转载对小绵羊的轰炸APP逆向分析

admin

在网络上意外看到一款叫小绵羊的轰炸机APP，经过下载安装(这种未知风险的APP建议都在模拟器上去安装验证和分析功能，有安全风险问题模拟器删除即可)后确认，只要在APP界面的编辑框中输入手机号码，就可以进行对指定手机号码进行短信狂轰炸的效果的（已用自己测试号码验证过效果）。

+ Y$ ]9 R% `8 k' `: g$ E + i9 E0 R! P' Z l0 S$ L

' b* @" U9 s5 S [

  " G6 @6 Z8 _% D3 O1 }8 i

$ b9 [4 P' L9 R% D$ p1 _1 m, e

~6 k0 r, r( S7 b/ | 下面就以开发者角度进行解析下这个APP的功能的实现原理。

9 h1 Y$ A( [2 [/ s% c* M" K

- f3 F6 p5 i: o+ Q   ! X C+ L' R4 h; _3 r1 a+ T

1 }+ {5 C$ b& ~! h- g. r. x6 p

1 @* g O' O; e' N 基础信息 3 ^5 W9 J; V' _ ?

3 }- Y" C+ b. i, F1 I( Z. N* l4 b 拿到APP的一般做法，就是先对这个APP进行查壳分析确认，决定是否删除卸载APP还是继续分析APP，还好通过查壳工具(通过识别APP中是否包含市面上的加固产品的特有的so文件特征)一分析这个小绵羊APP是没有加固保护的，这样对APP的分析门槛一下子就降低了。

+ J% H$ k7 j. K$ R3 |' v/ M

 

& X$ ~! @: P' R4 w E* j5 u) j

通过使用jadx进行查看APP的整个组成结构和重点查看java功能代码，通过工具可以查看app主要有java代码 C++代码（so文件），资源数据，lua数据，签名信息组成的。

$ a+ {+ Y8 \4 c0 F& C/ R0 p

0 t: p6 h6 d2 B2 @5 L5 v 4 V$ }9 Z7 N6 V

  & j& D. H* u S; l

通过jadx工具查看，该APP的Java层部分代码采用android studio自带的proguard插件，进行对个别的类名函数名称进行做混淆保护，虽然这种混淆强度并不强，但是还是有很多APP采用这种方式进行对java层保护。只因这种保护成本低，只需简单的进行配置下就可以达到混淆效果。 # }! R& X1 ?2 M5 y) u

3 z P" w% y/ h; g1 y+ o

: U5 G2 ]( t2 m3 w% n: z 9 h6 ?$ ]8 @# b

! W% N$ o1 w/ \3 }

0 M4 X0 o# E2 S9 [& K3 \/ `, s; N: F   ! u5 S9 p3 U, B$ P

启动APP后，通过uiautomatorviewer(SDK中自带的分析控件的工具)工具进行分析该APP的界面控件信息，通过分析可以看到该APP的界面主要由1个EditText和3个Button控件组成的，也就是下面的截图信息。 7 O) c- G8 t; j- j, X

9 j) W' f: E6 P- n# F" d* M

" l# Y/ c$ D. |7 U2 M; g

 

) u" Q2 t, ]6 `) t 下面是这个轰炸APP的界面背景颜色的设置，这个实现功能主要是以lua脚本方式进行实现的。

5 F j: P# I/ K+ Q6 v i

! v9 r7 L; l+ I3 O" y3 _

2 l4 n2 B& G" U0 o$ p& Q

' s, E7 X' f! c6 d2 u   : L; d& V6 B5 P7 }/ v& e

' z% M- d- [; O. ^

  + x2 k+ a& C, u; u* v

签名信息 ) Z: `0 B+ w7 q, i( z

$ |6 j# B0 [' u/ u/ o 通过这jadx工具，可以看到这个APP采用的是V1的签名方式，我们知道V1签名是android最早的数字证书签名，为了提高验证速度和覆盖度在android7.0的系统中引入V2的签名，为了实现密钥的轮转载android 9.0系统中引入V3的签名。 ) F$ j7 r4 ]0 I f1 g' l

% p3 c' X1 v# V* z0 }! j

% K! m* E1 F4 ?% _/ `, f3 V( e W 目前APP中大部分都是通过V1和V2签名相结合的。并且这个在签名过程中要保证按照V1到V2在到V3的签名顺序，因为V1签名的改动会修改到ZIP三大部分的内容，先使用V2签名再V1签名会破坏V2签名的完整性。 0 l/ ~# | R! m" {/ L

, X$ @7 v3 p% I5 m: T- S4 M% P: b

& Z4 `* C5 `$ |- Y 在android的app开发过程中，必须对app进行签名，不然过不了系统验证也就无法进行对app安装。 , c- z9 W3 Q' ?3 Z5 d; d

8 j. r+ \% G. A* D5 W0 X: F9 |* E& }

/ |' A, i- B( `; e& }  

/ E# v. d8 Z: G$ Q( M: C8 C% w

4 F' K! K" a+ g! F android签名的数字证书的一般都是采用 X.509的国际标准。

; p1 L4 g+ O W( M

. U$ t9 C. e1 p3 _4 R$ M @ 因X.509内容为第三方可信机构CA对公钥实施数字签名，故也叫公钥证书，数字证书在PKI体系中是一个表明身份的载体，除了用户的公钥，还包含用户公开的基本信息，如用户名、组织、邮箱等。 + _: [( ?) s# x/ w

' F1 O' J0 Y2 c. ]- Q5 R 下图是android studio工具中可以自己创建用于对APP签名的证书，可以看到它包含密码信息、用户名称、组织名称、地区名称、国家信息、省份信息、城市信息。 & A$ `; G W/ a1 _. K6 {

& I E n# Q9 d) T& \+ {' a

; m$ {* R% b! {6 J2 p7 T" J0 I ; m- W' Q5 P8 o5 L

5 t* J ?3 @8 P/ h. i- V5 F# `* |   " T/ T1 Y1 j& c. x; c5 N

9 x8 _5 A+ @7 B

8 t1 d- I, K! a: c5 I! i4 ^1 A 同样也可以通过jadx工具，在META-INF目录下的CERT.SF文件中去查看确认签名信息，V1签名的主要关键字Created-By:, V2签名的X-Android-APK-Signed的关键字。

2 p9 f: W8 s, b! G7 O

* b$ G: R* H U- ]& \% G/ J* r 、 * w% W6 x: ?0 @, l

" b+ ?3 ^2 s# I+ U0 o& _

. c+ D% p2 K. L4 s& _" Y, z  

+ P5 t! S2 _3 O- l) l) C7 L: Y. ]

2 v9 I, v% i$ Y. A3 ]; U' w 权限信息

' y! j% e, N V0 s 在这个AndroidManifest.xml文件中主要包含app中所需要的权限，四大组件信息，app包的相关信息（包名称、sdk目标版本、sdk最低版本等等） & t* O! G) g- i7 R: n/ ^$ }

6 X7 n! b: M) ^! T

3 m( F0 g" @6 f1 f& L6 ? android的机制下想要读取相关的信息，都需要向用户申请权限，这个不仅符合android的安全机制，也符合目前国内的安全合规，同样也可以通过申请的权限信息了解APP的功能需求。 5 E5 q# _. P# z1 K; m& V3 b2 v

$ ?9 D) d4 Q& Z/ j& Q

/ I# F H( N2 e

 

. H! H V, q1 j' H; E; f 下面对这个APP的所有权限进行详解下：

0 p* R+ c/ K3 d" T android.permission.INTERNET ：访问网络连接可能产生GPRS流量

' {% N3 `% U/ l, i- v% B

) j, N% i7 f. I( E android.permission.ACCESS_NETWORK_STATE：获取网络信息状态，如当前的网络连接是否有效

, Z& v1 e- Y8 r/ I7 M

android.permission.ACCESS_WIFI_STATE:获取当前WiFi接入的状态以及WLAN热点的信息

android.permission.WRITE_EXTERNAL_STORAGE：允许程序写入外部存储，如SD卡上写文件 - V: M7 `9 E' r9 |9 r

" }2 x. ^3 F3 Z0 o android.permission.WRITE_SMS：允许应用程序写短信内容

* T L6 V N# D" @+ S- j android.permission.READ_SMS：允许应用程序读取短信内容 & }: k( Z0 R2 N. V$ G

- V' r6 s1 a+ y( I- l

( U# E) ~1 u2 L, }( N# Q; g android.permission.WRITE_SETTINGS:允许应用程序读取或写入系统设置

6 @# l _- Y0 P: F& _) T

; B' g, J6 B+ h* w G5 F android.permission.CLEAR_APP_CACHE：允许程序清除应用缓存

' [9 T. X0 o0 U% c android.permission.BLUETOOTH：允许程序连接配对过的蓝牙设备

9 Y: X% b8 l* B- B% } android.permission.VIBRATE：允许振动

% [9 O$ t# a4 b/ p3 v

android.permission.READ_LOGS：允许程序读取系统底层日志

4 n' p! |$ P$ q6 Z4 K# y

android.permission.READ_FRAME_BUFFER：允许程序读取帧缓存用于屏幕截图 

  # m B: o. O% h5 k# M

% ^+ a2 |9 O3 E, z* N- B' M 功能信息

  4 M8 b7 J- Q7 f2 g6 |% H

$ O+ i* E) S! ?$ h) I& `, b9 ~ 这个APP的主要功能都是在lua上实现的，从界面到轰炸功能都集成到lua上。

* p# R& E; ^3 z( ]

! ?/ O2 s( h3 u3 |, p2 S0 @ Lua是一门用标准C编写的动态脚本语言，如果希望在android上使用，则需要解决2个问题。

8 u" F, e$ u2 w5 S }; S2 L# K

, Y1 g& l8 Q, e# E3 \, [ 1、需要用JNI为Lua的C库进行封装，这样才可能在Java中使用。 : m) P- l6 s# r5 ]: [

4 O Q! W! |: O; C$ H9 l' L

4 Y. z6 |$ R9 C" ?. p" X 2、由于Android系统开发所特有的系统环境限制，Lua三方库的动态加载机制和lua脚本模块的导入机制将不能正常运行，需要进行特殊处理。

1 E: k1 j1 S @! E( z. h   / X( f4 f2 ?6 p- Z+ U v/ L

1 Z/ Z( s4 V7 Y! g+ r+ D 输入好手机号码后（不过这个输入都没做验证，随便输入数据都进行执行一遍功能），通过charles抓包工具进行抓取数据吧，可以很清晰的看到，点击轰炸后，马上执行发送406个网络数据包，这些数据主要集中在作者收集的406个各种类型网站进行发网络账号注册验证码信息的轰炸。 7 n9 A& k* f2 o1 ^+ G0 g

" w5 g% |" R B8 a5 a4 R: |

4 d6 }0 p8 @* @- v4 x6 L  

在lua功能中，有对vpn的判断，通过简单判断获取当前网络状态，并且判断网络状态是否属于vpn的状态，如果属于vpn状态，那么就往storage的目录下写入时间点设定，并且强制关闭APP，当在启动APP的时候会先判断文件是否有写入判断禁入的信息，如果有就不让启动APP。其实破解这个验证很简单，直接将文件的禁入信息清空即可。

. D& h! M$ d* q

下图的这几个so是网络上lua和socket通用的so文件，并没有什么可研究价值。

6 p. f" d( m* ]2 z6 s* v$ W+ F& v8 z1 k

- Y4 e, v! J% H- x/ Q% R# Q

 

) M; _7 E) U+ g# ^* R

, I S! ~7 I; T( S4 y 通过分析libsocket.so这个so文件，可以确认采用的是luaSocket 3.0版本

) C. t2 o- t3 t7 M: ]- W

( }, C, t2 j: P LuaSocket 它是 Lua 的网络模块库，它很方便地提供 TCP、UDP、DNS、FTP、HTTP、SMTP、MIME 等多种网络协议的访问操作。 2 g7 y. ^! P* x, f/ w& s$ v: I! r

. {7 Q- x& I& e2 Q' }5 o

3 h. E3 N6 c# A; F' B) P 这个luasocke一部分是用 C 写的核心，提供对 TCP 和 UDP 传输层的访问支持。另外一部分是用 Lua 写的，负责应用功能的网络接口处理。

% R, z3 r4 ]6 J& } 开源的luasocket代码可以参考学习下 ; B$ a( x0 T k8 i4 C( t+ }

3 ^# h/ ?! }, a) {, P5 L' E& g5 G, j

https://github.com/lunarmodules/luasocket

& i$ ?9 [- e! j3 Q/ b8 F

3 A! g+ b `- ^3 K% c+ c# I) v https://github.com/fengye/luasocket 0 K4 ^6 i. }) o3 q+ [

  + G: T7 u- T0 w' c/ B. I

# D, k, |2 P" K1 D# `) d

, d) O4 B5 c! b) x7 @( R3 y

  8 w. U8 L) y9 s9 ?

' Y' u& T3 k! _- ^% V: q) o w5 l  

7 D j1 W5 D8 b U5 e

& Q- B' K/ ?. e9 Y 总结

7 p1 E w1 }2 v0 u7 U, G; M4 m4 i0 O

6 f/ l) `# b+ m( e5 A+ ^9 Z 纵观整个轰炸APP的功能，分析这个APP都没有采取任何保护(加壳、反调试)就没有门槛了，基本也不需要涉及到脱壳、hook和动态调试这些操作，只要用几个(jadx、charles、ida、uiautomatorviewer)工具就可以将功能全部分析清楚。 , Z$ \9 h! i$ W- @+ U8 G3 K

/ @8 z7 ~ q! ]' J2 k- L 感叹这个作者确实很用心的去做这个轰炸的功能，去收集了406个的各类型的网站进行手机注册功能。

9 K9 E2 r2 a" O" a2 W( a

对于这种具有攻击性的APP还是要慎重下，免费APP功能的前提往往会有给APP植入后门或者病毒的存在。

结束

( K5 ~8 Z# ~0 q7 V  【推荐阅读】

8 k: F1 D x: J( X4 a: k

9 [9 I, X5 }. o+ r3 \, R/ d 对吃鸡APP的分析

9 |% z5 Y; I5 A

, I! o2 }2 L1 m' i0 C: L 你需要了解的APP安全 ) {& I+ p$ C8 f n4 F* {

$ X: n' q0 U1 Y% a5 ~! |: [* S

' P# E$ k. p1 V 你需要了解的APP安全

$ i5 a: q- X) r% e7 z

  * W, d, C; w& B, a