转载对小绵羊的轰炸APP逆向分析

admin

- H5 J9 }& B7 `8 r8 Z5 Y 在网络上意外看到一款叫小绵羊的轰炸机APP，经过下载安装(这种未知风险的APP建议都在模拟器上去安装验证和分析功能，有安全风险问题模拟器删除即可)后确认，只要在APP界面的编辑框中输入手机号码，就可以进行对指定手机号码进行短信狂轰炸的效果的（已用自己测试号码验证过效果）。 5 j# l. x/ H; A0 u' W

- B4 ]( s( ~7 N5 H i. C$ l! M+ C

+ u. a: S5 R/ {4 A

  5 w8 X2 [( ?5 b4 d# _) e* I& Z) | @

下面就以开发者角度进行解析下这个APP的功能的实现原理。 3 T1 @5 y; U1 b

m. q8 `% v( S* g$ f. z. X3 a" \  

4 ^ E8 W6 O- a7 V% l' y 基础信息

拿到APP的一般做法，就是先对这个APP进行查壳分析确认，决定是否删除卸载APP还是继续分析APP，还好通过查壳工具(通过识别APP中是否包含市面上的加固产品的特有的so文件特征)一分析这个小绵羊APP是没有加固保护的，这样对APP的分析门槛一下子就降低了。 " l7 `% s/ q0 ~# i y& I9 K

3 m; W% f7 o- r* y2 h; R! S

  4 [. u) C) \/ v. O% }; G X4 L {

) \- H2 p' o" Z

3 A: ]& E2 x" M! w: m+ r j 通过使用jadx进行查看APP的整个组成结构和重点查看java功能代码，通过工具可以查看app主要有java代码 C++代码（so文件），资源数据，lua数据，签名信息组成的。

6 Z4 @6 Y0 C% I( |1 Y

1 M7 S6 _; @+ Z2 `$ y) f

, F5 I8 |( L2 {% a  

4 ]: J( H2 ^9 S1 C- G* u/ u 通过jadx工具查看，该APP的Java层部分代码采用android studio自带的proguard插件，进行对个别的类名函数名称进行做混淆保护，虽然这种混淆强度并不强，但是还是有很多APP采用这种方式进行对java层保护。只因这种保护成本低，只需简单的进行配置下就可以达到混淆效果。 6 r+ @: X; ?; l( P$ T4 d7 S0 E5 D* F

. t' V% T a+ F; @% U2 e

' m6 Q# u% G4 I

( F9 W4 Y( y* n( x1 ~8 X  

5 ?( U5 f7 D" V; U* e( E! N0 G 启动APP后，通过uiautomatorviewer(SDK中自带的分析控件的工具)工具进行分析该APP的界面控件信息，通过分析可以看到该APP的界面主要由1个EditText和3个Button控件组成的，也就是下面的截图信息。 & Y' c3 S6 A* u/ Q8 r; r

  * }3 Q4 C. C, W0 b9 k

1 V8 S' W5 B- B2 _8 Z! V

# u: T" V3 a. n( @7 ?9 D+ u 下面是这个轰炸APP的界面背景颜色的设置，这个实现功能主要是以lua脚本方式进行实现的。 % m* ~& |" G6 T0 J9 R! [$ z3 U2 Y

Y2 v. h0 H3 T4 e

0 @/ G" v m! ?9 k6 R

8 ]8 [# R* A5 x9 O& v$ _  

2 j5 @2 u% I* \( t( ]7 a' F  

3 i0 O% g( F) C+ W/ a

签名信息 ) ]* Y/ Y) r& ?* S% D% T* D

; U5 ?; \; F+ e) ~2 v/ z

9 Z `! \9 ^% H8 A* q+ W1 M1 f 通过这jadx工具，可以看到这个APP采用的是V1的签名方式，我们知道V1签名是android最早的数字证书签名，为了提高验证速度和覆盖度在android7.0的系统中引入V2的签名，为了实现密钥的轮转载android 9.0系统中引入V3的签名。

目前APP中大部分都是通过V1和V2签名相结合的。并且这个在签名过程中要保证按照V1到V2在到V3的签名顺序，因为V1签名的改动会修改到ZIP三大部分的内容，先使用V2签名再V1签名会破坏V2签名的完整性。

% R, n# L8 J% n+ D

在android的app开发过程中，必须对app进行签名，不然过不了系统验证也就无法进行对app安装。

: m, T% ?) I) Q( l  

android签名的数字证书的一般都是采用 X.509的国际标准。

4 Q, z2 c% q, V; j9 W! A+ C9 C

0 g0 n& g/ H/ f6 @ n$ E 因X.509内容为第三方可信机构CA对公钥实施数字签名，故也叫公钥证书，数字证书在PKI体系中是一个表明身份的载体，除了用户的公钥，还包含用户公开的基本信息，如用户名、组织、邮箱等。

下图是android studio工具中可以自己创建用于对APP签名的证书，可以看到它包含密码信息、用户名称、组织名称、地区名称、国家信息、省份信息、城市信息。 & S$ d& ~. N; ~. M

, M% \- \$ M9 I4 g

) f: D, s8 g& O' C& b   3 p }2 e' i4 L% b

9 y8 f: ]6 D( I" o: N) o8 ]! j, Q6 L

7 z* }7 l: n+ m5 c" n3 D7 O 同样也可以通过jadx工具，在META-INF目录下的CERT.SF文件中去查看确认签名信息，V1签名的主要关键字Created-By:, V2签名的X-Android-APK-Signed的关键字。 ( s0 q' Y2 Z- P! k

% z+ l: j# A; [7 T: J

0 z ?/ a8 O. n7 Q' m

" f- Y+ n: q8 n- \. \, T- q

7 t1 Y# d& E; E, k7 c8 T 、 8 L. [, u3 q+ x* [5 l

% h* q# `: G- ^! i& V/ s

! @. |9 T( l: d- u; g  

5 f/ ~2 H+ e t

权限信息 ' w* P; [7 z9 } e) L8 A

, ^2 ?5 f( g4 o$ s h k4 K7 ~

6 S0 {. O5 I1 A" t* u3 L 在这个AndroidManifest.xml文件中主要包含app中所需要的权限，四大组件信息，app包的相关信息（包名称、sdk目标版本、sdk最低版本等等） 0 N. A: t' m2 y4 l+ G

% G- g1 _" c; h$ t: }- L android的机制下想要读取相关的信息，都需要向用户申请权限，这个不仅符合android的安全机制，也符合目前国内的安全合规，同样也可以通过申请的权限信息了解APP的功能需求。

9 u/ a' i. x# \: ? ~5 \, V

  ( U, k+ L% J4 b: @4 ?8 H1 F

* ~; ^- w/ r. K* N9 f

下面对这个APP的所有权限进行详解下：

android.permission.INTERNET ：访问网络连接可能产生GPRS流量

3 ]$ g3 L% U0 z& n

( r i8 A1 v$ W android.permission.ACCESS_NETWORK_STATE：获取网络信息状态，如当前的网络连接是否有效

- }% D2 F& j! n' o I, x1 n0 ?& W; p: k* t

android.permission.ACCESS_WIFI_STATE:获取当前WiFi接入的状态以及WLAN热点的信息 7 u. R" R: H' A3 X

android.permission.WRITE_EXTERNAL_STORAGE：允许程序写入外部存储，如SD卡上写文件 6 Y% u; q, r) w& x

5 \5 K y8 a* n0 b3 z: i/ G* t android.permission.WRITE_SMS：允许应用程序写短信内容 ( d- J0 Y. ], }7 _ w5 v

8 r# _1 G* A" E# j* t% O3 u android.permission.READ_SMS：允许应用程序读取短信内容 7 L5 B" x, J. t0 Y# ~5 t1 Z. o/ S

' T0 P* h6 S u u

" K9 X: W$ ?: q8 U* v0 [2 a android.permission.WRITE_SETTINGS:允许应用程序读取或写入系统设置

% f- g/ r2 M5 s+ B

( w5 t+ L+ B' b a1 f9 F# f android.permission.CLEAR_APP_CACHE：允许程序清除应用缓存

android.permission.BLUETOOTH：允许程序连接配对过的蓝牙设备 - `" \% J3 n) {# A4 Q) _' {

android.permission.VIBRATE：允许振动 9 E8 A% K/ M) W" x

) ~- n. q, ? }, `% v r0 E0 B android.permission.READ_LOGS：允许程序读取系统底层日志 ; f' g: z( }3 v( ~4 T4 D6 o

& s+ A2 f2 c2 o k android.permission.READ_FRAME_BUFFER：允许程序读取帧缓存用于屏幕截图 

- d2 _9 s2 F M" k$ P

0 O! \2 N7 [5 b8 ?) \; C/ t  

" u" ]; }3 I/ B% E$ U# m 功能信息 ; w$ E \0 r- b- X3 ~( N; m3 f

4 x1 }! _ b: a% g

, q: H$ G9 I6 H5 O& u% y8 O   . t4 U: i6 l+ ^3 L6 B! t) G4 a

, R! G( B$ r) L# L. ?& V; I

- n* b! T* T1 {! K 这个APP的主要功能都是在lua上实现的，从界面到轰炸功能都集成到lua上。 5 o! ^3 r7 V% L% A$ w

3 ^8 }! i: N8 i$ {

Lua是一门用标准C编写的动态脚本语言，如果希望在android上使用，则需要解决2个问题。

4 {( y. L# z7 _/ K1 H8 J

1、需要用JNI为Lua的C库进行封装，这样才可能在Java中使用。

4 A% J8 f8 |% w& V/ Y 2、由于Android系统开发所特有的系统环境限制，Lua三方库的动态加载机制和lua脚本模块的导入机制将不能正常运行，需要进行特殊处理。

! p1 I( W+ H& e, n& d6 n2 Y9 W

  4 E0 P, P' ~* s3 H) ?4 h+ ^9 F

$ Z T+ e6 b* m4 ?' ~ | 输入好手机号码后（不过这个输入都没做验证，随便输入数据都进行执行一遍功能），通过charles抓包工具进行抓取数据吧，可以很清晰的看到，点击轰炸后，马上执行发送406个网络数据包，这些数据主要集中在作者收集的406个各种类型网站进行发网络账号注册验证码信息的轰炸。 " ]1 _( P9 x* X/ O6 G

7 n: e2 M; a# o7 o+ f3 z: Z

: A" C& w+ s6 y8 K' [/ X   9 x+ E, M8 f% Y( R3 `& s- t

在lua功能中，有对vpn的判断，通过简单判断获取当前网络状态，并且判断网络状态是否属于vpn的状态，如果属于vpn状态，那么就往storage的目录下写入时间点设定，并且强制关闭APP，当在启动APP的时候会先判断文件是否有写入判断禁入的信息，如果有就不让启动APP。其实破解这个验证很简单，直接将文件的禁入信息清空即可。

3 |' E9 G2 U2 E& i5 j

' ^5 N, O7 ?" @9 s+ L6 W

& k% D" D+ e0 _+ D: F 下图的这几个so是网络上lua和socket通用的so文件，并没有什么可研究价值。

* c8 }7 S3 [! [* n0 Z- v; H Y

% M6 F; u. s2 G& I! w" k

8 r- u+ L8 z3 m8 I n7 U2 D

4 J, J- @) l3 ]5 V- ~  

通过分析libsocket.so这个so文件，可以确认采用的是luaSocket 3.0版本 7 G( H* ]6 i/ Z$ |4 ^# m

/ R% |6 g" D5 X' o7 w# |

; A6 P' v1 ] Y' k$ P" A LuaSocket 它是 Lua 的网络模块库，它很方便地提供 TCP、UDP、DNS、FTP、HTTP、SMTP、MIME 等多种网络协议的访问操作。 0 T0 {" Y+ G0 E6 G

# o0 w. } A% j) J0 L' j9 D

! g. `% S0 M& ~ 这个luasocke一部分是用 C 写的核心，提供对 TCP 和 UDP 传输层的访问支持。另外一部分是用 Lua 写的，负责应用功能的网络接口处理。

8 O5 Q+ \1 b/ E7 r; d 开源的luasocket代码可以参考学习下 " @( d4 O9 w" H% u: k" O" H) B# d' q

https://github.com/lunarmodules/luasocket

6 K/ h% b' c8 I! ?3 ]/ L8 T https://github.com/fengye/luasocket

  $ z) ?; y# ]1 u; w$ a

2 l: |! z; C1 H# I* V/ t

0 Q n6 r1 [0 z& e9 w$ @ % b# d5 j& B6 I* ^! B6 v

* d8 ]0 ]+ S0 f% l, w

 

3 }$ {3 Y# Z& v( I7 e& A+ e& V   6 {2 v a7 f* q1 f7 W" k0 K6 @

- V" t6 u3 e) g b D/ a 总结 / V6 R$ h/ n8 h! d7 C

纵观整个轰炸APP的功能，分析这个APP都没有采取任何保护(加壳、反调试)就没有门槛了，基本也不需要涉及到脱壳、hook和动态调试这些操作，只要用几个(jadx、charles、ida、uiautomatorviewer)工具就可以将功能全部分析清楚。 {9 C) I. J2 g' z- e9 |0 \* }' J' _

; b5 J0 j! T; U7 d 感叹这个作者确实很用心的去做这个轰炸的功能，去收集了406个的各类型的网站进行手机注册功能。

7 I v# u& a% C+ D) T! f% j

对于这种具有攻击性的APP还是要慎重下，免费APP功能的前提往往会有给APP植入后门或者病毒的存在。

$ U Q3 t! h' i* U, b 结束

" x' P6 `3 Q2 e/ K* k+ j

/ I8 B" W# u3 n  【推荐阅读】 4 ~+ e' f- j% d6 H" K+ h

. w0 v5 L/ @! r

对吃鸡APP的分析

* a( c2 V5 T* V; W% o$ U/ D+ ] 你需要了解的APP安全

) f) P2 A' k% B* |: }* @% E: J

5 }5 B P) f7 v& M# X2 d 你需要了解的APP安全