Android 瀏覽器 (WebView/舊版 Stock Browser) 存在 **下載無提示漏洞**：攻擊者可利用 JavaScript + 重導向，在用戶無感知下下載惡意腳本至 SD 卡，再竊取 SD 卡資料上傳。Google 已確認並計劃修補。本文分析攻擊原理、影響範圍，提供三大即時防護措施。

漏洞原理與影響範圍

• 觸發條件：用戶瀏覽含惡意 JS/重導向的網頁 → 瀏覽器靜默下載檔案至 SD 卡 → 惡意腳本讀取 SD 卡檔案 → 上傳攻擊者伺服器。
• 受影響版本：Android 2.2 (Froyo) 及舊版 Stock Browser/WebView。已在 Android 4.4+ (Chromium WebView) 大幅緩解。
• 實測機型：HTC Desire、Nexus One、三星 Galaxy Tab (Android 2.2) 已確認可被利用。
• 權限邊界：Linux 核心權限隔離限制攻擊者**僅能存取 SD 卡 (外部儲存) 及極少數世界可讀系統檔**；**內部儲存 (/data) 與系統分區安全**。**Root 手機風險大增** (攻擊者可能提權存取 /data)。
• 前提：攻擊者需知曉目標檔案確切路徑/檔名。

三大即時防護技巧

1. 停用瀏覽器 JavaScript：設定 → 瀏覽器設定 → 取消勾選「啟用 JavaScript」。
   副作用：大量現代網頁無法正常顯示/互動，體驗大幅下降。
2. 瀏覽時卸除 SD 卡：物理拔除 microSD 卡，攻擊者無落腳點。
   副作用：無法存取卡內資料、相機無法存檔、部分 App 崩潰，極不實用。
3. 改用支援「下載前提示」的第三方瀏覽器 (推薦)：**Dolphin HD、Firefox、Chrome Beta、Opera Mobile** 等會在下載前彈出確認對話框，有效阻斷靜默下載。
   優勢：兼顧安全與體驗，現代渲染引擎支援最新 Web 標準。

長期防護建議

• 升級系統：Android 4.4+ 採用 Chromium WebView，沙箱隔離、下載管理器統一攔截，根本修復此類漏洞。
• 安裝安全套件：可靠的移動安全軟體 (如 Lookout、Avast、360、騰訊手機管家) 可攔截惡意下載、掃描 SD 卡異常檔案。
• 謹慎授予儲存權限：Android 6.0+ 執行時權限模型，僅在必要時授予 App 「儲存空間」權限。
• 避免 Root / 謹慎管理 Root 授權：Root 會繞過 Linux 權限隔離，放大一切漏洞影響。使用 Magisk + 模組隱藏、僅對可信 App 授權。
• 定期備份 SD 卡重要資料** 到雲端/電腦，遇到竊取損失可控。