转载对小绵羊的轰炸APP逆向分析

admin

在网络上意外看到一款叫小绵羊的轰炸机APP，经过下载安装(这种未知风险的APP建议都在模拟器上去安装验证和分析功能，有安全风险问题模拟器删除即可)后确认，只要在APP界面的编辑框中输入手机号码，就可以进行对指定手机号码进行短信狂轰炸的效果的（已用自己测试号码验证过效果）。 : z# d" u2 g1 N) B! ?0 k8 r

; Z8 Z* t$ F D8 v

3 l$ |+ q* R9 F1 K8 N( \+ b   ; [. f% r# F+ q$ \

下面就以开发者角度进行解析下这个APP的功能的实现原理。

3 B; W6 o5 `% _4 m  

- {& W7 Y: C( c* X8 X2 C

基础信息 4 \1 b) Z1 C. i$ U) t0 G7 J) R: A

拿到APP的一般做法，就是先对这个APP进行查壳分析确认，决定是否删除卸载APP还是继续分析APP，还好通过查壳工具(通过识别APP中是否包含市面上的加固产品的特有的so文件特征)一分析这个小绵羊APP是没有加固保护的，这样对APP的分析门槛一下子就降低了。 - S0 y/ Y1 ^3 v% w6 @1 }

' q, `: @, p4 i- q+ P) I

" Z7 N) k2 w; E' _" r# H, e6 G- U- ] ( g; K* J% u( {

" Q, f, r+ E5 U! y  

" f5 x: L; ^9 j( r% F7 `% ]

6 K2 t' z J& l. _9 u' w 通过使用jadx进行查看APP的整个组成结构和重点查看java功能代码，通过工具可以查看app主要有java代码 C++代码（so文件），资源数据，lua数据，签名信息组成的。

7 S$ L1 h2 x6 r

2 Z3 a% I2 w5 A

2 [; e2 s* \" D P: M

' j2 _* y( M+ r" G" }- j  

- H9 |8 L( _" F4 n. ~ J 通过jadx工具查看，该APP的Java层部分代码采用android studio自带的proguard插件，进行对个别的类名函数名称进行做混淆保护，虽然这种混淆强度并不强，但是还是有很多APP采用这种方式进行对java层保护。只因这种保护成本低，只需简单的进行配置下就可以达到混淆效果。

: y. j3 Z0 m# ~. F: `" q( c! Q

  + x- A7 q3 l+ J

启动APP后，通过uiautomatorviewer(SDK中自带的分析控件的工具)工具进行分析该APP的界面控件信息，通过分析可以看到该APP的界面主要由1个EditText和3个Button控件组成的，也就是下面的截图信息。

9 O8 S3 ^/ F3 a3 f" j/ h4 F

 

; w$ X6 \5 H' I 下面是这个轰炸APP的界面背景颜色的设置，这个实现功能主要是以lua脚本方式进行实现的。

' L& h* s- Y% Q, `

# D* J" O. ~/ W+ t7 t1 C# H $ \- r9 X @7 s4 ] i) g5 U) A

 

( u* D5 i. v/ S- C2 o/ L: d

' w F+ E2 ^' Y   ; [( p p9 G6 Y( f0 V: S6 s/ n) m

$ }* o9 N: n' {) ~, X

签名信息 3 q4 }0 w7 j( }! L

$ j# {6 F% ^8 j% k 通过这jadx工具，可以看到这个APP采用的是V1的签名方式，我们知道V1签名是android最早的数字证书签名，为了提高验证速度和覆盖度在android7.0的系统中引入V2的签名，为了实现密钥的轮转载android 9.0系统中引入V3的签名。 9 S5 e4 L4 Z( B5 ^3 r/ d

( h( \& B2 _6 ~# R2 W; ]# I* U 目前APP中大部分都是通过V1和V2签名相结合的。并且这个在签名过程中要保证按照V1到V2在到V3的签名顺序，因为V1签名的改动会修改到ZIP三大部分的内容，先使用V2签名再V1签名会破坏V2签名的完整性。

& P4 w4 U6 T7 G

在android的app开发过程中，必须对app进行签名，不然过不了系统验证也就无法进行对app安装。

5 B# l: k6 W# o* V+ a% J, u4 p

0 d( c5 f8 S" N+ v& ?  

( p+ o9 y2 h( w/ G9 y

android签名的数字证书的一般都是采用 X.509的国际标准。 / v8 ?: H* c# l5 r7 @* J r9 P

4 A0 D+ x. R; s; i

因X.509内容为第三方可信机构CA对公钥实施数字签名，故也叫公钥证书，数字证书在PKI体系中是一个表明身份的载体，除了用户的公钥，还包含用户公开的基本信息，如用户名、组织、邮箱等。

w' U% k2 p; ]' H) P( d8 W: k

- o" n g, c) I( J 下图是android studio工具中可以自己创建用于对APP签名的证书，可以看到它包含密码信息、用户名称、组织名称、地区名称、国家信息、省份信息、城市信息。 9 v, z2 c+ o* n! ^ C3 c7 K( {0 w

% B6 Z& W5 [" A x5 Z# ^

; g" z6 h7 {8 [# h8 U4 v. h2 l

m" j2 T* J: j/ L& L5 \$ V

( [/ T; g; |/ p! Y- E& a* X; I0 [   1 W3 g1 q ~# l+ ?2 [

+ E4 L/ W6 g6 Y9 f/ i O/ x) p

同样也可以通过jadx工具，在META-INF目录下的CERT.SF文件中去查看确认签名信息，V1签名的主要关键字Created-By:, V2签名的X-Android-APK-Signed的关键字。

' O i: v8 T) g% s) R: y( r

、

! h( |3 J( d6 Y3 g+ j7 E' d  

2 `3 P2 J* }# \% |& e

权限信息 0 T: G7 p/ K' ?, [$ U D

在这个AndroidManifest.xml文件中主要包含app中所需要的权限，四大组件信息，app包的相关信息（包名称、sdk目标版本、sdk最低版本等等） - L. h7 `" U4 ]2 D8 l' H) P

4 l ?: l( Y& Q% w$ ~

& }& L- V- R* K) a- m/ k android的机制下想要读取相关的信息，都需要向用户申请权限，这个不仅符合android的安全机制，也符合目前国内的安全合规，同样也可以通过申请的权限信息了解APP的功能需求。

7 \6 Q$ z g+ L, H

- v. J8 v% P7 P2 k+ R

  7 k# {" o- n L8 \. T. A' U8 R

' v9 A) l& ]. }, B5 n6 ~

下面对这个APP的所有权限进行详解下： ! w9 G1 D+ O5 _7 g

! {/ ]# H$ P' G& _5 r android.permission.INTERNET ：访问网络连接可能产生GPRS流量 1 Q4 a6 [3 Q" K/ Y

android.permission.ACCESS_NETWORK_STATE：获取网络信息状态，如当前的网络连接是否有效 & f v6 I( T! s/ F5 V6 w

# N" S% W; m% q# Z4 M5 H& {; P/ Z android.permission.ACCESS_WIFI_STATE:获取当前WiFi接入的状态以及WLAN热点的信息 ; P% o. v9 u" U5 W4 S

android.permission.WRITE_EXTERNAL_STORAGE：允许程序写入外部存储，如SD卡上写文件 * O' o7 C$ R5 k5 w% `; ?

5 i$ k8 X/ ~5 U t% d

android.permission.WRITE_SMS：允许应用程序写短信内容

android.permission.READ_SMS：允许应用程序读取短信内容

- E e" C! V9 k4 s. ] android.permission.WRITE_SETTINGS:允许应用程序读取或写入系统设置 , J4 a% o) \ B# L, s H+ L

$ {+ u# t0 t9 R$ l1 N

android.permission.CLEAR_APP_CACHE：允许程序清除应用缓存

W; g3 @8 l, ^- K) Q$ k

android.permission.BLUETOOTH：允许程序连接配对过的蓝牙设备

' @4 N: |# _7 B: P android.permission.VIBRATE：允许振动 ' ?6 D* o) q# W: {( `; Q5 \+ S

* t! h Z3 s1 X& Q& b/ ? android.permission.READ_LOGS：允许程序读取系统底层日志 * y7 _% B. P3 E/ U) Y7 h( W$ F

9 r5 t( J) h, M0 a. Z' J+ e android.permission.READ_FRAME_BUFFER：允许程序读取帧缓存用于屏幕截图  * f3 _+ }! G- J+ Y" s

% U5 Y3 l0 q0 |: r

; c3 d: a5 U9 u4 N# P( E) M  

4 [# v& |* W3 U5 F

功能信息 ) ]0 r. U2 H. I

% I1 K! U8 s6 N$ x1 T

2 R! e" ]: k1 B9 @& ~) h9 C* o. m   : M( z8 |7 U; M* f% Z+ F

这个APP的主要功能都是在lua上实现的，从界面到轰炸功能都集成到lua上。

- j+ E0 v+ V+ O! D" Y Lua是一门用标准C编写的动态脚本语言，如果希望在android上使用，则需要解决2个问题。 , U# e: M( z3 L, d- w: ^! C

2 a( G0 Z/ ?. ?0 O( F; N5 @" E

1、需要用JNI为Lua的C库进行封装，这样才可能在Java中使用。

( p4 E) @4 f g0 H

3 G" F5 ]6 }7 w 2、由于Android系统开发所特有的系统环境限制，Lua三方库的动态加载机制和lua脚本模块的导入机制将不能正常运行，需要进行特殊处理。 ; O# n6 @8 ~8 i

& U! C8 R s% ]

* r5 C$ V8 U) O* P1 ~# h% G' d 6 t. H2 A$ s- k% C

0 u# I* A8 I4 q/ j

  ) Q5 o" S7 I( ?9 u

1 u) @3 A% V6 ~, O' I+ i1 I

+ D# Y8 ?/ u" v2 P+ K' s/ s 输入好手机号码后（不过这个输入都没做验证，随便输入数据都进行执行一遍功能），通过charles抓包工具进行抓取数据吧，可以很清晰的看到，点击轰炸后，马上执行发送406个网络数据包，这些数据主要集中在作者收集的406个各种类型网站进行发网络账号注册验证码信息的轰炸。 + a& ?. m" V( m2 e0 J

% l5 m1 @$ @' F; @5 Y3 \* B

5 p5 a9 Y# J, |0 ]  

在lua功能中，有对vpn的判断，通过简单判断获取当前网络状态，并且判断网络状态是否属于vpn的状态，如果属于vpn状态，那么就往storage的目录下写入时间点设定，并且强制关闭APP，当在启动APP的时候会先判断文件是否有写入判断禁入的信息，如果有就不让启动APP。其实破解这个验证很简单，直接将文件的禁入信息清空即可。

! M" h* k; \: R A* L5 Z8 U " E% Q' k" \9 y8 O% n* V+ ]

# X( f& {& A; V+ |) L* @

1 x. g2 r9 `1 @) @7 F6 l 下图的这几个so是网络上lua和socket通用的so文件，并没有什么可研究价值。 + M* l0 G U8 p

9 e% Y: X1 e6 F/ ^0 V1 _9 G# G

  4 D1 K5 j6 n* R( S* W

* S1 h8 Z& d, W; ?

通过分析libsocket.so这个so文件，可以确认采用的是luaSocket 3.0版本 0 J5 A1 U5 f) f+ C5 Q( G9 {9 L* u

+ L& x9 J- t( X: C7 |

LuaSocket 它是 Lua 的网络模块库，它很方便地提供 TCP、UDP、DNS、FTP、HTTP、SMTP、MIME 等多种网络协议的访问操作。 ) Q$ w) C! e. v# D# h

7 j# `4 q* m7 k

这个luasocke一部分是用 C 写的核心，提供对 TCP 和 UDP 传输层的访问支持。另外一部分是用 Lua 写的，负责应用功能的网络接口处理。

开源的luasocket代码可以参考学习下

7 L' l7 \8 D6 C+ b: a

1 G: O( \" m \7 t" L& r0 ^ https://github.com/lunarmodules/luasocket , M, k2 \9 q3 }; t

https://github.com/fengye/luasocket

 

' v1 C# e: Y) ^# a

P ?! c, W0 ] W' E: j

  % w" F; U. V. ?

; f1 k0 R) Q& z; G, x

  , G. A1 Z% i. R3 Y& u' E

总结

纵观整个轰炸APP的功能，分析这个APP都没有采取任何保护(加壳、反调试)就没有门槛了，基本也不需要涉及到脱壳、hook和动态调试这些操作，只要用几个(jadx、charles、ida、uiautomatorviewer)工具就可以将功能全部分析清楚。

+ ^5 E8 x6 |) K6 b6 P; G! N' E

" |) Y8 r" T" @. H D 感叹这个作者确实很用心的去做这个轰炸的功能，去收集了406个的各类型的网站进行手机注册功能。 + \1 H" d x, ^

+ Y. [. w! I' O5 j2 H' s5 C 对于这种具有攻击性的APP还是要慎重下，免费APP功能的前提往往会有给APP植入后门或者病毒的存在。 9 Q) P* I0 j6 j- y/ f2 O

结束 , i7 l5 U6 @" a1 T" P ]

 【推荐阅读】 - y8 T1 @ q+ R. F( A

3 h& E a5 x3 w' i7 C5 a 对吃鸡APP的分析 " m7 m/ C! h8 H7 i

你需要了解的APP安全

0 r" r( {, E. }: O5 A+ y 你需要了解的APP安全 `$ j/ E* c2 i, z% _- A4 A7 K

n) X& _0 f5 Z3 v+ w4 x3 P

3 m* H- v3 r/ [* @4 F