WebRTC M91未编译usrsctp遭Google Play误报及版本查询问题

1. Google Play检测usrsctp漏洞的规则 #

Google Play的安全检测主要通过以下方式识别含漏洞的库：

• 扫描二进制文件（如.so）中的符号表：即使关闭了usrsctp编译选项，若编译产物中仍残留usrsctp相关的函数符号、全局变量符号，会被检测到。
• 匹配特征字符串/常量：比如usrsctp的版本号字符串、特定漏洞相关的代码特征片段，即使符号被剥离，这些字符串可能仍留在二进制中。
• 依赖链分析：如果应用或其他依赖库间接引用了usrsctp相关代码，也可能被关联检测到。

你遇到的情况大概率是编译时没有完全剔除usrsctp的残留代码或符号，比如某些WebRTC模块默认依赖sctp相关头文件或声明，即使关闭编译选项，部分符号或字符串仍被保留在最终的.so中。

2. 判断libjingle_peerconnection_so.so的WebRTC版本及元信息 #

WebRTC编译产物默认包含版本相关元信息，可通过以下方法判断：

• 字符串扫描：使用strings命令提取.so中的可读字符串，搜索版本标识：

  strings libjingle_peerconnection_so.so | grep -E "M[0-9]{2,}"
  

  通常会输出类似M91、M102的版本标记，这是WebRTC官方分支的版本号格式。
• 符号表查询：使用nm或readelf查看.so的动态符号表，查找版本相关符号：

  nm -D libjingle_peerconnection_so.so | grep webrtc
  

  会找到如webrtc::Version()或包含版本信息的全局变量符号，这些符号能直接对应到编译时的WebRTC版本。
• 源码/构建日志验证：如果是自定义编译，也可以查看编译目录下的args.gn或构建日志，确认编译时指定的WebRTC分支版本。

WebRTC在编译时会自动将版本信息（来自rtc_base/version.cc中的定义）嵌入到二进制文件中，只要编译时没有开启符号剥离或字符串压缩的极端优化，这些元信息都会保留。

内容的提问来源于stack exchange，提问作者klaus zhang