转载对小绵羊的轰炸APP逆向分析

admin

在网络上意外看到一款叫小绵羊的轰炸机APP，经过下载安装(这种未知风险的APP建议都在模拟器上去安装验证和分析功能，有安全风险问题模拟器删除即可)后确认，只要在APP界面的编辑框中输入手机号码，就可以进行对指定手机号码进行短信狂轰炸的效果的（已用自己测试号码验证过效果）。 4 ?& |2 M2 S; u6 W/ _ O! k

9 L& t w6 u5 o$ G' y

8 l0 S8 }9 ~0 Q8 t4 v . b% p3 h/ P; Z

% E! P! s0 a. `1 k9 o! ?5 @

) E$ G# a6 s5 i( p  

) z0 d. Q& J" X$ m- I0 c2 [

下面就以开发者角度进行解析下这个APP的功能的实现原理。

# K q; T% k% C' ^

1 S+ t% p8 x' U9 t9 W5 v6 D# Y   + T. v# A& S' |" y

8 V \. o8 q* j) G

0 R6 P# h# `! M _, g' { 基础信息 ( ]8 H8 u! d. ^' M+ V( J/ b. E

拿到APP的一般做法，就是先对这个APP进行查壳分析确认，决定是否删除卸载APP还是继续分析APP，还好通过查壳工具(通过识别APP中是否包含市面上的加固产品的特有的so文件特征)一分析这个小绵羊APP是没有加固保护的，这样对APP的分析门槛一下子就降低了。

5 T& ^9 X2 T* \6 ]3 {( f! K   / Z. F- O; b* O% Y" J: ]

: y7 b4 X: }- ]9 a; c: T2 w

* X; [! U8 x: I" m c' | 通过使用jadx进行查看APP的整个组成结构和重点查看java功能代码，通过工具可以查看app主要有java代码 C++代码（so文件），资源数据，lua数据，签名信息组成的。 0 @% P6 \- a0 J& a, f

5 t2 B* x& Z% h; `( M# a  

' [; h1 i; M* d- W! s4 N N

通过jadx工具查看，该APP的Java层部分代码采用android studio自带的proguard插件，进行对个别的类名函数名称进行做混淆保护，虽然这种混淆强度并不强，但是还是有很多APP采用这种方式进行对java层保护。只因这种保护成本低，只需简单的进行配置下就可以达到混淆效果。 & e, p# u+ @& M) g0 I% V

- N# n1 H5 N3 ^3 w

5 \7 @* v, w' k# `' d6 [5 Z' H! J

! L# z# n$ f+ P9 V j7 e" T" u$ C) I   1 r& |$ V4 x) h& l' t6 x3 F2 s

/ |+ A0 g9 i0 U) T3 h7 d6 G( J1 h

启动APP后，通过uiautomatorviewer(SDK中自带的分析控件的工具)工具进行分析该APP的界面控件信息，通过分析可以看到该APP的界面主要由1个EditText和3个Button控件组成的，也就是下面的截图信息。

 

下面是这个轰炸APP的界面背景颜色的设置，这个实现功能主要是以lua脚本方式进行实现的。 5 k6 ^) P+ T* I0 M

& A7 x9 d1 L5 n$ g

" \$ K- {7 V6 D$ a4 O5 V7 P 5 ~7 i- Z& h. }: z0 O3 T

3 y& [4 f" |" Z) n" e  

# ?# f' E, I$ ?8 `$ ~3 M2 N  

( R( t" T/ z2 _" w

: v: H' t3 V. M( X 签名信息

通过这jadx工具，可以看到这个APP采用的是V1的签名方式，我们知道V1签名是android最早的数字证书签名，为了提高验证速度和覆盖度在android7.0的系统中引入V2的签名，为了实现密钥的轮转载android 9.0系统中引入V3的签名。 3 }4 s: T( Y A7 x4 L! O3 r' G. x6 o9 @

& g2 A( g0 D6 O2 v1 r7 U! O

, u3 |7 e% m7 M6 m0 [3 x. e' W 目前APP中大部分都是通过V1和V2签名相结合的。并且这个在签名过程中要保证按照V1到V2在到V3的签名顺序，因为V1签名的改动会修改到ZIP三大部分的内容，先使用V2签名再V1签名会破坏V2签名的完整性。 & f4 @+ T7 r& G! V5 X% K% Y

7 a" H3 Z7 c0 D. I# C) ` 在android的app开发过程中，必须对app进行签名，不然过不了系统验证也就无法进行对app安装。

1 P: T( |) T, E/ e8 \" f0 H' Z- z

7 t/ o B1 F! ~* Q

- |1 R, i0 S( F+ E9 w

! i4 u* t- w7 v2 q( r( }0 V4 {/ S   ; J% a) U8 t# c; J' F m

2 K; `8 `' l1 U) V b' }( ^

android签名的数字证书的一般都是采用 X.509的国际标准。

& E/ t2 f& \; s; z. ~ 因X.509内容为第三方可信机构CA对公钥实施数字签名，故也叫公钥证书，数字证书在PKI体系中是一个表明身份的载体，除了用户的公钥，还包含用户公开的基本信息，如用户名、组织、邮箱等。 ( L) h& ~. j+ p# @, w% M& w$ h" x

下图是android studio工具中可以自己创建用于对APP签名的证书，可以看到它包含密码信息、用户名称、组织名称、地区名称、国家信息、省份信息、城市信息。 1 z9 C) i' R8 T) ]/ u/ ?

% _( M* ^- J* I- L$ ?+ Q) u% C  

( n# b" z; S5 A6 }5 j6 C3 t! j: Y

同样也可以通过jadx工具，在META-INF目录下的CERT.SF文件中去查看确认签名信息，V1签名的主要关键字Created-By:, V2签名的X-Android-APK-Signed的关键字。

7 p1 [) J: j$ t' A @2 V: ?* t

、

" d$ u2 f5 B7 i2 M8 b( s; K  

t8 [1 W0 a2 H, E 权限信息

9 X* ] `6 }% m F2 I. M/ [ ^% D* t 在这个AndroidManifest.xml文件中主要包含app中所需要的权限，四大组件信息，app包的相关信息（包名称、sdk目标版本、sdk最低版本等等）

android的机制下想要读取相关的信息，都需要向用户申请权限，这个不仅符合android的安全机制，也符合目前国内的安全合规，同样也可以通过申请的权限信息了解APP的功能需求。

+ o: p, Q0 g% H& |# E, o# A. ?! {

5 r( P, C: x7 f( L1 _0 ` 1 h3 Z# G `! b6 }4 Y5 _" c" A0 @2 _

 

5 w, E2 Z b; T. v( s% L 下面对这个APP的所有权限进行详解下：

4 h4 l& ~7 v* T) W

8 Q. J9 n2 C n# H6 h android.permission.INTERNET ：访问网络连接可能产生GPRS流量

android.permission.ACCESS_NETWORK_STATE：获取网络信息状态，如当前的网络连接是否有效

& w4 [1 ?: O! L5 |

" K% F" A; v& @% X% l7 _ android.permission.ACCESS_WIFI_STATE:获取当前WiFi接入的状态以及WLAN热点的信息

8 n" i% _- F5 Z* i5 U android.permission.WRITE_EXTERNAL_STORAGE：允许程序写入外部存储，如SD卡上写文件

android.permission.WRITE_SMS：允许应用程序写短信内容

. P0 O) c$ j- d3 _4 v F

& H* e6 i- h: Q. I/ j android.permission.READ_SMS：允许应用程序读取短信内容

android.permission.WRITE_SETTINGS:允许应用程序读取或写入系统设置

android.permission.CLEAR_APP_CACHE：允许程序清除应用缓存 ! S2 H+ P# d5 g9 ^; I, ~! }

/ W; r% H# y Y! H4 v3 a) z9 Y

0 d6 w+ Y) ]) X9 s! p0 P5 g6 ~ android.permission.BLUETOOTH：允许程序连接配对过的蓝牙设备

1 O) g( |! C [" E7 v" ] android.permission.VIBRATE：允许振动

; d. @( e" Z. q/ X- x4 @% ]1 l

$ c5 V# k; { O: i android.permission.READ_LOGS：允许程序读取系统底层日志 / Z+ U2 T! k j, A- P

android.permission.READ_FRAME_BUFFER：允许程序读取帧缓存用于屏幕截图 

) u2 T# p& u1 i: J* u4 u% F

  4 W# H" ~2 l& G8 p8 W

6 W( X' C) I I+ [$ |9 `1 c

4 T; c% G! }4 i3 } 功能信息 3 _# X) y& q; y m, i5 i

8 f8 G# @) p3 W

 

( d [9 K: K6 ]& A

4 a& b7 E ^# e s5 ]' \ 这个APP的主要功能都是在lua上实现的，从界面到轰炸功能都集成到lua上。

Lua是一门用标准C编写的动态脚本语言，如果希望在android上使用，则需要解决2个问题。

3 D5 i, v- E0 f( {+ [5 }! Y

8 a2 D3 m) r" Y) c9 I6 o* ~3 u7 N7 l 1、需要用JNI为Lua的C库进行封装，这样才可能在Java中使用。 - c# l& W. d- h4 }& z- p

, d# h1 A/ A X

1 U$ m7 D& F* y 2、由于Android系统开发所特有的系统环境限制，Lua三方库的动态加载机制和lua脚本模块的导入机制将不能正常运行，需要进行特殊处理。

4 ~8 o! F; |+ L, Q$ h9 v a $ @5 j- {' L; O& Z! v5 T0 |2 a

9 X+ @1 f1 E) c7 {6 @' ?  

. r% b0 z; x, |

输入好手机号码后（不过这个输入都没做验证，随便输入数据都进行执行一遍功能），通过charles抓包工具进行抓取数据吧，可以很清晰的看到，点击轰炸后，马上执行发送406个网络数据包，这些数据主要集中在作者收集的406个各种类型网站进行发网络账号注册验证码信息的轰炸。

+ G v# W4 E' C& @   7 X w. F9 O. m: @" p, \% E% G5 e

3 w1 F0 U6 \& \ _ 在lua功能中，有对vpn的判断，通过简单判断获取当前网络状态，并且判断网络状态是否属于vpn的状态，如果属于vpn状态，那么就往storage的目录下写入时间点设定，并且强制关闭APP，当在启动APP的时候会先判断文件是否有写入判断禁入的信息，如果有就不让启动APP。其实破解这个验证很简单，直接将文件的禁入信息清空即可。

+ T* ^# o! g) _$ o- m [ 下图的这几个so是网络上lua和socket通用的so文件，并没有什么可研究价值。

% V8 D9 o7 V& }2 J: O% e

- K0 q8 I$ V6 c R

2 _6 n2 d( M3 `7 s8 z A   / V5 ?5 k" Z0 F- w$ L6 {

* x+ }/ a! {! ]

通过分析libsocket.so这个so文件，可以确认采用的是luaSocket 3.0版本

: n' Y2 P" ]" t8 ?4 S: f3 I LuaSocket 它是 Lua 的网络模块库，它很方便地提供 TCP、UDP、DNS、FTP、HTTP、SMTP、MIME 等多种网络协议的访问操作。

3 H, T# N6 w, Q 这个luasocke一部分是用 C 写的核心，提供对 TCP 和 UDP 传输层的访问支持。另外一部分是用 Lua 写的，负责应用功能的网络接口处理。

: D) C5 w- |5 ^. [( t$ m; s2 d 开源的luasocket代码可以参考学习下

https://github.com/lunarmodules/luasocket

" a. c+ B' K9 c8 T2 H* U: g https://github.com/fengye/luasocket

, |8 M1 K5 M" \4 v5 f

1 b& Q* x3 }( z* O  

+ i+ H- g3 g; O0 n0 t( N) ]3 R

7 d' A: N+ ~. N/ s- ]$ _

 

0 Y7 D: I% W' W/ @) _. h

  ! T+ U a0 H, v, Y

0 c% L* M: q3 F7 M

总结 4 N. s) b2 E8 B8 ^ s) u

. N; J" {% ^6 s5 J. [

纵观整个轰炸APP的功能，分析这个APP都没有采取任何保护(加壳、反调试)就没有门槛了，基本也不需要涉及到脱壳、hook和动态调试这些操作，只要用几个(jadx、charles、ida、uiautomatorviewer)工具就可以将功能全部分析清楚。 4 m% t) P1 x% N7 Y" Y

( K5 T* [! a2 D9 A+ k# S- I

感叹这个作者确实很用心的去做这个轰炸的功能，去收集了406个的各类型的网站进行手机注册功能。

! ^8 L% U; P! n8 I G' w* V

; f9 P; _+ u; N. \- ~) w 对于这种具有攻击性的APP还是要慎重下，免费APP功能的前提往往会有给APP植入后门或者病毒的存在。

& O6 I* L) F# ^- Z 结束 2 y' V X9 X. H9 O$ t; C/ N, ]

! A' p, }$ T; L V

 【推荐阅读】

! I) b9 {0 a* a9 r 对吃鸡APP的分析 ( K+ X! z, c- g' {. d; a

" d' ?8 G0 ?* u6 G& U. j8 r# l0 C

2 X [" d, N* ?# d/ m; S 你需要了解的APP安全 7 s* V: l; |+ Q# S3 @- L0 R- r) }$ A

你需要了解的APP安全 1 }2 a& \. G3 Y9 s3 \& H

) L8 ~4 ~9 f1 _