关键信息 漏洞描述 漏洞类型: Android Manifest Misconfiguration导致的Task Hijacking。 受影响应用: Voice Changer - Sound Effects app (com.tuyangkeji.changevoice)。 影响范围: 所有Android版本在Android 11之前。 复现步骤 1. 用户下载恶意应用。 2. 用户使用恶意应用。 3. 用户使用受害应用，此时显示的活动不是原应用的活动，而是恶意应用的钓鱼活动。 4. 用户误以为在使用受害应用，输入个人信息或授予权限，导致信息泄露或权限滥用。 原理 利用大多数应用未设置 属性，默认为包名的特点。 攻击者设置与受害应用一致的 值，在启动恶意活动时创建与受害应用相同的任务栈。 当用户打开受害应用时，实际打开的是恶意应用的任务栈，实现任务劫持。 缓解措施 在 中设置应用活动的 属性为 ，强制所有活动使用随机生成的任务亲和性。 或在标签中设置 ，对应用中所有活动强制执行。 攻击者代码示例 视频概念验证 展示了恶意程序执行后成功劫持任务，当用户启动受害应用时，实际打开的是恶意应用。