}`
14. `onWindowStageCreate(windowStage: window.WindowStage) {`
15. `// Main window is created, set main page for this ability`
16. `hilog.info(0x0000, 'testTag', '%{public}s', 'Ability onWindowStageCreate');`
18. `windowStage.loadContent('pages/Index', (err, data) => {`
19. `if (err.code) {`
20. `hilog.error(0x0000, 'testTag', 'Failed to load the content. Cause: %{public}s', JSON.stringify(err) ?? '');`
21. `return;`
22. `}`
23. `hilog.info(0x0000, 'testTag', 'Succeeded in loading the content. Data: %{public}s', JSON.stringify(data) ?? '');`
24. `});`
25. `}`
27. `onWindowStageDestroy() {`
28. `// Main window is destroyed, release UI related resources`
29. `hilog.info(0x0000, 'testTag', '%{public}s', 'Ability onWindowStageDestroy');`
30. `}`
32. `onForeground() {`
33. `// Ability has brought to foreground`
34. `hilog.info(0x0000, 'testTag', '%{public}s', 'Ability onForeground');`
35. `}`
37. `onBackground() {`
38. `// Ability has back to background`
39. `hilog.info(0x0000, 'testTag', '%{public}s', 'Ability onBackground');`
40. `}`
41. `}`
从上面的代码中我们看到 EntryAbility继承自 UIAbility，当用户打开、切换和返回到对应应用时，应用中的UIAbility实例会在其生命周期的不同状态之间转换。UIAbility类提供了一系列回调，通过这些回调可以知道当前UIAbility实例的某个状态发生改变，会经过UIAbility实例的创建和销毁，或者UIAbility实例发生了前后台的状态切换。UIAbility的生命周期包括Create、Foreground、Background、Destroy四个状态，如下图
除了上图中的几个生命周期事件，我们在EntryAbility.ts中还看到了onWindowStageCreate回调，onWindowStageCreate在创建window stage时被调用，可以通过window.WindowStage的接口执行页面加载等操作。
至此我们浅入浅出了鸿蒙的图形应用开发，下面如果我们想要在两个应用间完成调用交互，还需要理解一下鸿蒙中的新的名字 Want。Want是对象间信息传递的载体，可以用于应用组件间的信息传递。Want的使用场景之一是作为startAbility的参数，其包含了指定的启动目标，以及启动时需携带的相关数据，如bundleName和abilityName字段分别指明目标Ability所在应用的包名以及对应包内的Ability名称。当AbilityA启动AbilityB并需要传入一些数据给AbilityB时，Want可以作为一个数据载体将数据传给AbilityB。
显式Want : 在启动Ability时指定了abilityName和bundleName的Want称为显式Want。
当有明确处理请求的对象时，通过提供目标Ability所在应用的包名信息（bundleName），并在Want内指定abilityName便可启动目标Ability。显式Want通常用于在当前应用开发中启动某个已知的Ability。
1. `let wantInfo = {`
2. `deviceId: '', // deviceId为空表示本设备`
3. `bundleName: 'com.example.myapplication',`
4. `abilityName: 'FuncAbility',`
5. `}`
隐式Want ：在启动Ability时未指定abilityName的Want称为隐式Want。
当请求处理的对象不明确时，希望在当前应用中使用其他应用提供的某个能力（通过skills标签定义），而不关心提供该能力的具体应用，可以使用隐式Want。例如使用隐式Want描述需要打开一个链接的请求，而不关心通过具体哪个应用打开，系统将匹配声明支持该请求的所有应用。
1. `let wantInfo = {`
2. `// uncomment line below if wish to implicitly query only in the specific bundle.`
3. `// bundleName: 'com.example.myapplication',`
4. `action: 'ohos.want.action.search',`
5. `// entities can be omitted`
6. `entities: [ 'entity.system.browsable' ],`
7. `uri: 'https://www.test.com:8080/query/student',`
8. `type: 'text/plain',`
9. `};`
关于 Want更详细的参数请参考 https://developer.harmonyos.com/cn/docs/documentation/doc-guides-V3/want-overview-0000001478340877-V3
了解了上文中的知识后，我们创建第二个应用
并设置为如下属性，导出的且支持SECONDABILITYSECONDSLICEACTION的action
1. `{`
2. `"name": "FuncAbility",`
3. `"srcEntry": "./ets/entryability/FuncAbility.ts",`
4. `"description": "$string:FuncAbility_desc",`
5. `"icon": "$media:icon",`
6. `"label": "$string:FuncAbility_label",`
7. `"startWindowIcon": "$media:icon",`
8. `"startWindowBackground": "$color:start_window_background",`
9. `"exported": true,`
10. `"skills": [`
11. `{`
12. `"actions": [`
13. `"SECOND_ABILITY_SECOND_SLICE_ACTION"`
14. `]`
15. `}`
16. `]`
17. `},`
继续在其uiability中打印出外部app传入的数据信息
1. `export default class FuncAbility extends UIAbility {`
2. `onCreate(want: Want, launchParam: AbilityConstant.LaunchParam) {`
3. `hilog.info(0x0000, 'testTag', '%{public}s', 'FuncAbility onCreate');`
4. `hilog.info(0x0000, 'testTag', '%{public}s', want.action);`
5. `let infox = want.parameters['info']`
6. `hilog.info(0x0000, 'testTag', '%{public}s', infox);`
8. `}`
非常简单的一个app，现在我们回到上文中的helloworld应用，并为其中的button添加点击事件跳转到第二个app的second page页面
1. `// 添加按钮，以响应用户点击`
2. `Button() {`
3. `Text('Button')`
4. `.fontSize(30)`
5. `.fontWeight(FontWeight.Bold)`
6. `.onClick(() => {`
7. `let context = getContext(this) as common.UIAbilityContext;`
8. `let wantInfo = {`
9. `deviceId: '', // deviceId为空表示本设备`
10. `action: 'SECOND_ABILITY_SECOND_SLICE_ACTION',`
11. `moduleName: '', // moduleName非必选`
12. `parameters: { // 自定义信息`
13. `info: '来自Hello world应用',`
14. `},`
15. `}`
16. `// context为调用方UIAbility的UIAbilityContext`
17. `context.startAbility(wantInfo).then(() => {`
18. ``console.log('testTag', `Succeeded in starting second.`);``
19. `}).catch((err) => {`
20. ``console.error('testTag', `Failed to open start ability. Code is ${err.code}, message is ${err.message}`);``
21. `})`
22. `})`
23. `}`
当在helloworld应用中点击按钮，将跳转到第二个应用的second page页面并打印出相应的数据信息
基础的开发知识已经了解了，那么显而易见的问题就是want的校验等。
want中取数据未判空，对获取的数据的处理过程存在未捕获异常等，将会造成应用拒绝访问
业务逻辑问题，比如want中取出url后使用webview加载，白名单校验存在问题，或文件路径校验问题等
隐式启动Ability时，存在被恶意应用劫持的风险，若携带敏感数据则可能导致数据泄露的风险
startAbilityForResult安全问题，若被启动方未进行安全校验则可能泄露敏感信息等
等其他业务逻辑问题。我们继续在上面第二个应用中的uiability中添加一些从want中获取参数，但是未判空进行处理的情况做一个demo演示（关于want空指针的问题，可能导致应用的被恶意应用攻击而无法正常使用）。漏洞代码如下
1. `export default class FuncAbility extends UIAbility {`
2. `onCreate(want: Want, launchParam: AbilityConstant.LaunchParam) {`
3. `hilog.info(0x0000, 'testTag', '%{public}s', 'FuncAbility onCreate');`
4. `let infox = want.parameters['info']`
5. `hilog.info(0x0000, 'testTag', '%{public}s', infox['unexist'])`
6. `}`
在调用方应用中编写如下代码，注释掉want中的parameters信息
1. `let wantInfo = {`
2. `deviceId: '', // deviceId为空表示本设备`
3. `action: 'SECOND_ABILITY_SECOND_SLICE_ACTION',`
4. `moduleName: '', // moduleName非必选`
5. `parameters: { // 自定义信息`
6. `//info: '来自Hello world应用',`
7. `},`
8. `}`
不出预料通过startAtivity再次拉起应用时目标程序将会crash，日志信息保存在/data/log/faultlog目录下
关于这里可能存在的安全问题主要还是集中在应用处理外部的want数据，所以这里的空指针我们只要添加一处校验即可
1. `onCreate(want: Want, launchParam: AbilityConstant.LaunchParam) {`
2. `hilog.info(0x0000, 'testTag', '%{public}s', 'FuncAbility onCreate');`
3. `hilog.info(0x0000, 'testTag', '%{public}s', want.action);`
4. `let infox = want.parameters['info']`
5. `if( infox === undefined || !infox.hasOwnProperty('unexist') )`
6. `{`
7. `hilog.info(0x0000, 'testTag', '参数非法');`
8. `}else{`
9. `hilog.info(0x0000, 'testTag', '%{public}s', infox['unexist']);`
10. `}`
11. `hilog.info(0x0000, 'testTag', '%{public}s', 'FuncAbility onCreate over');`
13. `}`
或者，添加try catch都可以起到防护的效果
1. `onCreate(want: Want, launchParam: AbilityConstant.LaunchParam) {`
2. `hilog.info(0x0000, 'testTag', '%{public}s', 'FuncAbility onCreate');`
3. `hilog.info(0x0000, 'testTag', '%{public}s', want.action);`
4. `let infox = want.parameters['info']`
6. `try{`
7. `hilog.info(0x0000, 'testTag', '%{public}s', infox['unexist']);`
8. `}catch(err){`
9. `hilog.info(0x0000, 'testTag', '参数非法');`
10. `}`
11. `hilog.info(0x0000, 'testTag', '%{public}s', 'FuncAbility onCreate over');`
12. `}`
在这篇文章里，我们介绍了openharmony应用的一些基础知识，并手动编写了一个存在问题的demo进行演示和修补，希望能对开发者和安全人员带来一些开发或者测试上的帮助。笔者也是纯鸿蒙的初学者，文章中如有错误还请不吝指正，如有笔者未考虑到的风险面也请指出，后续会加强补充，共同学习 : )
https://developer.huawei.com/consumer/cn/doc/harmonyos-guides-V2/want-overview-0000001478340877-V2