转载对小绵羊的轰炸APP逆向分析

admin

在网络上意外看到一款叫小绵羊的轰炸机APP，经过下载安装(这种未知风险的APP建议都在模拟器上去安装验证和分析功能，有安全风险问题模拟器删除即可)后确认，只要在APP界面的编辑框中输入手机号码，就可以进行对指定手机号码进行短信狂轰炸的效果的（已用自己测试号码验证过效果）。

0 W& P3 F& {; E9 {% p. X" h- F3 a0 R

7 r. d, U- w b

  5 A: i" o: O1 C" u- Q8 Q0 }

! R9 C/ D+ S1 {0 o

下面就以开发者角度进行解析下这个APP的功能的实现原理。

# v! ~1 t% M+ }7 f5 M* d N  

! H. e5 d' r/ b/ K3 j/ ^# i

基础信息 * B5 ^$ Z N5 N& f" m5 w( L: O: `

/ Y3 k# J$ o% O3 a, m0 {& \/ j

拿到APP的一般做法，就是先对这个APP进行查壳分析确认，决定是否删除卸载APP还是继续分析APP，还好通过查壳工具(通过识别APP中是否包含市面上的加固产品的特有的so文件特征)一分析这个小绵羊APP是没有加固保护的，这样对APP的分析门槛一下子就降低了。

8 a* o2 K" Z) M+ }( z: I: D

( A; U: z! r" q

  # t; h- {: f V: K, ^# t) H

- b8 n% X4 l& S8 }! r4 s

2 h+ w, t% f2 z 通过使用jadx进行查看APP的整个组成结构和重点查看java功能代码，通过工具可以查看app主要有java代码 C++代码（so文件），资源数据，lua数据，签名信息组成的。

/ V+ j: R4 n5 [- K. I# }. [3 d7 L  

' q' X9 O& b8 s% f/ L' Q1 u 通过jadx工具查看，该APP的Java层部分代码采用android studio自带的proguard插件，进行对个别的类名函数名称进行做混淆保护，虽然这种混淆强度并不强，但是还是有很多APP采用这种方式进行对java层保护。只因这种保护成本低，只需简单的进行配置下就可以达到混淆效果。

' w& |( g7 q) r" @' ?7 U6 l

6 N$ h! C8 w# {: l+ V7 J0 L6 z

 

5 F! t% a( L+ E4 V1 U7 |3 E( f

启动APP后，通过uiautomatorviewer(SDK中自带的分析控件的工具)工具进行分析该APP的界面控件信息，通过分析可以看到该APP的界面主要由1个EditText和3个Button控件组成的，也就是下面的截图信息。 0 n1 ?; F8 v8 G- o" {3 Z

1 d* L ^* ]1 @: ] {% x

& x- h( l7 K) |. S- V- R( b; P

; F& e+ i& Y+ V+ f  

下面是这个轰炸APP的界面背景颜色的设置，这个实现功能主要是以lua脚本方式进行实现的。 , X% x# a0 r7 M$ i* l

6 X8 Z% w' c# J9 g   6 T0 z' `9 U4 X `9 b' F, L( k

2 I" n: [/ ?2 V5 Y0 R+ H0 A   / w4 n$ j6 I9 a7 L9 E& T* Q

, n- w, i% h+ C! q$ i j* T6 M, x

1 k3 r9 X& n" W* ] 签名信息 $ i# U8 e& N3 S. Q5 A/ f

u/ t' S6 B! g2 X: ~& i3 ~

. o) f" ~* o, b! T/ E" X& c 通过这jadx工具，可以看到这个APP采用的是V1的签名方式，我们知道V1签名是android最早的数字证书签名，为了提高验证速度和覆盖度在android7.0的系统中引入V2的签名，为了实现密钥的轮转载android 9.0系统中引入V3的签名。

/ U2 J" l8 s1 v. H( |, }' O

目前APP中大部分都是通过V1和V2签名相结合的。并且这个在签名过程中要保证按照V1到V2在到V3的签名顺序，因为V1签名的改动会修改到ZIP三大部分的内容，先使用V2签名再V1签名会破坏V2签名的完整性。

在android的app开发过程中，必须对app进行签名，不然过不了系统验证也就无法进行对app安装。 + i& x* a# O8 }/ h7 {# ~% d

$ C' ^) X; f- x }7 o% V: B

% F& U1 u+ \9 Z7 y! e; o0 {

" G# M% c! \2 V& A   5 [8 L7 p5 C' \0 g3 k8 \" s4 h7 a

$ A& f' J* b* F k, ~; _3 a android签名的数字证书的一般都是采用 X.509的国际标准。

因X.509内容为第三方可信机构CA对公钥实施数字签名，故也叫公钥证书，数字证书在PKI体系中是一个表明身份的载体，除了用户的公钥，还包含用户公开的基本信息，如用户名、组织、邮箱等。

下图是android studio工具中可以自己创建用于对APP签名的证书，可以看到它包含密码信息、用户名称、组织名称、地区名称、国家信息、省份信息、城市信息。

, f/ h" [% n7 K, q) G

 

8 |) K( p/ q2 r6 v) E

同样也可以通过jadx工具，在META-INF目录下的CERT.SF文件中去查看确认签名信息，V1签名的主要关键字Created-By:, V2签名的X-Android-APK-Signed的关键字。

、

  + W0 K/ Q D* J: Z+ O g

w2 g; C/ _ i7 w

权限信息 # e/ M+ d( \* B" c- [

# U9 Y9 Q0 R" ?3 \2 l* d

在这个AndroidManifest.xml文件中主要包含app中所需要的权限，四大组件信息，app包的相关信息（包名称、sdk目标版本、sdk最低版本等等） 5 u) \8 ~% C6 q2 Z) e6 H

9 ~. |6 x7 s" E0 C' g( C& J android的机制下想要读取相关的信息，都需要向用户申请权限，这个不仅符合android的安全机制，也符合目前国内的安全合规，同样也可以通过申请的权限信息了解APP的功能需求。 ) g: V S ]/ c

. [5 m1 ]5 e! f$ f$ B( @6 d2 ?

0 p- W# d; w$ q, f: j

  - c. p2 b, j: o" l

* b4 B4 H- z2 K* N

5 A5 {" T2 Y! \" P# P9 b2 A$ f 下面对这个APP的所有权限进行详解下： 1 m k$ A3 h3 u: ?3 D

android.permission.INTERNET ：访问网络连接可能产生GPRS流量 * r, K0 Y7 o# x8 T

Q( V6 T( |: k, f2 B; Y7 m o android.permission.ACCESS_NETWORK_STATE：获取网络信息状态，如当前的网络连接是否有效 2 j+ R4 p- x0 j3 j

, }3 O* }8 `- K0 {( k5 G android.permission.ACCESS_WIFI_STATE:获取当前WiFi接入的状态以及WLAN热点的信息

android.permission.WRITE_EXTERNAL_STORAGE：允许程序写入外部存储，如SD卡上写文件

android.permission.WRITE_SMS：允许应用程序写短信内容 / k0 L6 _* {" s* K" k

; Y! j2 p2 T! [: @# j* ^; ?* Q) D android.permission.READ_SMS：允许应用程序读取短信内容

% p( w! P: L S% S1 m) _

$ h- D R0 n1 M4 c% Q, {/ ^ android.permission.WRITE_SETTINGS:允许应用程序读取或写入系统设置

D7 ~8 G" ]' x8 \/ i' H7 B" Y) ?

8 s: r3 Q1 t! Q) \" L8 b android.permission.CLEAR_APP_CACHE：允许程序清除应用缓存

android.permission.BLUETOOTH：允许程序连接配对过的蓝牙设备 3 r5 [' y0 Z5 l6 h) [" s) C' \* T/ C

, V$ g, R' u" W, ` android.permission.VIBRATE：允许振动

android.permission.READ_LOGS：允许程序读取系统底层日志

% K' d+ e9 i, J! O2 z

6 W3 H, O: S3 o4 g( J9 {0 o% w7 c android.permission.READ_FRAME_BUFFER：允许程序读取帧缓存用于屏幕截图  ; B$ [/ w6 c7 j

- }: L! o, ^" A; b6 k

# J$ w( p. d/ v1 l   m; Y V; o: |1 {1 u

* t/ X( n" E$ `5 z. M

2 A8 @" V& ~/ ]! J. v" c 功能信息

1 q- P2 _: ~0 D9 x$ |  

' X( a" }+ \7 R. [- i: N 这个APP的主要功能都是在lua上实现的，从界面到轰炸功能都集成到lua上。

8 {3 S( V& a3 T d. Y+ s

Lua是一门用标准C编写的动态脚本语言，如果希望在android上使用，则需要解决2个问题。

; P+ }3 f3 i* |2 u1 ] G

; z J$ p( b" f/ f 1、需要用JNI为Lua的C库进行封装，这样才可能在Java中使用。

6 L8 W- }4 e9 y9 O/ j 2、由于Android系统开发所特有的系统环境限制，Lua三方库的动态加载机制和lua脚本模块的导入机制将不能正常运行，需要进行特殊处理。 & Z# J8 v- m# v, t

' i' [0 v2 ~) r9 P$ F

  1 l, [8 W) P7 B/ U- @& l P( ^1 e ^

4 u7 i' p3 T+ p0 Z/ T4 ?/ C( S 输入好手机号码后（不过这个输入都没做验证，随便输入数据都进行执行一遍功能），通过charles抓包工具进行抓取数据吧，可以很清晰的看到，点击轰炸后，马上执行发送406个网络数据包，这些数据主要集中在作者收集的406个各种类型网站进行发网络账号注册验证码信息的轰炸。

' ^- Y6 ?7 t( N) y . s* [. W t4 s7 ^& n' a6 x

' V2 l; y. d; A. `/ F   ! b# ~# _* J! | I

; c$ {* d* e0 c

- q ~6 h& K1 {6 f6 x9 ^! D; K4 C7 k3 y 在lua功能中，有对vpn的判断，通过简单判断获取当前网络状态，并且判断网络状态是否属于vpn的状态，如果属于vpn状态，那么就往storage的目录下写入时间点设定，并且强制关闭APP，当在启动APP的时候会先判断文件是否有写入判断禁入的信息，如果有就不让启动APP。其实破解这个验证很简单，直接将文件的禁入信息清空即可。 + ]* \( t2 f/ Q) L8 T6 M

* y8 u9 v$ a1 h1 t+ i # y! T8 C3 J7 E

& L+ C+ T4 K8 {1 p

下图的这几个so是网络上lua和socket通用的so文件，并没有什么可研究价值。

* S( Q0 K3 Q4 \

- u- @3 V) u5 Z! x X) r

) T5 i+ m7 C- Z" B   + v% v, g L0 z' Z0 p. Y

& r) A" [; H* L0 c' P

通过分析libsocket.so这个so文件，可以确认采用的是luaSocket 3.0版本 ( A% q1 |, [4 J: c1 R6 Y& ?

LuaSocket 它是 Lua 的网络模块库，它很方便地提供 TCP、UDP、DNS、FTP、HTTP、SMTP、MIME 等多种网络协议的访问操作。 1 H$ T& u f; u

这个luasocke一部分是用 C 写的核心，提供对 TCP 和 UDP 传输层的访问支持。另外一部分是用 Lua 写的，负责应用功能的网络接口处理。

. A5 r2 h* T0 }

* M9 J6 z; d8 a5 [ 开源的luasocket代码可以参考学习下 ( f v% w: r3 A7 \) _

B( t5 X! \/ Z

https://github.com/lunarmodules/luasocket # q1 w6 M N/ i

, f: W3 Q# R' R% b- a- J

- J2 a) S: S5 O# c https://github.com/fengye/luasocket

N$ J3 b4 C9 ~/ k   ; H$ }" S$ |9 Y# _' N' f

! _! ^; m* s# I* B7 B$ f) c

) ]% V; F5 P# I7 E0 Z5 p

) ^* Q9 K2 M) j1 p# }4 K   " @9 ?' P3 y8 [' U

0 L: H3 T0 _; ^& B6 ~! J

 

) p4 [$ h2 x/ |& Z5 F$ s( a9 v

总结

' a/ j6 F. r2 \3 E4 q5 h

- `- t% h# }! F/ [& H: q# b3 N# R 纵观整个轰炸APP的功能，分析这个APP都没有采取任何保护(加壳、反调试)就没有门槛了，基本也不需要涉及到脱壳、hook和动态调试这些操作，只要用几个(jadx、charles、ida、uiautomatorviewer)工具就可以将功能全部分析清楚。 . t+ \/ F' d6 j0 K6 D$ s' [+ G

感叹这个作者确实很用心的去做这个轰炸的功能，去收集了406个的各类型的网站进行手机注册功能。 $ q: b+ T4 u: Q& ~% w& }* e: h* A

对于这种具有攻击性的APP还是要慎重下，免费APP功能的前提往往会有给APP植入后门或者病毒的存在。 6 h/ o5 E5 v Z# R

结束 ' _% ^' M( ?0 R, x6 _' W: q

4 a8 E; x% \1 B# |

2 @' h; X/ @: w9 P  【推荐阅读】 - f$ v6 ]' A$ @2 E7 m8 T" Y

% b' q; k( m! C$ [

对吃鸡APP的分析 9 `3 H. Y5 F# e0 X! R+ ]

你需要了解的APP安全 , L c' D1 @ P P( b, h2 y

}8 T1 E+ w8 ~6 ^4 U

" `" N6 }+ l0 l5 t: F4 o, C8 [ 你需要了解的APP安全

l0 P- U" Y# p$ l8 m; S1 E