转载对小绵羊的轰炸APP逆向分析

admin

在网络上意外看到一款叫小绵羊的轰炸机APP，经过下载安装(这种未知风险的APP建议都在模拟器上去安装验证和分析功能，有安全风险问题模拟器删除即可)后确认，只要在APP界面的编辑框中输入手机号码，就可以进行对指定手机号码进行短信狂轰炸的效果的（已用自己测试号码验证过效果）。

& Y D: E" X5 g; I7 s1 ]' T( v t

/ S- L% l! C5 F) n5 w% N

0 n: J' c: E3 d* I5 o

[# a1 A2 I, w6 R! s  

下面就以开发者角度进行解析下这个APP的功能的实现原理。

  ) p1 ~5 E% I9 Z& B& `" y1 z

5 G% M8 `8 i/ a1 S" S' y

基础信息 * y/ k* p u' n% k5 r

拿到APP的一般做法，就是先对这个APP进行查壳分析确认，决定是否删除卸载APP还是继续分析APP，还好通过查壳工具(通过识别APP中是否包含市面上的加固产品的特有的so文件特征)一分析这个小绵羊APP是没有加固保护的，这样对APP的分析门槛一下子就降低了。 & B% a! [9 f+ p3 D0 J

5 c2 T, m8 {/ i

! x$ Y$ v4 T) M# w, }$ P

+ z. [( O! H/ Y) t) N$ k

" O& W: Q7 @7 u# Q8 o L  

# r" P) B/ Q2 Q. u: R/ ]& r; L( o, i' W

# t/ Z8 a5 O1 u0 w8 y. D 通过使用jadx进行查看APP的整个组成结构和重点查看java功能代码，通过工具可以查看app主要有java代码 C++代码（so文件），资源数据，lua数据，签名信息组成的。

" o5 E" x' W5 r0 V p

6 u, ]7 ^: J3 d0 p( G   8 H, W# V$ Y" Q [% X8 C# C

通过jadx工具查看，该APP的Java层部分代码采用android studio自带的proguard插件，进行对个别的类名函数名称进行做混淆保护，虽然这种混淆强度并不强，但是还是有很多APP采用这种方式进行对java层保护。只因这种保护成本低，只需简单的进行配置下就可以达到混淆效果。 % D& }7 `$ ^3 L3 k+ s. P

+ s( Z! m3 z4 E* K1 G

# t- q9 G h% t( L

, ^( N% F+ H4 v1 @' A& c   $ L' A% a9 V/ E8 C

& C$ l' g* F J- ]/ D" l6 v. y

启动APP后，通过uiautomatorviewer(SDK中自带的分析控件的工具)工具进行分析该APP的界面控件信息，通过分析可以看到该APP的界面主要由1个EditText和3个Button控件组成的，也就是下面的截图信息。

: K4 b \6 y$ k; h

4 L. ]% w) ~2 s/ K  

下面是这个轰炸APP的界面背景颜色的设置，这个实现功能主要是以lua脚本方式进行实现的。

S/ k7 O6 I2 D; j' ?0 d9 D ) L' ]0 f- x2 M3 I. k1 F0 c

  # r; b( }5 K, h1 F& a

2 n$ Z g" u. n# w

1 k, _ K7 Q6 T" m   2 H8 q/ K9 ^9 s; i

签名信息

" _4 t) l( Y( L- J2 k" R4 G( P3 u; u 通过这jadx工具，可以看到这个APP采用的是V1的签名方式，我们知道V1签名是android最早的数字证书签名，为了提高验证速度和覆盖度在android7.0的系统中引入V2的签名，为了实现密钥的轮转载android 9.0系统中引入V3的签名。 ! b1 {% [8 r. s$ s# D, t# V: \! v- z

+ R- T- q( b; k5 D" w 目前APP中大部分都是通过V1和V2签名相结合的。并且这个在签名过程中要保证按照V1到V2在到V3的签名顺序，因为V1签名的改动会修改到ZIP三大部分的内容，先使用V2签名再V1签名会破坏V2签名的完整性。

0 |0 {1 b3 p7 l$ Q/ }8 |2 W

: P. [% J9 A( q( D( o 在android的app开发过程中，必须对app进行签名，不然过不了系统验证也就无法进行对app安装。

$ P, k6 T6 |2 M8 M

' \; F5 e2 e4 T1 p# L  

0 P. l5 L3 b5 ^9 @/ P _ android签名的数字证书的一般都是采用 X.509的国际标准。 9 B) X: ^9 F& K

$ _" L8 R4 K$ T2 H. B 因X.509内容为第三方可信机构CA对公钥实施数字签名，故也叫公钥证书，数字证书在PKI体系中是一个表明身份的载体，除了用户的公钥，还包含用户公开的基本信息，如用户名、组织、邮箱等。

下图是android studio工具中可以自己创建用于对APP签名的证书，可以看到它包含密码信息、用户名称、组织名称、地区名称、国家信息、省份信息、城市信息。 , Q {1 O& R9 T; m3 ~% L

0 J- D) [/ n3 O/ C

- g9 ?5 \( D# |* F$ _

 

, L" A/ P9 J6 Y' K 同样也可以通过jadx工具，在META-INF目录下的CERT.SF文件中去查看确认签名信息，V1签名的主要关键字Created-By:, V2签名的X-Android-APK-Signed的关键字。

9 L3 |5 i+ y! Y9 D/ F @4 F( V

% g- B/ @" F, u/ t" |5 v* @) i: `" \ % O0 ?" M2 H9 g1 f

) _7 M; K9 W9 h2 ]# ~2 Z 、

5 y+ N- ~5 W0 u, [- p4 }! L0 ~

  . B5 v' p$ g! j) D* L) Q, U

8 E: J b" R v \* K% ^

权限信息

- g( j; Y9 ?; u, @ 在这个AndroidManifest.xml文件中主要包含app中所需要的权限，四大组件信息，app包的相关信息（包名称、sdk目标版本、sdk最低版本等等） ( c9 S4 D8 b# W& |( Q

T4 w& e2 g2 y& [$ q- @ android的机制下想要读取相关的信息，都需要向用户申请权限，这个不仅符合android的安全机制，也符合目前国内的安全合规，同样也可以通过申请的权限信息了解APP的功能需求。

* B' L* {# u6 H

% c7 i8 q9 z: \, n$ s2 t2 O* B . W( [6 N- v2 j8 w) X( c) o

1 X1 M1 k+ M$ ~- f# d4 g

  b0 x! Q* S; u9 a

$ H3 [) ?) n Z* r. T

下面对这个APP的所有权限进行详解下：

+ z/ C1 I8 E1 C7 N4 A- h

android.permission.INTERNET ：访问网络连接可能产生GPRS流量 3 M1 @0 U; ]% l( A& q# T0 i

' c+ P2 G/ t: v- R$ E9 {5 m2 W; d android.permission.ACCESS_NETWORK_STATE：获取网络信息状态，如当前的网络连接是否有效 5 z, P+ A9 ~3 R; b: ~1 M3 s7 g

6 l: F' _! b# k; s& _ F

1 |* ]. T- _# R android.permission.ACCESS_WIFI_STATE:获取当前WiFi接入的状态以及WLAN热点的信息 ( V* f& @! K7 A5 r0 u

% ~: \ x- {2 e# Y7 U

android.permission.WRITE_EXTERNAL_STORAGE：允许程序写入外部存储，如SD卡上写文件

android.permission.WRITE_SMS：允许应用程序写短信内容 5 B) ` z" I( J- k% X; p" u

% M% N( D o# p( S' z

( S( G. N- M! D- ^1 |, k9 q/ B android.permission.READ_SMS：允许应用程序读取短信内容

android.permission.WRITE_SETTINGS:允许应用程序读取或写入系统设置 - K% V* n4 a+ }

3 _; e& F( w6 F) \6 { android.permission.CLEAR_APP_CACHE：允许程序清除应用缓存

& c. d4 F5 C1 l# W$ L0 ]5 u2 w android.permission.BLUETOOTH：允许程序连接配对过的蓝牙设备 / L' J4 A C; |: b+ a

android.permission.VIBRATE：允许振动 5 V \0 L5 @3 L4 I; \ j

android.permission.READ_LOGS：允许程序读取系统底层日志

% c9 Y, |( y* o! f android.permission.READ_FRAME_BUFFER：允许程序读取帧缓存用于屏幕截图 

1 `$ c7 n5 d$ `1 L   & r/ y* P$ C9 v/ ^& s* \6 N

功能信息

' W- k. W6 t/ U. h' r

  - | u* f$ j2 @" \6 ^4 t

这个APP的主要功能都是在lua上实现的，从界面到轰炸功能都集成到lua上。

Lua是一门用标准C编写的动态脚本语言，如果希望在android上使用，则需要解决2个问题。 2 f, c+ X* r0 c, x( L( X

# |/ P# U& Z5 _8 [ 1、需要用JNI为Lua的C库进行封装，这样才可能在Java中使用。

3 C" d: |, O! T# f: W9 V

2、由于Android系统开发所特有的系统环境限制，Lua三方库的动态加载机制和lua脚本模块的导入机制将不能正常运行，需要进行特殊处理。 + }2 E) L: r; m: m& V% [

6 K- H6 A9 \5 j* {4 ]/ ?; I( G

5 C& U/ y3 b2 y

" @# i2 W9 x2 C0 F, Y4 ~' j   ; ]: \: w* x$ Q! ]

* e8 W2 G" L0 m' m$ y0 `

输入好手机号码后（不过这个输入都没做验证，随便输入数据都进行执行一遍功能），通过charles抓包工具进行抓取数据吧，可以很清晰的看到，点击轰炸后，马上执行发送406个网络数据包，这些数据主要集中在作者收集的406个各种类型网站进行发网络账号注册验证码信息的轰炸。

, z( z, W0 c" S' P& W+ | ; C' e* P" E) H S

$ f5 N: q( [6 p2 b   9 q0 ?* Z# ~8 z) V5 J% K% C

6 P8 x: d2 j, s* }* k

在lua功能中，有对vpn的判断，通过简单判断获取当前网络状态，并且判断网络状态是否属于vpn的状态，如果属于vpn状态，那么就往storage的目录下写入时间点设定，并且强制关闭APP，当在启动APP的时候会先判断文件是否有写入判断禁入的信息，如果有就不让启动APP。其实破解这个验证很简单，直接将文件的禁入信息清空即可。 % j9 F. ^! w: k, v

6 L$ Z3 v$ p+ P4 v, f + ]1 q+ B" A9 m( e2 B

5 y O& W# a* K8 |: O, n& |

' M3 h5 R, g/ c* K9 i% } 下图的这几个so是网络上lua和socket通用的so文件，并没有什么可研究价值。

6 }4 ~! B6 y6 H- z0 l- b6 L9 O

$ g! S# l- }& ]0 X, @& ?3 Y# {; E3 g

 

通过分析libsocket.so这个so文件，可以确认采用的是luaSocket 3.0版本 . F$ \# ~2 |- E, T" @

, Y* t& A$ p, t. t. n. c

2 X4 e8 y- F" _$ \9 w LuaSocket 它是 Lua 的网络模块库，它很方便地提供 TCP、UDP、DNS、FTP、HTTP、SMTP、MIME 等多种网络协议的访问操作。

这个luasocke一部分是用 C 写的核心，提供对 TCP 和 UDP 传输层的访问支持。另外一部分是用 Lua 写的，负责应用功能的网络接口处理。 , J2 f& e. s$ y* N3 J! }, q' K

开源的luasocket代码可以参考学习下 . i) B ~) j! M6 J

% L5 q9 b& B& q( u( g1 X https://github.com/lunarmodules/luasocket ( r5 `7 G& O/ k! j9 z% e

! j; r, G( \# D https://github.com/fengye/luasocket 7 l6 w7 i3 P5 U9 T( V% t8 [) O. u

( M# }# r3 ^6 M K3 G: |$ M. A   0 g& c4 o' v$ { H) q4 t N/ G' P- y

4 d9 ~2 D- v4 k

# J; N. I$ ^4 o z( C4 ^

' n2 d% f8 E- O   ! c( b4 C5 Y1 ?- R5 b/ h* S

* u4 ]) y1 |, ]

2 J2 a9 u# L* V2 h/ s. x  

总结

纵观整个轰炸APP的功能，分析这个APP都没有采取任何保护(加壳、反调试)就没有门槛了，基本也不需要涉及到脱壳、hook和动态调试这些操作，只要用几个(jadx、charles、ida、uiautomatorviewer)工具就可以将功能全部分析清楚。

4 X$ a+ N) P9 Q& a! u7 C& z

S/ d( o: @4 Y, }* s5 E$ k6 | 感叹这个作者确实很用心的去做这个轰炸的功能，去收集了406个的各类型的网站进行手机注册功能。

对于这种具有攻击性的APP还是要慎重下，免费APP功能的前提往往会有给APP植入后门或者病毒的存在。

% Q/ @) l4 X7 S# z, U, x6 ?

结束

+ l0 v. B+ T" D7 w) J6 n2 |# P2 U

 【推荐阅读】 , O" g; @' [- Y* v

对吃鸡APP的分析 : H: p) _, }+ V6 j1 \3 ^1 F" X

0 ~7 Z/ [6 [* ^6 a8 b2 F 你需要了解的APP安全

* D, v" t7 N: @& r( I( h 你需要了解的APP安全