Android本地拒绝服务漏洞浅析

在对某个项目进行app应用安全评估时，被告知"应用申明了多个可导出的Activity，可导致拒绝服务攻击"，那到底什么是可导出的activity，拒绝服务攻击又是什么意思呢？

以下内容为转载，原文地址http://sec.chinabyte.com/243/13293743.shtml

1.本地拒绝服务漏洞描述

    Android系统提供了Activity、Service和Broadcast Receiver等组件，并提供了Intent机制来协助应用间的交互与通讯，Intent负责对应用中一次操作的动作、动作涉及数据、附加数据进行描述，Android系统则根据此Intent的描述，负责找到对应的组件，将Intent传递给调用的组件，并完成组件的调用[1]。Android应用本地拒绝服务漏洞源于程序没有对Intent.getXXXExtra()获取的异常或者畸形数据处理时没有进行异常捕获，从而导致攻击者可通过向受害者应用发送此类空数据、异常或者畸形数据来达到使该应用crash的目的，简单的说就是攻击者通过intent发送空数据、异常或畸形数据给受害者应用，导致其崩溃。

　　近期，两位0xr0ot和Xbalien安全研究人员发现了一处通用的本地拒绝服务漏洞。该通用型本地拒绝服务可以造成大面积的app拒绝服务[2]。通用型本地拒绝服务漏洞，主要源于攻击者向Intent中传入其自定义的序列化类对象，当调用组件收到此Extra序列化类对象时，无法找到此序列化类对象的类定义，因此发生类未定义的异常而导致应用崩溃。

　　本地拒绝服务漏洞不仅可以导致安全防护等应用的防护功能被绕过或失效(如杀毒应用、安全卫士、防盗锁屏等)，而且也可被竞争方应用利用来攻击，使得自己的应用崩溃，造成不同程度的经济利益损失。

2. 本地拒绝服务漏洞影响范围

　　Android系统所有版本

3. 本地拒绝服务漏洞详情

　　1) 漏洞位置:

　　处理getIntent()的intent附带的数据

　　2) 漏洞触发前提条件：

　　getIntent()的intent附带空数据、异常或畸形数据;

　　处理getXXXExtra()获取的数据时没有进行异常捕获;

　　3) 漏洞原理：

　　Android系统中提供了Intent机制来协助应用间的交互与通讯，其负责对应用中一次操作的动作、动作涉及数据、附加数据进行描述，系统则根据此Intent的描述，负责找到对应的组件，将Intent传递给调用的组件，并完成组件的调用。调用的组件在处理Intent附加数据的时候，没有进行异常捕获，因此当处理空数据、异常或者畸形数据时，导致应用崩溃。

4. 本地拒绝服务漏洞POC

5. 本地拒绝服务漏洞修复建议

　　1) 将不必要的导出的组件设置为不导出

　　出于安全考虑，阿里聚安全应将不必要的组件导出，防止引起拒绝服务，尤其是杀毒、安全防护、锁屏防盗等安全应用; 在AndroidMenifest.xml文件中，将相应组件的“android:exported”属性设置为“false”,如下示例：android:exported="false">

　　2) intent处理数据时进行捕获异常

　　建议处理通过Intent.getXXXExtra()获取的数据时进行以下判断，以及用try catch方式进行捕获所有异常，以防止应用出现拒绝服务漏洞：

　　1) 空指针异常;

　　2) 类型转换异常;

　　3) 数组越界访问异常;

　　4) 类未定义异常;

　　5) 其他异常;