转载对小绵羊的轰炸APP逆向分析

admin

# y6 | V( q9 u9 z3 } 在网络上意外看到一款叫小绵羊的轰炸机APP，经过下载安装(这种未知风险的APP建议都在模拟器上去安装验证和分析功能，有安全风险问题模拟器删除即可)后确认，只要在APP界面的编辑框中输入手机号码，就可以进行对指定手机号码进行短信狂轰炸的效果的（已用自己测试号码验证过效果）。

5 X; ?* O+ P, B8 M; j

6 {/ B" w2 [" W) V9 ^ O- s7 J- q 0 w$ _: Q6 x6 Q$ V. m1 _1 ~$ W- D9 R

1 ]7 k% d0 z) ~) k7 p8 \  

3 N* _% ^5 w- M

1 a4 h4 ]6 _$ Y6 s7 Y+ X0 {* }% k 下面就以开发者角度进行解析下这个APP的功能的实现原理。

1 O5 M+ ]$ P$ H {- ]   ( O/ r0 I1 q9 S( |, u

6 ~% ]& A$ `0 k% ]/ @ 基础信息 ' \8 t) x" O* @

8 c7 c( h( z" e0 q% E) b 拿到APP的一般做法，就是先对这个APP进行查壳分析确认，决定是否删除卸载APP还是继续分析APP，还好通过查壳工具(通过识别APP中是否包含市面上的加固产品的特有的so文件特征)一分析这个小绵羊APP是没有加固保护的，这样对APP的分析门槛一下子就降低了。

0 ]) t% W2 p" B+ N5 g: ~* k3 F

5 h Z1 L( I2 `0 t6 K. e, w$ x8 X4 u

* D6 Q, s: ]8 I Q7 [   ( j; M( S6 Q1 o8 p& ^

2 u& m" B4 m* Z+ Y7 J q+ s

$ J. p4 A( |5 n6 {5 U 通过使用jadx进行查看APP的整个组成结构和重点查看java功能代码，通过工具可以查看app主要有java代码 C++代码（so文件），资源数据，lua数据，签名信息组成的。 8 ~/ D* [% z) r: I9 x* H% a

?+ x8 U/ b- z5 F. M* `

& @, a, u- Z2 J' j " y* J1 q; o6 R

 

# P+ _6 B3 G' Z

通过jadx工具查看，该APP的Java层部分代码采用android studio自带的proguard插件，进行对个别的类名函数名称进行做混淆保护，虽然这种混淆强度并不强，但是还是有很多APP采用这种方式进行对java层保护。只因这种保护成本低，只需简单的进行配置下就可以达到混淆效果。 * y; ^( c$ A8 h3 Y* s7 b$ Q

0 ?9 x1 N* f4 f" e & ~! g+ w8 G; r2 x1 P1 `

, u) R' X! }2 j. j

+ B6 k( ~+ A! K3 r  

9 G9 c8 u1 ^- g

启动APP后，通过uiautomatorviewer(SDK中自带的分析控件的工具)工具进行分析该APP的界面控件信息，通过分析可以看到该APP的界面主要由1个EditText和3个Button控件组成的，也就是下面的截图信息。

) x2 F5 ?) J- e3 L( b' ^

8 c5 Z' h! |8 A- D! q' |8 s6 I0 {4 y

; S* N' I; e8 q f  

下面是这个轰炸APP的界面背景颜色的设置，这个实现功能主要是以lua脚本方式进行实现的。

: Z: m( {8 ^5 y0 ^: A' x3 Z; `

7 F! k z7 Z2 O( V' D$ \

+ e! ]0 B7 w5 Y6 G

9 e+ W+ T f; t  

8 Z; ]) s4 {; Z; h

% g: [, F5 H* X' E1 h: j  

0 {$ K5 h/ Z7 K

6 q& _' Y( N, _1 V# j/ a 签名信息

; u4 H q/ o5 ]7 e( `* q

( L: ? }7 A% v 通过这jadx工具，可以看到这个APP采用的是V1的签名方式，我们知道V1签名是android最早的数字证书签名，为了提高验证速度和覆盖度在android7.0的系统中引入V2的签名，为了实现密钥的轮转载android 9.0系统中引入V3的签名。 9 W( E! v. o f4 X% O

目前APP中大部分都是通过V1和V2签名相结合的。并且这个在签名过程中要保证按照V1到V2在到V3的签名顺序，因为V1签名的改动会修改到ZIP三大部分的内容，先使用V2签名再V1签名会破坏V2签名的完整性。

; m* V0 D8 M2 |: \/ `- j( f

5 s/ M6 }5 ^8 Q 在android的app开发过程中，必须对app进行签名，不然过不了系统验证也就无法进行对app安装。

2 L4 @" q4 ~5 b8 h1 z* h

 

( t% f' A1 V4 v2 @% D5 v( y

android签名的数字证书的一般都是采用 X.509的国际标准。

$ T* p& D" U0 ?$ @; j- \" o 因X.509内容为第三方可信机构CA对公钥实施数字签名，故也叫公钥证书，数字证书在PKI体系中是一个表明身份的载体，除了用户的公钥，还包含用户公开的基本信息，如用户名、组织、邮箱等。

0 S% J$ o, U3 A* f" |$ i8 J. X 下图是android studio工具中可以自己创建用于对APP签名的证书，可以看到它包含密码信息、用户名称、组织名称、地区名称、国家信息、省份信息、城市信息。 4 l0 J- K1 A) i" r* `. |, A

3 t3 g% V1 h: {' T

  $ P% ?; R9 C# Q1 f: b/ s0 Q% M8 U

同样也可以通过jadx工具，在META-INF目录下的CERT.SF文件中去查看确认签名信息，V1签名的主要关键字Created-By:, V2签名的X-Android-APK-Signed的关键字。 , _: E+ T0 g2 |; H8 c7 R1 ~: }/ i

( o {8 X7 N% I# k; s

; ~) O6 f+ O( Z* c4 _5 H) G y. C

7 Z$ }! i! t9 U% m4 k& t* {1 [

、 0 G* y' o" v [3 ^5 K

% `4 \4 n. b/ ?; U. t7 R  

权限信息 , r' r R: o2 j. k

在这个AndroidManifest.xml文件中主要包含app中所需要的权限，四大组件信息，app包的相关信息（包名称、sdk目标版本、sdk最低版本等等）

1 t/ ?2 l; t6 F' U7 L( ~5 ^

android的机制下想要读取相关的信息，都需要向用户申请权限，这个不仅符合android的安全机制，也符合目前国内的安全合规，同样也可以通过申请的权限信息了解APP的功能需求。 * b# H/ ~" N4 `+ T8 P: t

% u- w2 [ d" X6 B4 R

1 V& X; R' `+ ~7 {4 s) i8 l8 _! i ' g7 h: q3 u& j4 I

, _0 q% a# @+ {) T5 k: N1 j6 B

9 B2 C' |$ q/ z5 l$ d" [   7 C4 S* s/ i4 ] H3 V, I

下面对这个APP的所有权限进行详解下：

# e& i6 C* H; n2 m2 |. w& {

android.permission.INTERNET ：访问网络连接可能产生GPRS流量 1 n+ w- Z! V+ j3 h/ \9 a0 r$ G H) r2 t

0 k- D! e" ?: p

android.permission.ACCESS_NETWORK_STATE：获取网络信息状态，如当前的网络连接是否有效

6 Y$ O+ n* F& s android.permission.ACCESS_WIFI_STATE:获取当前WiFi接入的状态以及WLAN热点的信息

. I1 F& b+ L8 a4 @( ^: s3 U+ L

" S- }9 R+ a! R$ X# n$ m android.permission.WRITE_EXTERNAL_STORAGE：允许程序写入外部存储，如SD卡上写文件

: {4 ?# O# j/ R- ~9 e

android.permission.WRITE_SMS：允许应用程序写短信内容

0 t3 F: J0 O% R: ? android.permission.READ_SMS：允许应用程序读取短信内容 ) o/ I3 f9 t$ o% C4 P

1 t8 X, }$ b5 W" G8 Q

android.permission.WRITE_SETTINGS:允许应用程序读取或写入系统设置

! y3 K8 t, Q4 Y: J# ]7 q6 ?

android.permission.CLEAR_APP_CACHE：允许程序清除应用缓存 ' r( T" u2 ~1 u

; z1 W6 ~" l0 ^

android.permission.BLUETOOTH：允许程序连接配对过的蓝牙设备

android.permission.VIBRATE：允许振动

9 M6 p/ o+ _$ ~' ~2 e. A android.permission.READ_LOGS：允许程序读取系统底层日志 5 g' m. H) P3 b) @

android.permission.READ_FRAME_BUFFER：允许程序读取帧缓存用于屏幕截图 

 

. j) [9 y, i5 B* z

# u. X0 F% t5 ?- Q4 Q% A 功能信息

8 M2 @* z/ o$ B   2 U: k6 Y; e) O$ b$ J: T! o

# W& c/ Q: p. v: s: j. ^ 这个APP的主要功能都是在lua上实现的，从界面到轰炸功能都集成到lua上。

. v. {) Z' l9 y- s Lua是一门用标准C编写的动态脚本语言，如果希望在android上使用，则需要解决2个问题。

5 v- a9 ^# Y. a3 ~4 f

( B6 m7 o# s! w# t 1、需要用JNI为Lua的C库进行封装，这样才可能在Java中使用。

2、由于Android系统开发所特有的系统环境限制，Lua三方库的动态加载机制和lua脚本模块的导入机制将不能正常运行，需要进行特殊处理。

% P f: ]1 X) v$ i5 |/ T# _( K

# V2 N2 z9 P) h# W/ m" R8 M

2 ^2 a) b8 v/ w' G  

输入好手机号码后（不过这个输入都没做验证，随便输入数据都进行执行一遍功能），通过charles抓包工具进行抓取数据吧，可以很清晰的看到，点击轰炸后，马上执行发送406个网络数据包，这些数据主要集中在作者收集的406个各种类型网站进行发网络账号注册验证码信息的轰炸。

) b8 m0 m) E7 p! C/ C' x4 V  

, X7 {( c2 a \& G 在lua功能中，有对vpn的判断，通过简单判断获取当前网络状态，并且判断网络状态是否属于vpn的状态，如果属于vpn状态，那么就往storage的目录下写入时间点设定，并且强制关闭APP，当在启动APP的时候会先判断文件是否有写入判断禁入的信息，如果有就不让启动APP。其实破解这个验证很简单，直接将文件的禁入信息清空即可。 ! b- r0 Y F. r

' S! j9 F! q8 J& y

" T4 M- ^$ t! ]0 m% i, x9 C% N

) _% y5 y# s) `

下图的这几个so是网络上lua和socket通用的so文件，并没有什么可研究价值。

! j/ w. U8 C0 W. T& `

 

# [- f- q' I' A; m* _5 E

0 J" Y+ {( I/ _: w7 d! O 通过分析libsocket.so这个so文件，可以确认采用的是luaSocket 3.0版本

LuaSocket 它是 Lua 的网络模块库，它很方便地提供 TCP、UDP、DNS、FTP、HTTP、SMTP、MIME 等多种网络协议的访问操作。

7 r& K4 q: Z4 i7 i

这个luasocke一部分是用 C 写的核心，提供对 TCP 和 UDP 传输层的访问支持。另外一部分是用 Lua 写的，负责应用功能的网络接口处理。 & s0 `0 ^: P) m: w0 B$ P

1 J4 X1 j4 R% }# N8 z6 Z* A+ [+ F' C

开源的luasocket代码可以参考学习下

% W; }# K; h' J& Y9 |* R

https://github.com/lunarmodules/luasocket

6 {* r( V P( S" f6 W# ^8 y: d" f

https://github.com/fengye/luasocket

 

: t) _$ w6 R0 `! r

2 M; D3 @- |3 h; u5 b- H' P1 [/ ?

. O; v' `1 V- s$ r2 j- s$ }  

  * Z6 {5 E" m# R# e9 b9 a+ R

总结 # I9 X2 `8 u9 l0 H7 x/ Z f

8 z! ^1 a: f6 C% C# k

5 i' R) S Q! b3 P 纵观整个轰炸APP的功能，分析这个APP都没有采取任何保护(加壳、反调试)就没有门槛了，基本也不需要涉及到脱壳、hook和动态调试这些操作，只要用几个(jadx、charles、ida、uiautomatorviewer)工具就可以将功能全部分析清楚。 . `5 G; ] N# Q2 O" S( r# k

感叹这个作者确实很用心的去做这个轰炸的功能，去收集了406个的各类型的网站进行手机注册功能。

1 ]; i7 u' K A7 _$ t2 n* [

- Z) B( @" C" K9 t' @8 y g 对于这种具有攻击性的APP还是要慎重下，免费APP功能的前提往往会有给APP植入后门或者病毒的存在。 " ~" w+ T: h" F

" S0 I" Y8 O3 y* y

; w4 @/ ~; W2 |0 F 结束 + ]6 r( C6 b- d" i

) o& i6 o0 M5 n. W* s

 【推荐阅读】 , j9 H% V2 R8 R, P

: @# |9 L' Y% G( R6 X; m/ |

对吃鸡APP的分析

8 U' y P, T! o1 \7 ?

你需要了解的APP安全 ) ~: G0 Y* e2 u: ]% ^/ b9 [. C' A

& K: c. [( L5 t6 u& U2 u: M1 C

你需要了解的APP安全 ) i: |$ Q6 E" O i5 K' h

2 }2 q* }: e) ]- T! I1 O