移动安全

Size: px

Start display at page:

Download "移动安全"

奉吴
5 years ago
Views:

1 Basic Courses of Android Security 移动安全北斗 2015/11/19 1

2 2

3 个人简介 ID: 北斗 WhiteCell-Lab 安全研究员白细胞安全团队成员关注移动安全 3

4 目录 drozer 介绍与安装工具使用四大组件安全 Activity Broadcast Service Content Provider 数据存储安全外部存储内部存储 4

5 drozer 工具 5

6 drozer 介绍 drozer 是一个 Android 安全评估框架 drozer 能够与 Android App 进行交互, 发现 Android App 暴露的攻击面 drozer 有许多扩展模块, 帮助测试以发现漏洞 drozer 是一款开源的软件源码 : 下载 : 6

7 安装 drozer Console 准备环境 Java Development Kit(JDK) Python 2.7 Android SDK adb Windows 下下载并安装 setup.exe 将 drozer 路径加入系统环境变量 ( 非必要 ) Agent 下载 apk 并在手机上安装 7

8 运行一个 drozer 会话 1. 用 USB 连接设备和 pc 2. 设置好端口转发 adb forward tcp:31415 tcp: 启动设备上的 drozer agent Embedded Server->Enabled 4. drozer console connect 8

9 drozer 控制台命令 Command run MODULE list shell module permissions help exit Description Execute a drozer module. Show a list of all drozer modules that can be executed in the current session. This hides modules that you do not have suitable permissions to run. Start an interactive Linux shell on the device, in the context of the Agent process. Find and install additional drozer modules from the Internet. Display a list of the permissions granted to the drozer Agent. Display help about a particular command or module. Terminate the drozer session. 9

10 实践 : 枚举已安装的包 10

11 四大组件安全 11

12 Activity 安全 Activity 组件是 Android 应用程序的主体, 负责界面呈现和交互工作, 为用户操作展现可视化界面 <activity android:name="com.example.android.welcomeactivity <intent-filter> <action android:name="android.intent.action.main"/> <category android:name="android.intent.category.launcher"/> </intent-filter> </activity> 12

13 显式启动直接使用 Intent 对象指定 application 以及 activity 启动 Intent intent=new Intent(MainActivity.this, SecondActivity.class); startactivity(intent); 隐式启动需要添加一个 Intent-filter, 设置 action 属性 Intent intent=new Intent("com.example.android.tst.SecondActivity"); startactivity(intent); 13

14 android:exported 一个 Activity 组件能否被外部应用所启动取决于该属性若 exported 属性设置为 true,activity 能被外部应用启动 ; 若 exported 属性设置为 false,activity 只能被同一个应用程序的组件或带有相同用户 ID 的应用程序才能启动没有配置 Intent-filter 的 action 属性,exported 默认为 false; 反之, exported 默认为 true 为 Activity 设置权限 14

15 实践 :Activity 劫持 HijackActivity 演示关键代码 15

16 实践 : 本地拒绝服务漏洞漏洞说明演示 Activity 组件暴露, 无需权限就可以被其他应用调用没有对传入的参数做异常判断 16

17 Activity 测试查看 activity: 反编译查看 AndroidManifest.xml 中 activity 组件用 RE 打开 app 路径中的配置文件 drozer:run app.activity.info -a packagename 动态查看 :logcat 设置 filter 的 tag 为 ActivityManager 启动 activity: adb shell:am start -a action -n package/componet drozer: run app.activity.start [--action action] [--component package component] 编写 app 调用 startactiviy() 或 startactivityforresult() 浏览器 intent scheme 远程启动 17

18 实践 : 以使用 drozer 挖掘本地拒绝服务漏洞为例 18

19 实践 : 编写本地拒绝服务漏洞验证程序 (POC) checkcrash.apk 19

20 Broadcast 安全 Broadcast Receiver 是广播接收者, 用于处理接受广播通知消息, 并作出相应处理的组件很多广播是来自系统代码, 如通知网络状态改变电池电量低等, 应用程序也可以进行广播应用程序可以拥有任意数量的广播接收器以对所有它感兴趣的通知信息予以响应注册广播静态注册动态注册普通广播 (Normal Broadcast) 有序广播 (Ordered Broadcast) 20

21 Broadcast 测试查找动态广播接收器 : 反编译后检索 registerreceiver() 查找静态广播接收器 : 查看 AndroidManifest.xml 中 receiver 组件查找发送广播, 检索 sendbroadcast 与 sendorderedbroadcast drozer:run app.broadcast.info -a packagename 发送测试广播 adb shell:am broadcast -a action -n package/component es key string_value drozer: run app.broadcast.send --component com.package.name -- action android.action 编写 app 调用 sendbroadcast() 21

22 实践 : 窃听广播数据例子 :BroadcastReceiver & StealBroadcastReceiver 演示 22

23 实践 : 窃听广播数据 BroadcastReceiver StealBroadcastReceiver 23

24 实践 : 利用 Broadcast Receiver 发送短信例子 :OWASP GoatDroid-FourGoats 演示 24

25 实践 : 利用 Broadcast Receiver 发送短信 25

26 Service 安全 Service( 服务 ) 是一个没有用户界面的在后台运行执行耗时操作的应用组件其他应用组件能够启动 Service, 并且当用户切换到另外的应用场景,Service 将持续在后台运行另外, 一个组件能够绑定到一个 service 与之交互 (IPC 机制 ), 例如, 一个 service 可能会处理网络操作, 播放音乐, 操作文件 I/O 或者与内容提供者交互, 所有这些活动都是在后台进行 Started 26 通过 startservice() 启动的服务处于 started 状态, 一旦启动,service 就在后台运行, 即使启动它的应用组件已经被销毁了通常 started 状态的 service 执行单任务并且不返回任何结果给启动者比如当下载或上传一个文件, 当这项操作完成时,service 应该停止它本身 Bound 通过调用 bindservice() 来启动的服务处于 bound 状态, 一个绑定的 service 提供一个允许组件与 service 交互的接口, 可以发送请求获取返回结果, 还可以通过进程间通信来交互 (IPC) 绑定的 service 只有当应用组件绑定后才能运行, 多个组件可以绑定一个 service, 当调用 unbind() 方法时, 这个 service 就会被销毁了

27 Service 测试 Service 只能静态注册, 通过反编译查看配置文件 Androidmanifest.xml 的 service 组件, 注意 exported 属性 drozer:run app.service.info -a packagename 查看 service 类, 关注 oncreate/onstarcommand/onhandleintent 方法检索所有类中 startservice/bindservice 方法及其传递的数据 27

28 Service 劫持攻击原理 : 隐式启动 service, 当存在同名 service, 先安装应用的 service 优先级高 28

29 Content Provider 安全 Content Provider 为存储和获取数据提供统一的接口, 可以在不同的应用程序之间共享数据 Content URI 标志 provider 中的数据,Content URI 中包含了整个 provider 的以符号表示的名字 ( 它的 authority) 和指向一个表的名字 ( 一个 path), 当调用一个客户端的方法来操作一个 provider 中的一个表, 指向表的 content URI 是参数之一. content://com.example.dictionary/words/123 scheme authority path ID 29

30 Content Provider 测试反编译查看 AndroidManifest.xml 的 Content Provider 组件 adb shell: adb shell content query --uri <URI> [--user <USER_ID>] [--projection <PROJECTION>] [--where <WHERE>] [--sort <SORT_ORDER>] adb shell content insert --uri <URI> [--user <USER_ID>] --bind <BINDING> [--bind <BINDING>...] adb shell content update --uri <URI> [--user <USER_ID>] [--where <WHERE>] adb shell content delete --uri <URI> [--user <USER_ID>] --bind <BINDING> [--bind <BINDING>...] [--where <WHERE>] 30

31 Content Provider 测试 drozer 测试 : run app.provider.info -a packagename run app.provider.query [-h] [--projection [columns [columns...]]] [-- selection conditions] [--selection-args [arg [arg...]]] [--order by_column] [--vertical] uri 例子 :run app.provider.query content://com.example.dictionary/words/123 --vertical run app.provider.insert [-h] [--boolean column data] [--double column data [--float column data] [--integer column data] [--long column data] [--short column data] [--string column data] uri run app.provider.update [-h] [--selection conditions] [--selectionargs [arg [arg...]]] [--boolean column data] [--double column data [--float column data] [--integer column data] [--long column data] [--short column data] [--string column data] uri run app.provider.delete [-h] [--selection conditions] [--selectionargs [arg [arg...]]] uri 31

32 实践 : 数据泄露例子 :sieve.apk 演示 32

33 33

34 实践 :SQL 注入例子 :sieve.apk 34

35 35

36 数据存储安全 36

37 外部存储安全 Android SDK 中提供了一种最简单的数据存储方式, 外部存储外部存储是所有存储方式中安全隐患最大的, 外部存储的方式是直接使用 File 类在外部存储设备上读写文件 SD 内存卡 <uses-permission android:name= android.permission.write_external_stora GE /> 37

38 内部存储安全内部存储 (Internal Storage) 是一种开发者可以直接使用设备内部存储器来创建和保存文件, 默认情况下, 以这种方式创建的文件只能被该当前程序访问, 不可被其他程序或用户访问, 当用户卸载该程序的时候, 这些文件也随之被删除 Android SDK 提供了 openfileinput() 与 openfileoutput() 方法来读写程序的私有数据目录 Android 内部存储的访问是通过 Linux 文件访问权限机制控制的风险 : 没有选取正确的创建模式 (MODE_PRIVATE MODE_WORLD_READABLE 以及 MODE_WORLD_WRITEABLE) 进行权限控制 ; 滥用 android:shareduserid 属性 Android 设备被 root 38

39 Shared Preferences 存储安全 Shared Preferences 是一种轻量级的基于 XML 文件存储的键值对 (keyvalue) 数据的数据存储方式, 一般用于储存应用的配置等信息风险 : 没有选取正确的创建模式 (MODE_PRIVATE MODE_WORLD_READABLE 以及 MODE_WORLD_WRITEABLE) 进行权限控制 ; Android 设备被 root 实践 :shared_prefs 敏感信息泄露 39

40 总结组件导出权限控制数据存储 40

41 谢谢! "when we look into the sky" Contact us: 41

中文摘要智慧型手機由於有強大的功能, 以及優渥的便利性, 還能與網路保持隨時的鏈結與同步更新, 因此深受廣大消費者喜愛, 當然, 手機遊戲也成為現代人不可或缺的娛樂之

中文摘要智慧型手機由於有強大的功能, 以及優渥的便利性, 還能與網路保持隨時的鏈結與同步更新, 因此深受廣大消費者喜愛, 當然, 手機遊戲也成為現代人不可或缺的娛樂之臺北市大安高級工業職業學校資訊科一百零一學年度專題製作報告 ------ 以 Android 製作 ------ ----- 連線塔防遊戲 ------ Tower defense game using Internet technology 班級 : 資訊三甲組別 : A9 組組員 : 葉冠麟 (9906129)