转载对小绵羊的轰炸APP逆向分析

admin

( [. w5 a* |8 z- H% ^& H2 B; V2 a" m 在网络上意外看到一款叫小绵羊的轰炸机APP，经过下载安装(这种未知风险的APP建议都在模拟器上去安装验证和分析功能，有安全风险问题模拟器删除即可)后确认，只要在APP界面的编辑框中输入手机号码，就可以进行对指定手机号码进行短信狂轰炸的效果的（已用自己测试号码验证过效果）。

7 [+ ]$ v& ?; L; g1 |7 W, M' d3 W# R

2 ]; T8 R8 y9 @3 g+ b

( V& F+ g: y1 Y& O9 @; f   1 w3 j0 k, y6 m; T" ]* h$ J9 J8 |

$ z+ a& o( h* V9 ]% E

+ e' l: Z) p2 p3 L5 w" D/ U 下面就以开发者角度进行解析下这个APP的功能的实现原理。

 

+ C) {# {" Z5 o! Q 基础信息

% ~* K4 _3 E! z6 ?

拿到APP的一般做法，就是先对这个APP进行查壳分析确认，决定是否删除卸载APP还是继续分析APP，还好通过查壳工具(通过识别APP中是否包含市面上的加固产品的特有的so文件特征)一分析这个小绵羊APP是没有加固保护的，这样对APP的分析门槛一下子就降低了。

3 v" h9 m1 e: L" b& c( ]: z* N

/ G. N8 _3 s: V$ p) s, } % e+ ]% I9 C/ e# @! d- {: |

) O* }: H: d# }$ F. A o  

, s+ T! ]; G3 G9 u1 ]& Y# x 通过使用jadx进行查看APP的整个组成结构和重点查看java功能代码，通过工具可以查看app主要有java代码 C++代码（so文件），资源数据，lua数据，签名信息组成的。

3 _# U* o& [ J

% K- L: f0 C' h) j   1 G6 ~9 Q" L* c2 l! o& i

* `/ I p8 e. x3 d8 h

: F6 {. O% Z. h- u 通过jadx工具查看，该APP的Java层部分代码采用android studio自带的proguard插件，进行对个别的类名函数名称进行做混淆保护，虽然这种混淆强度并不强，但是还是有很多APP采用这种方式进行对java层保护。只因这种保护成本低，只需简单的进行配置下就可以达到混淆效果。 # F+ Q$ F5 E& ^' m# e0 u! f

+ |, k+ X; L+ K- w$ x5 K! ?) r7 m

 

( W- E& S7 ], Y, l P/ f- ]; N 启动APP后，通过uiautomatorviewer(SDK中自带的分析控件的工具)工具进行分析该APP的界面控件信息，通过分析可以看到该APP的界面主要由1个EditText和3个Button控件组成的，也就是下面的截图信息。

) n6 K0 D! Y8 v& b( p4 C

) `+ H" {$ z% O3 B% z - L- g! X \2 n3 ]. p/ y

$ y' |6 v2 d2 s* L( S8 C! e

* |: x2 ~8 W2 P9 G  

; J# }) k8 d$ F7 Q" q5 q- @

下面是这个轰炸APP的界面背景颜色的设置，这个实现功能主要是以lua脚本方式进行实现的。

; V ?/ }: i2 }1 t6 t5 k # ]% @ ]. {' j0 y* Z3 f

  7 v: C& }) F. b# F1 v

+ ] r* i3 ?/ d/ N3 r% o; I7 [

0 ~) j, \+ v1 Q5 V  

% e/ G- S4 |' c+ |/ u$ o

签名信息 4 F4 k* w/ z+ X0 j

& D+ f% @) _( t1 H 通过这jadx工具，可以看到这个APP采用的是V1的签名方式，我们知道V1签名是android最早的数字证书签名，为了提高验证速度和覆盖度在android7.0的系统中引入V2的签名，为了实现密钥的轮转载android 9.0系统中引入V3的签名。 . [& }+ f' @, d. i

目前APP中大部分都是通过V1和V2签名相结合的。并且这个在签名过程中要保证按照V1到V2在到V3的签名顺序，因为V1签名的改动会修改到ZIP三大部分的内容，先使用V2签名再V1签名会破坏V2签名的完整性。 7 d* W6 f- ^/ f: ?1 K0 N: u

7 [8 D: v: `( \9 S- C 在android的app开发过程中，必须对app进行签名，不然过不了系统验证也就无法进行对app安装。

1 G! v0 o' `% _1 E

+ G0 `: C8 h9 E0 k+ l$ p0 }4 N 6 D g! N) K' i

# P2 P- A8 L4 h; P" r   ' Q3 p7 @. K6 c) B% ?2 v6 O/ g

7 I6 x$ C, F$ c0 D9 ^) R

android签名的数字证书的一般都是采用 X.509的国际标准。

?/ A' X/ v. O& m

因X.509内容为第三方可信机构CA对公钥实施数字签名，故也叫公钥证书，数字证书在PKI体系中是一个表明身份的载体，除了用户的公钥，还包含用户公开的基本信息，如用户名、组织、邮箱等。

下图是android studio工具中可以自己创建用于对APP签名的证书，可以看到它包含密码信息、用户名称、组织名称、地区名称、国家信息、省份信息、城市信息。 8 O2 d! x" I ]% P# }

/ O4 ^$ m6 e1 u! ]

  # |: d0 |$ S/ {! c2 o2 |4 n( }

- k+ O/ I( s$ n1 Q, L

/ X% p7 u s2 K, Q1 v. z g: G 同样也可以通过jadx工具，在META-INF目录下的CERT.SF文件中去查看确认签名信息，V1签名的主要关键字Created-By:, V2签名的X-Android-APK-Signed的关键字。 * ~- t+ M0 ]* G& i! }3 Q" x

* C* \9 b+ ]; m: ^. K

! Q1 k- e! E: z 、

' T% u5 |4 w/ I; r2 P

 

权限信息 $ x' U. ]( j! N& A

% h# s6 O' P1 k( O

. L& |8 S* m9 ?$ J 在这个AndroidManifest.xml文件中主要包含app中所需要的权限，四大组件信息，app包的相关信息（包名称、sdk目标版本、sdk最低版本等等） 1 X+ N# Q' ]" m# R& T$ G" c

android的机制下想要读取相关的信息，都需要向用户申请权限，这个不仅符合android的安全机制，也符合目前国内的安全合规，同样也可以通过申请的权限信息了解APP的功能需求。 $ E9 P# V: e( C6 p Q3 r6 m

9 a. g1 z9 M/ Q3 [' m

2 E: \$ b# H I ; s( u5 t! v6 T7 X H3 o1 q% a

! T: C0 _; m. y! h   ; b. `* R/ s+ \ y7 j# j3 n0 b. ~1 ]

3 ~6 ^# y4 F, ]

. S. M+ f( f* q) x2 m5 h 下面对这个APP的所有权限进行详解下：

android.permission.INTERNET ：访问网络连接可能产生GPRS流量 % A9 g3 }5 S5 ]

4 U, [; ^% B5 K' s( }

android.permission.ACCESS_NETWORK_STATE：获取网络信息状态，如当前的网络连接是否有效 i( U# Y. [2 |+ z$ ]) D

* v- f: L0 \/ M, Q

android.permission.ACCESS_WIFI_STATE:获取当前WiFi接入的状态以及WLAN热点的信息 ; @! [8 C; f. ]; j) T/ C! Y, c

+ m$ |) |7 B Y2 ~5 E [) T# V

3 }" X- ]/ } D" i8 @ android.permission.WRITE_EXTERNAL_STORAGE：允许程序写入外部存储，如SD卡上写文件

android.permission.WRITE_SMS：允许应用程序写短信内容 # }% t" d& {+ r( ^

5 U5 O9 K/ F0 C/ ?. s9 I android.permission.READ_SMS：允许应用程序读取短信内容 0 m+ _8 a6 P" X, N$ C# `% } }: p

: B! R: J: E) s9 Z android.permission.WRITE_SETTINGS:允许应用程序读取或写入系统设置 . E4 v. R! _5 [

9 t" |8 f( X% W" U

android.permission.CLEAR_APP_CACHE：允许程序清除应用缓存 " e# R1 {/ f5 \6 F

: ]! O, ^2 E; L

android.permission.BLUETOOTH：允许程序连接配对过的蓝牙设备 ) R" k# u6 g- ]- ]6 j

7 K! B8 i, J m$ o android.permission.VIBRATE：允许振动

1 T* a& G! Q+ j# R2 A' g

android.permission.READ_LOGS：允许程序读取系统底层日志

/ L% W! R$ W' a2 h1 h7 ?4 f! M2 \

android.permission.READ_FRAME_BUFFER：允许程序读取帧缓存用于屏幕截图  / a. d0 b4 _9 E/ L

 

. V) H0 m% I0 s* [9 _& u8 u

功能信息

$ q5 I& B+ P8 h' {! \- R% f

 

这个APP的主要功能都是在lua上实现的，从界面到轰炸功能都集成到lua上。

# h; f9 x r2 q, B! H' s T2 m9 R Lua是一门用标准C编写的动态脚本语言，如果希望在android上使用，则需要解决2个问题。

+ N% I: \' \. r/ q, M

F, R8 I* f& o4 d6 Z$ ?' B/ ] 1、需要用JNI为Lua的C库进行封装，这样才可能在Java中使用。 8 V9 N! K4 h' E. A! {

. E6 S6 P7 f. T/ s 2、由于Android系统开发所特有的系统环境限制，Lua三方库的动态加载机制和lua脚本模块的导入机制将不能正常运行，需要进行特殊处理。

# D) B+ }! D" b9 N* e

4 Z, D) t8 r3 T8 h; \& k* Q

 

. b; x% n" M+ i" t4 R

输入好手机号码后（不过这个输入都没做验证，随便输入数据都进行执行一遍功能），通过charles抓包工具进行抓取数据吧，可以很清晰的看到，点击轰炸后，马上执行发送406个网络数据包，这些数据主要集中在作者收集的406个各种类型网站进行发网络账号注册验证码信息的轰炸。

7 T j. g% R3 z8 R6 C7 v

( g3 ^2 _* Z4 s   / }/ \: @* Y4 f3 V7 _

: _$ o$ x X3 e/ f: l7 X( H. P

! G; p8 ]# F* `3 u6 D& x; W 在lua功能中，有对vpn的判断，通过简单判断获取当前网络状态，并且判断网络状态是否属于vpn的状态，如果属于vpn状态，那么就往storage的目录下写入时间点设定，并且强制关闭APP，当在启动APP的时候会先判断文件是否有写入判断禁入的信息，如果有就不让启动APP。其实破解这个验证很简单，直接将文件的禁入信息清空即可。

4 r$ D% C6 B0 w7 L" v: t" q

下图的这几个so是网络上lua和socket通用的so文件，并没有什么可研究价值。

+ l% D( m& d" I& L

  ! v1 `6 m8 L7 e

. `: m9 g$ _. m5 A) q2 A0 Y

8 i; P8 U/ ~/ H0 J* b6 h* C' ^ 通过分析libsocket.so这个so文件，可以确认采用的是luaSocket 3.0版本

LuaSocket 它是 Lua 的网络模块库，它很方便地提供 TCP、UDP、DNS、FTP、HTTP、SMTP、MIME 等多种网络协议的访问操作。 . l5 {1 \5 Z7 a% Y7 p+ {

$ k/ t2 x, P) \ 这个luasocke一部分是用 C 写的核心，提供对 TCP 和 UDP 传输层的访问支持。另外一部分是用 Lua 写的，负责应用功能的网络接口处理。

2 t5 B$ J7 @! T T6 Z. ~0 ^8 T, G 开源的luasocket代码可以参考学习下

3 F3 v0 a- ~% i( ?! L4 v) A6 \; @. h

https://github.com/lunarmodules/luasocket

, Z% c4 w/ L: z& q: b https://github.com/fengye/luasocket

! S5 s! E3 V& m- T g

! o6 j& Y$ e! j4 K. C2 f$ X   # Z5 J! y. ^( t" ^0 l& i* t

1 ~" \5 K2 u8 j- B( q( e

' e9 f# P5 F4 K   ) g& Q! H1 U( d% e) e% E5 s0 M

! C' N: ?4 Y) U$ A4 t; G   " ?8 ~/ |, P$ H: D+ n' e

总结

; ^0 S: v5 |( s3 v/ ?/ S 纵观整个轰炸APP的功能，分析这个APP都没有采取任何保护(加壳、反调试)就没有门槛了，基本也不需要涉及到脱壳、hook和动态调试这些操作，只要用几个(jadx、charles、ida、uiautomatorviewer)工具就可以将功能全部分析清楚。

& a6 Q) M1 [) R" ^# b4 u 感叹这个作者确实很用心的去做这个轰炸的功能，去收集了406个的各类型的网站进行手机注册功能。

+ h0 G# ?; [4 [! E4 Z( b/ H

7 _7 }8 [8 }% ^& c: v: e' A 对于这种具有攻击性的APP还是要慎重下，免费APP功能的前提往往会有给APP植入后门或者病毒的存在。 " `1 s& r, c# A9 G3 X

5 M; d1 p: k3 m# g6 H2 ` 结束 , R" R. x) n4 N3 U

/ I6 @9 ?3 `, B& v p1 o

/ C. K- Z0 z7 m B/ u/ m  【推荐阅读】 ' ~% R/ i5 x F2 m- @ ?

对吃鸡APP的分析

5 C7 r" r0 ?* p$ g

( z( L3 L* T7 i 你需要了解的APP安全

1 n g) j+ c; e+ m6 G 你需要了解的APP安全

. I( v# |7 p# ]3 {' F% \: |& s