转载对小绵羊的轰炸APP逆向分析

admin

3 c7 {5 J2 F" `( S# p( b% K: c9 _, x 在网络上意外看到一款叫小绵羊的轰炸机APP，经过下载安装(这种未知风险的APP建议都在模拟器上去安装验证和分析功能，有安全风险问题模拟器删除即可)后确认，只要在APP界面的编辑框中输入手机号码，就可以进行对指定手机号码进行短信狂轰炸的效果的（已用自己测试号码验证过效果）。 o0 F! U# y& n

" o) g. A6 u& K4 w9 Z! O& t% u 6 ]; t! i4 y u1 k4 |5 ^! v" p

9 i, d% P \( `4 [8 N* G

  - |' r) X% Q, q4 ^, {$ z

9 v+ e& ~ W, P0 y) n

下面就以开发者角度进行解析下这个APP的功能的实现原理。 " W5 o8 ^2 O9 P" j7 H

7 c9 |; e0 v. Q0 n, }; Y1 D1 `

  ; {; i( D. K' |8 D# {

基础信息

8 `9 e% X- _# V+ p 拿到APP的一般做法，就是先对这个APP进行查壳分析确认，决定是否删除卸载APP还是继续分析APP，还好通过查壳工具(通过识别APP中是否包含市面上的加固产品的特有的so文件特征)一分析这个小绵羊APP是没有加固保护的，这样对APP的分析门槛一下子就降低了。 ' z; S% k6 S; x% Y

8 \7 z2 H! C6 z6 |; [8 @

8 |, A7 R6 N i0 K) ^4 |

0 \$ F* S9 k$ p( W |   & x; d) G h) \6 ~. Y5 B* ^5 ~

9 G) @8 R: s' d: E1 Z

) P7 @1 Y9 ?% c, e, B5 b, L5 S 通过使用jadx进行查看APP的整个组成结构和重点查看java功能代码，通过工具可以查看app主要有java代码 C++代码（so文件），资源数据，lua数据，签名信息组成的。 6 e F+ H4 }' m0 M2 h$ F1 s

, M/ P7 r+ l _: y( }

/ |/ v! H$ t0 Q: {( U

! h6 N% j$ P, M+ I# V& U9 V   ; r7 g" N) j* L; H6 r) F$ z

! |; i/ d: `: P; A( ~ 通过jadx工具查看，该APP的Java层部分代码采用android studio自带的proguard插件，进行对个别的类名函数名称进行做混淆保护，虽然这种混淆强度并不强，但是还是有很多APP采用这种方式进行对java层保护。只因这种保护成本低，只需简单的进行配置下就可以达到混淆效果。

; E6 I% Z5 \1 ]+ h# N

& U/ O' G/ `9 K$ [  

启动APP后，通过uiautomatorviewer(SDK中自带的分析控件的工具)工具进行分析该APP的界面控件信息，通过分析可以看到该APP的界面主要由1个EditText和3个Button控件组成的，也就是下面的截图信息。 - M/ O+ w, D$ O1 ^

9 Y* C \3 E, i7 i

$ b6 d% h& y; N( c + {6 R4 e' }( O

2 L7 K+ [# O' J6 q7 L' V  

% ~# m; E2 X; d/ {! U8 g; o/ ?

下面是这个轰炸APP的界面背景颜色的设置，这个实现功能主要是以lua脚本方式进行实现的。 : o3 H4 P: ~5 J0 T9 [! a8 C

5 m+ i& {: g( R* L2 q* ] 9 s0 }% t! Q' S" t% a

8 C* q* F8 J/ ~) R z! p' c- r   : i9 ?1 X! F d- i0 l

& y& T+ h, R, h* V  

' B5 |6 \: o$ @' n+ w

签名信息 6 N. |1 K* R3 H& i* s0 y$ o

$ y) Y7 v. W# E" ?$ Z

7 U0 V' M: O2 G1 ?: Z/ A' H% w* V 通过这jadx工具，可以看到这个APP采用的是V1的签名方式，我们知道V1签名是android最早的数字证书签名，为了提高验证速度和覆盖度在android7.0的系统中引入V2的签名，为了实现密钥的轮转载android 9.0系统中引入V3的签名。 # o2 H3 Z& J# h) R' F; }3 F

0 K8 X4 P$ \% |. F" i8 H) N" G& f; x

目前APP中大部分都是通过V1和V2签名相结合的。并且这个在签名过程中要保证按照V1到V2在到V3的签名顺序，因为V1签名的改动会修改到ZIP三大部分的内容，先使用V2签名再V1签名会破坏V2签名的完整性。

. M" l4 J$ m4 n8 A* E* C. c

在android的app开发过程中，必须对app进行签名，不然过不了系统验证也就无法进行对app安装。

. F2 e2 d8 J7 u7 B% t- d

2 u* x7 Y# P' O% m, I

  k6 M& t0 f$ n) x+ `

7 C; H8 Z9 I- ^5 o% f ? a android签名的数字证书的一般都是采用 X.509的国际标准。

6 M( v q$ N8 r: v

因X.509内容为第三方可信机构CA对公钥实施数字签名，故也叫公钥证书，数字证书在PKI体系中是一个表明身份的载体，除了用户的公钥，还包含用户公开的基本信息，如用户名、组织、邮箱等。

+ c. d- Q# x* i; B+ k% q( V7 k

下图是android studio工具中可以自己创建用于对APP签名的证书，可以看到它包含密码信息、用户名称、组织名称、地区名称、国家信息、省份信息、城市信息。 * F+ g8 z& ^7 @5 T

. ]) f$ ^( ], W" u7 z# z7 a/ Y( d

% `& a/ `3 j! {& P, Q% I) p6 f % G6 |/ t* W$ h$ s9 Q

: j6 ?' C$ S) U- E- ?" {+ `& m$ U

  * i. c3 `8 ]5 A/ _/ T8 Q, F

) O+ F6 B+ @( A/ M G$ n. b1 c4 }

r l7 L0 v- u, M, D 同样也可以通过jadx工具，在META-INF目录下的CERT.SF文件中去查看确认签名信息，V1签名的主要关键字Created-By:, V2签名的X-Android-APK-Signed的关键字。 , r/ t E" ^" P1 }0 E, {, M4 c

$ [" z0 H2 n) s$ \: `

7 ]" H% q3 }' D1 F' N 、 B8 L' n# m( t' [

  8 {8 n% Z- W, D5 L u" O

权限信息

. ]" k; v9 {) c0 a& L7 w: F2 ]

在这个AndroidManifest.xml文件中主要包含app中所需要的权限，四大组件信息，app包的相关信息（包名称、sdk目标版本、sdk最低版本等等） / V% m3 `1 U+ R i, F- i9 Z

4 r* j9 B- E" j* Z( B1 f

$ B2 _; V% N6 |8 G( y android的机制下想要读取相关的信息，都需要向用户申请权限，这个不仅符合android的安全机制，也符合目前国内的安全合规，同样也可以通过申请的权限信息了解APP的功能需求。

+ } ]9 l9 F2 ]/ \5 j 2 \ E, x I9 [+ z2 U/ U7 g

6 N0 a" d6 x9 _5 L Y

  ; z7 \( r- `3 {

/ K- ?( O# u2 T* q5 R. K 下面对这个APP的所有权限进行详解下：

android.permission.INTERNET ：访问网络连接可能产生GPRS流量 6 Z1 D* [) y4 r. ?

# C) _1 N* P3 u& f* B$ y! p6 q android.permission.ACCESS_NETWORK_STATE：获取网络信息状态，如当前的网络连接是否有效

android.permission.ACCESS_WIFI_STATE:获取当前WiFi接入的状态以及WLAN热点的信息

3 i2 s7 B' [+ b) c4 K

: \/ f: f2 x& I/ B android.permission.WRITE_EXTERNAL_STORAGE：允许程序写入外部存储，如SD卡上写文件

android.permission.WRITE_SMS：允许应用程序写短信内容 & }8 s! v1 U" L

4 t* ~/ J8 o& t8 T$ H

android.permission.READ_SMS：允许应用程序读取短信内容 / c7 D ?8 c8 l+ P, }, r5 M7 o

! _' }& t, C8 e# X( Z

android.permission.WRITE_SETTINGS:允许应用程序读取或写入系统设置

# Z' K' s; H9 y7 W! Q

/ e5 {$ D: ~5 c( ] android.permission.CLEAR_APP_CACHE：允许程序清除应用缓存 ! g2 T" N9 b g. K

android.permission.BLUETOOTH：允许程序连接配对过的蓝牙设备

1 N& }# o8 \ }+ W7 `" K' C* ^+ f, l android.permission.VIBRATE：允许振动 , {! i! J/ X/ @8 F, }

* c( _7 x% b- D! n5 S) ]1 W

android.permission.READ_LOGS：允许程序读取系统底层日志

android.permission.READ_FRAME_BUFFER：允许程序读取帧缓存用于屏幕截图  : L' l0 N- s5 b& s( T9 A! g- R

  + d v0 a4 ~9 h: z( L+ S; f

. Y5 v, h% \* b5 I

# C8 F4 i# q- P: p 功能信息 X8 E' @) M# Y, A

) A1 n4 I9 p3 c S+ u1 P

* K1 d' q% W6 \8 f7 v4 I   - a/ `0 Y1 C; X- j; |

! P7 a z2 @+ X' D

4 r& a' z& }. B; \8 o1 S/ F; w 这个APP的主要功能都是在lua上实现的，从界面到轰炸功能都集成到lua上。

2 k9 _/ e8 A3 o( m F

7 x& P- c8 c3 u) [- o0 g, `& R/ ] Lua是一门用标准C编写的动态脚本语言，如果希望在android上使用，则需要解决2个问题。 7 }! u1 t( Y, H4 C

; q! K- L3 k3 @5 p

1、需要用JNI为Lua的C库进行封装，这样才可能在Java中使用。

! g4 g s* @+ i( y' S7 V' c

( G- i2 d0 p5 t+ b& k9 n 2、由于Android系统开发所特有的系统环境限制，Lua三方库的动态加载机制和lua脚本模块的导入机制将不能正常运行，需要进行特殊处理。 # Z6 d" V* P( f9 t, r

1 g, ]7 N3 P$ S- A; U# Y

4 T9 x9 C; r- e* r/ Q4 F . Y, p* C8 w1 ]5 K2 J

 

6 r( M! d+ E8 ]0 {/ w! _

输入好手机号码后（不过这个输入都没做验证，随便输入数据都进行执行一遍功能），通过charles抓包工具进行抓取数据吧，可以很清晰的看到，点击轰炸后，马上执行发送406个网络数据包，这些数据主要集中在作者收集的406个各种类型网站进行发网络账号注册验证码信息的轰炸。

2 @3 E J; H+ F5 d

- ` B+ l0 D% e7 t j- F

! ?( B# y) D1 a; Y" @

& B! L* d8 O4 n- x, C. @   , j1 Q9 o7 Z$ \* ~" q3 }

8 N) k8 S! d2 O4 I

# [* G' x) c" v. \ 在lua功能中，有对vpn的判断，通过简单判断获取当前网络状态，并且判断网络状态是否属于vpn的状态，如果属于vpn状态，那么就往storage的目录下写入时间点设定，并且强制关闭APP，当在启动APP的时候会先判断文件是否有写入判断禁入的信息，如果有就不让启动APP。其实破解这个验证很简单，直接将文件的禁入信息清空即可。

0 O& Y6 A2 l2 [! ?! V: V

1 z6 {8 r. z, }' P# e/ H 下图的这几个so是网络上lua和socket通用的so文件，并没有什么可研究价值。

8 H% z' D' r/ ~

+ U5 y9 c# H1 y; s

 

9 H! A( d1 T, q" \ 通过分析libsocket.so这个so文件，可以确认采用的是luaSocket 3.0版本

& r$ Y& |, p/ a$ u) r, G8 v

LuaSocket 它是 Lua 的网络模块库，它很方便地提供 TCP、UDP、DNS、FTP、HTTP、SMTP、MIME 等多种网络协议的访问操作。 * Y- \7 j( i& k6 r8 P

& U/ s+ R2 o3 y+ U z

0 M1 z( C* H/ ^$ ?2 Y5 n7 ?, C 这个luasocke一部分是用 C 写的核心，提供对 TCP 和 UDP 传输层的访问支持。另外一部分是用 Lua 写的，负责应用功能的网络接口处理。

1 ^; y5 }( W' w9 n 开源的luasocket代码可以参考学习下

1 ] C/ ^3 U! t1 \7 X: Q

7 b# B/ t: v G8 r7 R3 ? https://github.com/lunarmodules/luasocket

https://github.com/fengye/luasocket 2 ^" w0 M. H4 ~; ~" [- ^' P

 

/ `% C" x6 L* K. R

& h* y7 D7 T* J9 T

7 Z. i3 v* a6 r# L) D2 t2 {  

4 d" o% R# \) L9 @& v ]. q6 o) `

  2 h$ r! A/ j! N" Z8 j$ T

" Q, i1 w9 c" p4 |7 ~1 \

3 P5 r1 Y8 H# K5 w1 O0 l' b; I 总结

纵观整个轰炸APP的功能，分析这个APP都没有采取任何保护(加壳、反调试)就没有门槛了，基本也不需要涉及到脱壳、hook和动态调试这些操作，只要用几个(jadx、charles、ida、uiautomatorviewer)工具就可以将功能全部分析清楚。

# D+ L6 l/ Z+ A+ H; g8 V

感叹这个作者确实很用心的去做这个轰炸的功能，去收集了406个的各类型的网站进行手机注册功能。

3 X5 L$ ]$ i, N: I0 e 对于这种具有攻击性的APP还是要慎重下，免费APP功能的前提往往会有给APP植入后门或者病毒的存在。

% A9 o0 R, ^; Q0 l 结束 $ [" b3 w! o! Z! Q! @/ A; x

 【推荐阅读】

. K: |1 W& e4 L4 X) u

. u+ D' g6 y6 }7 u S 对吃鸡APP的分析

; d7 J( E6 I6 g5 w* t! e

6 z' y4 a, I* G( i: [ 你需要了解的APP安全 : t* G# U+ ]1 ^. e, M5 g* E

+ Q5 L+ A' @$ n9 f1 o, C2 z 你需要了解的APP安全 6 p8 P7 {) L L+ F