转载对小绵羊的轰炸APP逆向分析

admin

在网络上意外看到一款叫小绵羊的轰炸机APP，经过下载安装(这种未知风险的APP建议都在模拟器上去安装验证和分析功能，有安全风险问题模拟器删除即可)后确认，只要在APP界面的编辑框中输入手机号码，就可以进行对指定手机号码进行短信狂轰炸的效果的（已用自己测试号码验证过效果）。

6 Q& k( _ p! i8 {) v# S& f/ a

M( i; u* n J' S( j0 }5 Q

 

. K2 G0 k4 f0 ]2 a) a5 T. Z2 T: S& Y1 r 下面就以开发者角度进行解析下这个APP的功能的实现原理。 " X! H0 Y% {8 }6 V

/ K2 v0 h( V/ O) e8 Z3 r8 |

1 P y) l6 q2 o   ( G: i8 K A5 U: P$ j

& v! T$ u' n- ?- Y$ P; R+ d

; H: W2 l. \% _0 ^6 O' f 基础信息

) t- H: ^& |& v; v; `$ F% X 拿到APP的一般做法，就是先对这个APP进行查壳分析确认，决定是否删除卸载APP还是继续分析APP，还好通过查壳工具(通过识别APP中是否包含市面上的加固产品的特有的so文件特征)一分析这个小绵羊APP是没有加固保护的，这样对APP的分析门槛一下子就降低了。

5 V7 v( N1 G8 r

0 T3 Z3 m% s3 e( [/ D% q5 g5 @  

通过使用jadx进行查看APP的整个组成结构和重点查看java功能代码，通过工具可以查看app主要有java代码 C++代码（so文件），资源数据，lua数据，签名信息组成的。

, |$ z3 K/ Y& G4 R. h, ] K; w) Z: x3 X; x, _

; p; @$ Z/ a) h& v! b8 E- ~

- b+ q* U) n" v) Y   - ~# R' ?0 y1 Y0 _1 T

. D: X6 J5 q# Q

通过jadx工具查看，该APP的Java层部分代码采用android studio自带的proguard插件，进行对个别的类名函数名称进行做混淆保护，虽然这种混淆强度并不强，但是还是有很多APP采用这种方式进行对java层保护。只因这种保护成本低，只需简单的进行配置下就可以达到混淆效果。

2 w# U5 [3 ]% |( a" k. H

. _' I j0 X* G, O% L/ A " t/ K+ D4 L# D+ E+ E: e

  # [8 U# q0 Y7 \7 x

* A2 k N$ P, y

启动APP后，通过uiautomatorviewer(SDK中自带的分析控件的工具)工具进行分析该APP的界面控件信息，通过分析可以看到该APP的界面主要由1个EditText和3个Button控件组成的，也就是下面的截图信息。

& P# e/ o' d6 ]; d$ s ' `% q0 [5 ~2 h. F

, @1 A3 ~2 _- r  

. B ~, h* c b P1 R, Z 下面是这个轰炸APP的界面背景颜色的设置，这个实现功能主要是以lua脚本方式进行实现的。 ( g& g- w& s! i

( Z9 @: Q3 l) [/ j( x k

$ J+ i; `- V( h   $ ^: a! {8 C8 i* O' a

  ; y0 v( d8 w) X$ O# g5 }* d

6 A( v7 i4 z! W# x% l0 C6 m9 j8 O& B

签名信息

& g6 ^2 u$ J- u+ {% R, G% h7 g

1 H/ D* y( d5 ~) O2 U. B9 Y 通过这jadx工具，可以看到这个APP采用的是V1的签名方式，我们知道V1签名是android最早的数字证书签名，为了提高验证速度和覆盖度在android7.0的系统中引入V2的签名，为了实现密钥的轮转载android 9.0系统中引入V3的签名。 ' n/ `7 t B9 }, ?0 A; F6 n

目前APP中大部分都是通过V1和V2签名相结合的。并且这个在签名过程中要保证按照V1到V2在到V3的签名顺序，因为V1签名的改动会修改到ZIP三大部分的内容，先使用V2签名再V1签名会破坏V2签名的完整性。

在android的app开发过程中，必须对app进行签名，不然过不了系统验证也就无法进行对app安装。

3 L% [3 p+ Z' k& A9 m5 j5 q

$ W7 Y7 J4 R/ B# {7 |/ [

; G% M! D: {" ?9 T/ M   - N( g' V/ g& N6 N, w# A

( g; s$ L- @' _/ X

android签名的数字证书的一般都是采用 X.509的国际标准。 5 S" P7 t" e& ^2 R, z0 H

因X.509内容为第三方可信机构CA对公钥实施数字签名，故也叫公钥证书，数字证书在PKI体系中是一个表明身份的载体，除了用户的公钥，还包含用户公开的基本信息，如用户名、组织、邮箱等。 ' [) S6 p& V4 _7 Z+ z' N$ d

0 _# ~ m$ S; ?) [

下图是android studio工具中可以自己创建用于对APP签名的证书，可以看到它包含密码信息、用户名称、组织名称、地区名称、国家信息、省份信息、城市信息。 7 Q+ X L: H' O2 B0 _& a

" S$ [9 s4 ]) L u

. `$ q/ H- H1 H% U$ f. L

0 ~; b/ a& v& U% x( y H2 }% M   ; P/ C' a& u! ~4 k9 j; N3 ~

. U$ X/ _4 v$ f/ v% e

同样也可以通过jadx工具，在META-INF目录下的CERT.SF文件中去查看确认签名信息，V1签名的主要关键字Created-By:, V2签名的X-Android-APK-Signed的关键字。 : q# @* m% d; }- T' W

+ t& q7 }' r: W8 S( @

6 ~. U# O4 Z8 F1 `9 t0 B # V" B8 o1 v# s

% J7 p c! N) d8 l% D1 @ 、 ! Z# a3 m: L# z9 d

  & J/ @" r2 S) c6 C. ]$ c3 z- r$ z

0 n% Y6 V/ c' e

权限信息 0 w- f/ M+ Q) i+ d" Z

6 ~. V4 K# Q8 t* A 在这个AndroidManifest.xml文件中主要包含app中所需要的权限，四大组件信息，app包的相关信息（包名称、sdk目标版本、sdk最低版本等等） ' S+ \# ^3 @& K( y, \& c- v

" O, k! d A% V0 |( {5 h0 @1 |

3 }% b* G! X% }# [' m4 }5 n" O android的机制下想要读取相关的信息，都需要向用户申请权限，这个不仅符合android的安全机制，也符合目前国内的安全合规，同样也可以通过申请的权限信息了解APP的功能需求。 0 e* }* c. l* x J$ r

0 i0 S+ d( F4 v6 q) s L

$ ^2 V7 ~0 J- m" u

( r) |7 e9 r% M8 }' S( `

! Y( d+ Y- G' o; W' E1 s  

下面对这个APP的所有权限进行详解下：

. |# q% B6 ~9 V$ m n

8 j0 q% ^8 A% x android.permission.INTERNET ：访问网络连接可能产生GPRS流量 # t; o* D4 a6 X' l, M8 h& \

android.permission.ACCESS_NETWORK_STATE：获取网络信息状态，如当前的网络连接是否有效

9 Q8 ~+ T9 B7 G

4 H, @- V3 q4 O0 P9 { android.permission.ACCESS_WIFI_STATE:获取当前WiFi接入的状态以及WLAN热点的信息

8 d! g! {) D5 ~7 [7 Q

3 a; ?8 d1 E+ L8 O# M android.permission.WRITE_EXTERNAL_STORAGE：允许程序写入外部存储，如SD卡上写文件 / m* K- T# t8 f" _ H" n

% K, J" q- S& ^, D4 s* d" X android.permission.WRITE_SMS：允许应用程序写短信内容

7 p- U2 k. w" a8 I. e' ^

- H0 b1 I9 `* } android.permission.READ_SMS：允许应用程序读取短信内容

( I c8 A) i# m9 O# Q android.permission.WRITE_SETTINGS:允许应用程序读取或写入系统设置 ) ?/ F7 }9 l7 c' F) n% s0 r) k. T

android.permission.CLEAR_APP_CACHE：允许程序清除应用缓存 1 ?" ]5 D8 N) i7 \& B3 N7 i

! k+ }6 R. T& F$ ?- v android.permission.BLUETOOTH：允许程序连接配对过的蓝牙设备 + f* t5 q* ~& _6 G/ [

3 E( y* x$ O" h9 j

android.permission.VIBRATE：允许振动

% S) b q2 P3 b3 }9 {

' E5 h3 D" E3 K9 a6 A+ q3 F4 z5 q android.permission.READ_LOGS：允许程序读取系统底层日志 ; r2 X7 f3 w0 @& s

. k& d- [! g& [1 O0 D" P android.permission.READ_FRAME_BUFFER：允许程序读取帧缓存用于屏幕截图  ( p' y; u: f+ J8 V+ L. Y4 p

! q+ s" N! X* q  

' H/ @: Y, }2 B; ^4 r6 }7 @

; [/ P! {5 n* [ 功能信息 : Z2 R: O5 u5 |/ }8 t ]5 ?

  9 _# m* r* [7 W. w* O, ~

这个APP的主要功能都是在lua上实现的，从界面到轰炸功能都集成到lua上。 1 ^1 g( N1 {3 _7 b

3 S: R( w$ k. K" O3 ^

" C, L2 [6 e) m8 m# |& z Lua是一门用标准C编写的动态脚本语言，如果希望在android上使用，则需要解决2个问题。 c& G$ i( J# S/ r# a

/ p" P& q( h0 b. F# }! g M, l 1、需要用JNI为Lua的C库进行封装，这样才可能在Java中使用。

# A& W, ]5 ?# s. @' }. I

2、由于Android系统开发所特有的系统环境限制，Lua三方库的动态加载机制和lua脚本模块的导入机制将不能正常运行，需要进行特殊处理。 ! a3 z; o: u# e

& C6 M$ s" _) n* W, B3 \ ; A; O4 t0 N3 T$ R) _' y

! |7 g; \" ]6 y: M0 r8 M

  7 A4 `" c# w; v3 `) v& h |. ~

7 m" R9 H6 d$ m- z) |

: W4 J ?" |, A$ u ]& \ 输入好手机号码后（不过这个输入都没做验证，随便输入数据都进行执行一遍功能），通过charles抓包工具进行抓取数据吧，可以很清晰的看到，点击轰炸后，马上执行发送406个网络数据包，这些数据主要集中在作者收集的406个各种类型网站进行发网络账号注册验证码信息的轰炸。 / C) C7 a0 J1 {

- g3 v8 x& k; q% h- n

; K4 C& H1 C( O% M0 {1 j8 o- R. l. O  

在lua功能中，有对vpn的判断，通过简单判断获取当前网络状态，并且判断网络状态是否属于vpn的状态，如果属于vpn状态，那么就往storage的目录下写入时间点设定，并且强制关闭APP，当在启动APP的时候会先判断文件是否有写入判断禁入的信息，如果有就不让启动APP。其实破解这个验证很简单，直接将文件的禁入信息清空即可。 0 E1 C3 r$ A* S$ h$ ?8 `+ Q" V

3 K) b+ @3 t9 P* L1 `, l

" R9 S2 M2 |( n. ^4 \; I

* R* {2 ~# B0 t 下图的这几个so是网络上lua和socket通用的so文件，并没有什么可研究价值。 + R2 A$ p, e. C2 m

0 e; N4 R L0 ~$ e! O; \

; S0 t( N/ T2 I3 G5 [2 b0 L+ Q   # h& X5 Q8 ?( e

通过分析libsocket.so这个so文件，可以确认采用的是luaSocket 3.0版本

( l5 o K7 R7 }7 I6 R+ I. g# n

LuaSocket 它是 Lua 的网络模块库，它很方便地提供 TCP、UDP、DNS、FTP、HTTP、SMTP、MIME 等多种网络协议的访问操作。

. Q: }! Q" b1 ~; G P, `4 c( e 这个luasocke一部分是用 C 写的核心，提供对 TCP 和 UDP 传输层的访问支持。另外一部分是用 Lua 写的，负责应用功能的网络接口处理。

开源的luasocket代码可以参考学习下

7 {# \: i& h& _0 y" }2 I- Y& p7 q https://github.com/lunarmodules/luasocket % @; H1 Y1 m% E# v! p

https://github.com/fengye/luasocket ; g; o! ?* z2 p8 k9 M

7 U/ a$ z+ N) z$ ^6 j* E0 T( q

  9 K' n; ^2 x9 \! N6 t5 n

: _0 L3 P7 ` {$ `- D6 U

 

" Y: _$ r9 W7 d+ P5 r5 Z- P

  ; T- Y) {% G* m( z5 j& J

5 [3 h1 m# {/ {- W9 Y 总结 . K3 C) r# q# o M. X$ I- H

& q7 `# C# S+ y/ C# ] f

; ]+ ? J* t9 X8 i 纵观整个轰炸APP的功能，分析这个APP都没有采取任何保护(加壳、反调试)就没有门槛了，基本也不需要涉及到脱壳、hook和动态调试这些操作，只要用几个(jadx、charles、ida、uiautomatorviewer)工具就可以将功能全部分析清楚。 ) ^7 T4 q, d3 R6 ?

$ g- i% o t- R$ o% }" A7 I

感叹这个作者确实很用心的去做这个轰炸的功能，去收集了406个的各类型的网站进行手机注册功能。 ' t2 ?1 N+ ?3 g! t% n/ V1 d

) Q4 @ _2 P* L- z f

对于这种具有攻击性的APP还是要慎重下，免费APP功能的前提往往会有给APP植入后门或者病毒的存在。 4 ~5 J- ~0 H/ @! G* U

! y8 t% s. e- v; U- x3 {& R, m( r) ~ 结束

' @0 `$ U4 r) _  【推荐阅读】

/ H# [9 s( w" V: `; n2 ?

" c' R2 G6 f4 }% S: w' i& d 对吃鸡APP的分析

8 `! t2 f; J( U. Q; L7 k0 j2 J# h

你需要了解的APP安全

& O' a6 _6 Z @/ X 你需要了解的APP安全 9 ?0 X0 q/ a. Q9 U7 J: |

; n# m" B" ~- F