文本成果移動APP第三方SD

1、移動APP第&SDK漏洞挖掘?qū)崙?zhàn)360 Vulpecker Team安全研究員關(guān)于我們360 VULPECKER TEAM：360移動安全研究員：360移動安全研究員sniperhg椰子_7C00360威派克團隊（Vulpecker Team）專注在及應(yīng)用安全攻防領(lǐng)域，負責(zé)360集團內(nèi)部移動APP和OS類安全攻防，研發(fā)了自動化安卓應(yīng)用安全審計系統(tǒng)-360顯危鏡，為國內(nèi)主流應(yīng)用市場提供在線安全檢測服務(wù)。截止2018年，團隊累計獲得近百個CVE編號和谷歌、三星、等官方致謝，并多次在國內(nèi)外知名安全會議上研究成果。目錄 關(guān)于我們 第SDK安全現(xiàn)狀 漏洞挖掘?qū)崙?zhàn) 一些思考第SDK安全現(xiàn)狀第SDK

2、安全現(xiàn)狀*目錄 關(guān)于我們 第SDK安全現(xiàn)狀 漏洞挖掘?qū)崙?zhàn) 一些思考ANDROID安全基礎(chǔ)知識1.應(yīng)用沙盒 基于Linux的權(quán)限機制 應(yīng)用安裝后分配UID和GID 使用UID來限制對文件的 使用GID來限制對資源的，理論上應(yīng)用無法其他應(yīng)用的私有文件*，應(yīng)用申請權(quán)限后，其UID被添加到權(quán)限對應(yīng)的用戶組中 權(quán)限與GID:/data/etc/platform.xml 安裝時/運行時申請所需權(quán)限，/用戶進行*ANDROID安全基礎(chǔ)知識2.INTENT Android中常見IPC形式 屬于一種IPC消息對象，用于APP組件間通訊 同進程/跨進程 startActivity()/startService()

3、/bindService()/sendBroadcast() 使用Action或ComponetName等指定目標(biāo)組件 可以攜帶額外數(shù)據(jù)（Extras）ANDROID安全基礎(chǔ)知識3.組件安全 Android APP的基本組成部分-Activity-Broadcast Receiver-Content Provider-Service AndroidManifest.xml文件中ActivityReceiver 組件可為對外導(dǎo)出/應(yīng)用私有ProviderService 可使用權(quán)限對其保護ANDROID安全基礎(chǔ)知識3.組件安全 導(dǎo)出組件 導(dǎo)出的組件可被任意應(yīng)用 android:exported=t

4、rue BroadcastManger.registerReceiver() 帶有<intent-filter>的組件，未設(shè)置android:export=false情況下，默認導(dǎo)出<receiver android:name="com.<intent-filter>.android.pushservice.PushServiceReceiver” android:process=":xxservice_v1"><action android:name="ent.action.BOOT_CO

5、MPLETED" /><action android:name=".conn.CONNECTIVITY_CHANGE" /><!- -></intent-filter></receiver> 私有組件 私有組件多包含應(yīng)用敏感功能，并且對輸入數(shù)據(jù)校驗較少 越權(quán)其他應(yīng)用私有組件(應(yīng)用沙盒逃逸)嚴重安全隱患第SDK漏洞挖掘的風(fēng)險 以jar包/so庫形式集成到應(yīng)用中，封裝了豐富的功能 對開發(fā)者而言，屬于黑盒，無法審計其安全性 使用廣泛，SDK中漏洞影響范圍同樣廣泛 在應(yīng)用中集成SDK提供的組件、添加特定權(quán)限等 SDK安

6、全性無法保證Activity+ SDK中提供ActivityReceiver+ SDK中提供Receiver 應(yīng)用被引入面Provider+ SDK中提供ProviderService+ SDK中提供Service第SDK漏洞挖掘的風(fēng)險 利用SDK中的漏洞，應(yīng)用甚至無需任何權(quán)限應(yīng)用私有組件 繞過沙盒限制， 推送 誘導(dǎo) 獲取通知消息驗證碼用戶隱私數(shù)據(jù) 任意代碼執(zhí)行 PUSH SDK推送SDK - A-官方文檔中引導(dǎo)開發(fā)者添加一個導(dǎo)出的Receiver導(dǎo)出的Receiver具體功能由開發(fā)者實現(xiàn)“指導(dǎo)”開發(fā)者留下<receiver android:name="您<intent-

7、filter>定義的Receiver" android:enabled="true"><action<action<action<action<actionandroid:name="cn.android:name="cn. android:name="cn. android:name="cn. android:name="ent.REGISTRATION" />ent.MESSAGE_RECEI

8、VED" /> ent.NOTIFICATION_RECEIVED" /> ent.NOTIFICATION_OPENED" /> ent.CONNECTION" /><category android:name="您應(yīng)用的</intent-filter></receiver>" />PUSH SDK推送SDK - A-某市地鐵官方APP集成推送SDK - A導(dǎo)出ReceiverxxCusto

9、merReceiverxxCustomerReceiver中POCIntent傳入數(shù)據(jù)，app內(nèi)打開指定urlPUSH SDK推送SDK - A-某市地鐵官方APP頁面PUSH SDK推送SDK - B-指導(dǎo)用戶添加導(dǎo)出的Receiver導(dǎo)出的Receiver繼承自com.android.xxBaseReceiver<receiver android:name="com.android:exported="true" ><intent-filter><action android:name="com.<action a

10、ndroid:name="com.</intent-filter></receiver>demo.receiver.MessageReceiver"xx.android.xx.android.xx.action.PUSH_MESSAGE"xx.action.FEEDBACK" />/>PUSH SDK推送SDK - B-com.xx.android.xx.BaseReceiver中處理push消息下發(fā)的消息經(jīng)RSA加密， App本地進行.，后展示給用戶SDK中一個加密，者可調(diào)用該加密，對的消息進行加密PUSH SDK推

11、送SDK - BPUSH SDK推送SDK - B-XX管家集成了推送SDK - B，添加了導(dǎo)出的Receiver者通過調(diào)用SDK中的加密利用導(dǎo)出的Receiver彈出POC，構(gòu)造推送消息通知PUSH SDK影響范圍類SDKSDK - A-SDK中導(dǎo)出的Activity，XxSharexActivity將輸入字符串作為組件名稱，校驗直接啟動指定的組件應(yīng)用可繞過應(yīng)用沙箱限制，越權(quán)任意私有Activity類SDKSDK - AXxShare-xActivity中接收Intent傳入字符串校驗情況下，將傳入字符串作為ActivityName進行保存在當(dāng)前應(yīng)用Context中調(diào)用startActivi

12、ty啟動ActivityName指定Activity類SDK利用1 通用拒絕服務(wù)-Activity啟動時需要傳遞參數(shù)/進行一些初始化操作/.利用SDK漏洞強制調(diào)用未導(dǎo)出Activity 異常處理不當(dāng)，觸發(fā)應(yīng)用編寫測試工具，對大量應(yīng)用進行批量測試集成了該SDK的應(yīng)用中，90%+該問題類SDK利用1 通用拒絕服務(wù)類SDK利用1 通用拒絕服務(wù)-集成了該SDK的應(yīng)用中，90%+該問題國內(nèi)大量知名廠商應(yīng)用，均受此漏洞影響類SDK利用2 應(yīng)用鎖繞過-應(yīng)用中保存了用戶隱私數(shù)據(jù)，進入應(yīng)用時需要輸入正確常見于金融類、IM類應(yīng)用中利用該SDK漏洞，越權(quán)包含重置、設(shè)置等敏感功能組件應(yīng)用中高權(quán)限組件鑒權(quán)不嚴格，導(dǎo)致測試發(fā)現(xiàn)，許多知名廠商的app均鎖被繞過/重置等該問題，例如類SDK利用2 應(yīng)用鎖繞過類SDK利用3 - 越權(quán)開啟調(diào)試模式-為便于線上定位bug，許多應(yīng)用release版中調(diào)試代碼應(yīng)用Log開關(guān)、自定義線上服務(wù)器地址、導(dǎo)出用戶數(shù)據(jù)等敏感功能調(diào)試功能在UI上沒有直觀，普通用戶無法輕易接觸到如調(diào)試模塊涉及敏感操作，本質(zhì)上如同一個后門利用該SDK漏洞，遍歷應(yīng)用導(dǎo)出組件，發(fā)現(xiàn)隱藏的調(diào)試功能類SDK利用3 - 越權(quán)開啟調(diào)試模式-某企業(yè)級IM應(yīng)用中，發(fā)現(xiàn)多個包含調(diào)試功能的未導(dǎo)出組件逆向分析確定，UI上隱藏的進入調(diào)試: (保護，越權(quán)開啟調(diào)試功能但通過UI啟動調(diào)試組件，需要輸入鑒權(quán)不嚴格，利用該SDK漏洞，