搜索

[27876] 2021-07-19_揭秘潜藏在你手机里的“钉子户”

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2021-07-19_揭秘潜藏在你手机里的“钉子户” 揭 秘 潜 藏 在 你 手 机 里 的 “ 钉 子 户 ” 原 创   O P P O 智 能 护 盾   O P P O 安 全 应 急 响 应 中 心   2 0 2 1 - 0 7 - 1 9 收 录 于 话 题 # 手 机   , 1 # a n d r o i d   , 2 # O S R C   , 9 背 景 背 景 O P P O 智 能 护 盾 ： 全 方 位 、 智 能 、 实 时 的 A P P 安 全 与 隐 私 检 测 平 台 ， 助 力 软 件 商 店 ， 保 障 用 户 的 A P P 下 载 安 全 与 使 用 安 全 。 近 日 ， 智 能 护 盾 团 队 在 做 恶 意 样 本 分 析 的 时 候 ， 发 现 一 个 特 点 ， 只 要 是 恶 意 应 用 ， 无 论 什 么 种 类 ， 工 具 也 好 ， 社 交 也 罢 ， 甚 至 是 一 个 功 能 很 不 起 眼 的 应 用 ， 大 多 都 存 在 保 活 的 功 能 。 这 个 发 现 引 起 了 安 全 团 队 的 高 度 重 视 ， 我 们 对 这 些 恶 意 保 活 应 用 做 了 深 入 分 析 和 总 结 ， 将 其 披 露 出 来 ， 一 方 面 希 望 引 起 用 户 的 重 视 ， 注 意 防 范 这 类 恶 意 应 用 ， 另 一 方 面 也 希 望 能 够 为 大 家 带 来 恶 意 应 用 治 理 的 新 思 路 ， 共 同 打 造 绿 色 安 全 的 应 用 生 态 。 什 么 是 保 活 ？ 什 么 是 保 活 ？ 说 到 保 活 ， 首 先 简 单 介 绍 一 下 ， 什 么 是 保 活 ？ 从 两 个 场 景 白 话 一 点 来 说 ， 第 一 个 场 景 ， 就 是 用 户 使 用 应 用 后 退 出 应 用 ， 但 是 退 出 后 ， 应 用 利 用 某 些 手 段 又 重 生 了 。 第 二 个 场 景 ， 系 统 资 源 不 足 ， 触 发 清 理 进 程 ， 应 用 利 用 某 些 手 段 ， 免 于 被 系 统 清 理 掉 。 以 上 两 个 场 景 中 应 用 所 运 用 的 手 段 ， 就 是 保 活 。 并 且 ， 从 上 述 两 个 场 景 不 难 看 出 ， 拥 有 保 活 功 能 的 应 用 ， 不 会 那 么 容 易 被 杀 掉 。 保 活 有 哪 些 作 用 ？ 保 活 有 哪 些 作 用 ？ 保 活 的 作 用 很 多 ， 例 如 即 时 通 讯 类 应 用 为 了 更 及 时 的 为 用 户 收 发 消 息 ， 会 做 保 活 ； 运 动 类 应 用 为 了 可 以 实 时 的 监 控 用 户 运 动 状 态 与 轨 迹 ， 也 会 做 一 些 保 活 ； 一 些 应 用 为 了 避 免 冷 启 动 ， 给 用 户 更 好 的 体 验 ， 还 是 会 做 保 活 ； 由 此 看 来 ， 并 不 是 只 有 恶 意 应 用 才 会 做 保 活 ， 很 多 正 常 的 应 用 也 会 做 保 活 。 保 活 有 哪 些 危 害 ？ 保 活 有 哪 些 危 害 ？ 一 个 应 用 长 时 间 在 后 台 存 活 会 有 哪 些 危 害 呢 ？ 首 先 显 而 易 见 的 就 是 ， 增 加 系 统 资 源 的 消 耗 ， 就 会 增 加 耗 电 ， 或 者 造 成 手 机 发 热 ， 给 手 机 硬 件 造 成 伤 害 。 例 如 ， 用 户 锁 屏 手 机 后 ， 大 多 数 情 况 是 不 需 要 使 用 手 机 了 ， 但 是 ， 有 些 应 用 会 接 受 系 统 锁 屏 的 广 播 ， 在 监 听 到 系 统 锁 屏 后 ， 弹 出 一 个 用 户 无 法 感 知 的 透 明 界 面 ， 提 高 自 己 进 程 的 优 先 级 ， 让 系 统 误 认 为 应 用 在 前 台 ， 从 而 逃 逸 了 系 统 的 清 理 ， 也 就 导 致 了 系 统 资 源 的 浪 费 。 其 次 ， 会 影 响 应 用 生 态 公 平 ， 从 而 影 响 用 户 体 验 ， 设 想 一 个 场 景 : 系 统 资 源 都 被 在 后 台 保 活 的 应 用 占 了 ， 而 真 正 对 用 户 有 用 的 应 用 ， 由 于 没 有 做 保 活 ， 就 更 容 易 被 系 统 杀 掉 。 结 果 就 导 致 “ 卷 起 来 了 ！ ” ， 越 来 越 多 的 应 用 都 开 始 做 保 活 ， 无 论 对 自 己 有 没 有 用 。 除 此 之 外 ， 部 分 应 用 会 使 用 比 较 流 氓 的 保 活 手 段 ， 比 如 说 应 用 会 在 退 到 后 台 后 ， 播 放 无 声 音 频 ， 这 里 如 果 处 理 不 当 ， 就 很 容 易 中 断 用 户 正 在 播 放 的 其 它 音 频 ， 给 用 户 造 成 不 好 的 影 响 。 为 了 提 高 O P P O 手 机 的 安 全 性 以 及 用 户 体 验 ， 智 能 护 盾 团 队 利 用 “ A P P 沙 箱 深 度 养 殖 ” ， “ 智 能 行 为 分 析 ” 等 技 术 手 段 ， 对 送 审 应 用 进 行 了 深 度 的 排 查 ， 并 发 现 数 十 款 恶 意 保 活 类 应 用 ， 勒 令 其 整 改 ， 保 护 了 用 户 手 机 的 安 全 。 我 们 发 现 ， 使 用 恶 意 保 活 的 应 用 在 清 理 类 型 中 比 较 常 见 ， 下 面 列 举 了 其 中 一 部 分 比 较 典 型 的 应 用 。
恶 意 应 用 使 用 保 活 做 什 么 恶 意 应 用 使 用 保 活 做 什 么 保 活 对 恶 意 应 用 是 一 个 很 普 遍 的 需 求 ， 核 心 目 的 就 是 为 了 提 高 自 己 的 收 益 ， 例 如 以 下 场 景 。 部 分 恶 意 应 用 会 对 用 户 手 机 通 过 短 信 订 阅 功 能 进 行 恶 意 扣 费 ， 这 套 流 程 是 在 后 台 完 成 的 ， 用 户 无 法 感 知 。 通 常 ， 应 用 进 入 后 台 后 ， 会 比 较 容 易 被 杀 掉 ， 这 就 导 致 了 订 阅 的 一 整 套 流 程 没 办 法 走 完 ， 订 阅 成 功 率 比 较 低 。 但 是 做 了 保 活 后 ， 订 阅 流 程 就 更 加 容 易 走 完 ， 提 高 了 订 阅 的 成 功 率 ， 也 就 提 高 了 恶 意 应 用 的 收 益 。 再 谈 谈 3 1 5 提 到 的 恶 意 应 用 外 广 告 问 题 ， 应 用 外 广 告 核 心 实 现 就 是 在 后 台 监 控 系 统 广 播 ， 或 者 监 控 应 用 切 换 。 保 活 功 能 可 以 使 应 用 长 期 在 后 台 存 活 ， 从 而 得 到 自 己 想 要 展 示 广 告 的 时 机 ， 增 加 广 告 展 示 次 数 ， 提 高 恶 意 应 用 的 收 益 。 部 分 恶 意 应 用 会 在 后 台 悄 悄 采 集 上 传 用 户 隐 私 数 据 ， 如 果 应 用 比 较 容 易 被 杀 掉 ， 那 么 就 不 容 易 获 取 到 某 些 隐 私 数 据 。 有 了 保 活 ， 应 用 可 以 长 期 存 活 在 后 台 ， 提 高 恶 意 开 发 者 获 取 到 隐 私 数 据 的 概 率 。 比 如 监 听 到 用 户 在 输 入 证 件 号 码 ， 手 机 号 码 ， 就 可 以 随 时 采 集 上 传 。 背 景 恶 意 应 用 使 用 的 保 活 方 案 背 景 恶 意 应 用 使 用 的 保 活 方 案
保 活 原 理 保 活 原 理 我 们 先 来 看 看 o o m _ a d j （ A d j u s t   L i n u x   o u t - o f - m e m o r y   k i l l e r ） ， 从 命 名 来 看 可 以 知 道 他 的 是 适 配 l i n u x 的 内 存 不 足 保 护 机 制 ， 由 于 安 卓 系 统 也 是 基 于 l i n u x ， 因 此 我 们 只 需 要 提 高 o o m _ a d j 的 等 级 ， 就 能 降 低 被 系 统 杀 死 的 可 能 性 。 以 下 为 安 卓 官 方 代 码 注 释 ， 相 关 代 码 位 于   “ f r a m e w o r k s / b a s e / s e r v i c e s / c o r e / j a v a / c o m / a n d r o i d / s e r v e r / a m / P r o c e s s L i s t . j a v a ”   。 o o m _ s c o r e _ a d j   转 换 为   o o m _ a d j   ， 代 码 位 于 “ e x t e r n a l / l i b c h r o m e / b a s e / p r o c e s s / m e m o r y _ l i n u x . c c ”   。 o o m _ a d j 源 码 中 命 名 源 码 中 命 名 o o m _ s c o r e _ a d j 翻 翻 译 译 说 明 说 明 0 F O R E G R O U N D _ A P P 0 前 台 进 程 这 是 运 行 当 前 前 台 应 用 程 序 的 进 程 ， 永 远 不 会 被 杀 。 比 如 正 在 交 互 的 A c t i v i t y 属 于 前 台 进 程 。 1 V I S I B L E _ A P P 1 0 0 可 见 进 程 对 用 户 可 见 ， 比 如 动 态 壁 纸 服 务 就 属 于 可 见 进 程 。 3 P E R C E P T I B L E _ A P P 2 0 0 可 感 知 进 程 这 是 一 个 仅 托 管 用 户 可 感 知 的 组 件 的 过 程 ， 我 们 真 的 希 望 避 免 杀 死 它 们 不 立 即 可 见 ， 比 如 后 台 播 放 音 乐 。 7 S E R V I C E 5 0 0 服 务 进 程 这 是 一 个 持 有 应 用 程 序 服 务 的 进 程 — 就 用 户 而 言 ， 杀 死 它 不 会 有 太 大 影 响 。 1 3 - 1 5 C A C H E D _ A P P 9 0 0 - 9 9 9 空 进 程 空 进 程 是 当 前 不 需 要 的 进 程 ， 因 此 当 其 他 地 方 需 要 内 存 时 ， 系 统 可 以 根 据 需 要 自 由 地 终 止 进 程 。 由 上 面 的 总 结 可 以 看 出 进 程 优 先 级 ： 前 台 进 程   >   可 见 进 程   >   可 感 知 的 进 程   >   服 务 进 程   >   空 进 程 。 前 三 类 不 容 易 杀 死 ， 但 是 每 个 厂 家 都 有 自 定 义 的 策 略 ， 在 不 同 的 手 机 上 有 些 许 差 距 。 下 面 ， 我 们 为 大 家 介 绍 几 个 恶 意 开 发 者 使 用 频 率 比 较 高 的 保 活 方 案 。 下 面 ， 我 们 为 大 家 介 绍 几 个 恶 意 开 发 者 使 用 频 率 比 较 高 的 保 活 方 案 。 / /   T h i s   i s   t h e   p r o c e s s   r u n n i n g   t h e   c u r r e n t   f o r e g r o u n d   a p p .     W e ' d   r e a l l y   / /   r a t h e r   n o t   k i l l   i t !       / / 前 台 进 程 ： 这 是 运 行 当 前 前 台 应 用 程 序 的 进 程 ， 永 远 不 会 被 杀   s t a t i c   f i n a l   i n t   F O R E G R O U N D _ A P P _ A D J   =   0 ;   / /   T h i s   i s   a   p r o c e s s   o n l y   h o s t i n g   a c t i v i t i e s   t h a t   a r e   v i s i b l e   t o   t h e   / /   u s e r ,   s o   w e ' d   p r e f e r   t h e y   d o n ' t   d i s a p p e a r .     / / 可 见 进 程 ： 对 用 户 可 见   s t a t i c   f i n a l   i n t   V I S I B L E _ A P P _ A D J   =   1 0 0 ;   / /   T h i s   i s   a   p r o c e s s   o n l y   h o s t i n g   c o m p o n e n t s   t h a t   a r e   p e r c e p t i b l e   t o   t h e   / /   u s e r ,   a n d   w e   r e a l l y   w a n t   t o   a v o i d   k i l l i n g   t h e m ,   b u t   t h e y   a r e   n o t   / /   i m m e d i a t e l y   v i s i b l e .   A n   e x a m p l e   i s   b a c k g r o u n d   m u s i c   p l a y b a c k .       / /   可 感 知 进 程 ： 这 是 一 个 仅 托 管 用 户 可 感 知 的 组 件 的 过 程 ， 我 们 真 的 希 望 避 免 杀 死 它 们 不 立 即 可 见 ， 比 如 后 台 播 放 音 乐 。 s t a t i c   f i n a l   i n t   P E R C E P T I B L E _ A P P _ A D J   =   2 0 0 ;   / /   T h i s   i s   a   p r o c e s s   h o l d i n g   a n   a p p l i c a t i o n   s e r v i c e   - -   k i l l i n g   i t   w i l l   n o t   / /   h a v e   m u c h   o f   a n   i m p a c t   a s   f a r   a s   t h e   u s e r   i s   c o n c e r n e d .     / / 服 务 进 程 ： 这 是 一 个 持 有 应 用 程 序 服 务 的 进 程 — 就 用 户 而 言 ， 杀 死 它 不 会 有 太 大 影 响 。 s t a t i c   f i n a l   i n t   S E R V I C E _ A D J   =   5 0 0 ;   / /   T h i s   i s   a   p r o c e s s   o n l y   h o s t i n g   a c t i v i t i e s   t h a t   a r e   n o t   v i s i b l e ,   / /   s o   i t   c a n   b e   k i l l e d   w i t h o u t   a n y   d i s r u p t i o n .   空 进 程   s t a t i c   f i n a l   i n t   C A C H E D _ A P P _ M A X _ A D J   =   9 9 9 ;   s t a t i c   f i n a l   i n t   C A C H E D _ A P P _ M I N _ A D J   =   9 0 0 ; c o n s t   i n t   k M a x O l d O o m S c o r e   =   1 5 ;   c o n s t   i n t   k M a x O o m S c o r e   =   1 0 0 0 ;   i n t   c o n v e r t e d _ s c o r e   =   s c o r e   *   k M a x O l d O o m S c o r e   /   k M a x O o m S c o r e ;
没 有 通 知 的 前 台 服 务 实 现 保 活 没 有 通 知 的 前 台 服 务 实 现 保 活 ( 1 ) 双 前 台 服 务 保 活 双 前 台 服 务 保 活 创 建 两 个 前 台 服 务 ， 使 用 同 一 个 通 知 i d ， 第 二 个 前 台 服 务 结 束 自 身 ， 通 知 被 移 除 ， 但 第 一 个 前 台 服 务 仍 然 存 活 ， 因 此 创 建 了 一 个 没 有 通 知 的 前 台 服 务 。 ( 2 ) C V E - 2 0 2 1 - 0 5 1 3 ： 启 动 前 台 服 务 后 ， 主 动 删 除 通 知 ： 启 动 前 台 服 务 后 ， 主 动 删 除 通 知 c h a n n e l 这 是 G o o g l e 在 本 月 （ 2 0 2 1 年 6 月 ） 修 复 的 漏 洞 ， 恶 意 应 用 也 可 以 在 启 动 前 台 服 务 后 ， 主 动 删 除 所 使 用 的 通 知 c h a n n e l ， 但 是 删 除 通 知 c h a n n e l 后 ， 前 台 服 务 继 续 存 活 。 G o o g l e 的 修 复 是 添 加 了 对 N o t i f i c a t i o n M a n a g e r . d e l e t e N o t i f i c a t i o n C h a n n e l 的 调 用 方 的 检 查 ， 检 查 调 用 方 是 否 仍 持 有 与 通 知 c h a n n e l 关 联 的 前 台 服 务 ， 若 是 ， 则 不 允 许 删 除 。 后 台 循 环 播 放 音 频 实 现 保 活 后 台 循 环 播 放 音 频 实 现 保 活 系 统 正 在 使 用 当 前 进 程 托 管 的 音 频 服 务 ， 实 现 播 放 音 频 功 能 ， 被 系 统 认 为 是 " 可 感 知 进 程 " 使 其 不 会 被 轻 易 杀 死 。 流 程 图 流 程 图 代 码 实 现 代 码 实 现 p u b l i c   s t a t i c   c l a s s   A s s i s t a n t S e r v i c e   e x t e n d s   S e r v i c e   {         @ O v e r r i d e         p u b l i c   v o i d   o n C r e a t e ( )   {                 s u p e r . o n C r e a t e ( ) ;                 s t a r t F o r e g r o u n d ( N O T I F I C A T I O N _ I D ,   f a d e N o t i f i c a t i o n ( t h i s ) ) ;                 s t o p S e l f ( ) ;         } c r e a t e N o t i f i c a t i o n C h a n n e l ( ) ; I n t e n t   n o t i f i c a t i o n I n t e n t   =   n e w   I n t e n t ( t h i s ,   M a i n A c t i v i t y . c l a s s ) ; P e n d i n g I n t e n t   p e n d i n g I n t e n t   =   P e n d i n g I n t e n t . g e t A c t i v i t y ( t h i s ,                 0 ,   n o t i f i c a t i o n I n t e n t ,   0 ) ;   s t a r t F o r e g r o u n d ( 1 ,   f a d e N o t i f i c a t i o n ( t h i s ) ) ;   n e w   H a n d l e r ( ) . p o s t D e l a y e d ( n e w   R u n n a b l e ( )   {                 @ O v e r r i d e                 p u b l i c   v o i d   r u n ( )   {                         g e t S y s t e m S e r v i c e ( N o t i f i c a t i o n M a n a g e r . c l a s s ) . d e l e t e N o t i f i c a t i o n C h a n n e l ( C H A N N E L _ I D ) ;   / /   延 时 一 秒 ， 利 用 C V E - 2 0 2 1 - 0 5 1 3                 } } ,   1 0 0 0 ) ; p u b l i c   f i n a l   v o i d   s t a r t P l a y ( )   {                 M e d i a P l a y e r   m e d i a P l a y e r   =   t h i s . m M e d i a P l a y e r ;                 M e d i a P l a y e r   v 0 _ 1   =   n e w   M e d i a P l a y e r ( ) ;                 t h i s . m M e d i a P l a y e r   =   v 0 _ 1 ;                 v 0 _ 1 . s e t O n E r r o r L i s t e n e r ( n e w   c y 3 2 h . a ( t h i s ) ) ;                 t h i s . m M e d i a P l a y e r . s e t W a k e M o d e ( t h i s . g e t A p p l i c a t i o n C o n t e x t ( ) ,   1 ) ;     / /   P A R T I A L _ W A K E _ L O C K                 t h i s . m M e d i a P l a y e r . s e t O n C o m p l e t i o n L i s t e n e r ( n e w   c y 3 2 h . b ( t h i s ) ) ;     / /   设 置 循 环 播 放                 A s s e t M a n a g e r   v 0 _ 2   =   t h i s . g e t A p p l i c a t i o n C o n t e x t ( ) . g e t A s s e t s ( ) ;                 t r y   {                           A s s e t F i l e D e s c r i p t o r   v 0 _ 4   =   v 0 _ 2 . o p e n F d ( " a n d r o i d . p n g " ) ;     / /   将 无 声 音 频 加 密 为 a n d r o i d . p n g                         t h i s . m M e d i a P l a y e r . s e t D a t a S o u r c e ( v 0 _ 4 . g e t F i l e D e s c r i p t o r ( ) ,   v 0 _ 4 . g e t S t a r t O f f s e t ( ) ,   v 0 _ 4 . g e t L e n g t h ( ) ) ;                         t h i s . m M e d i a P l a y e r . s e t V o l u m e ( 1 f ,   1 f ) ;     / /   设 置 音 量 为 1 %                         i f ( ( R o m U t i l . i s H u a W e i ( ) )   & &   B u i l d . V E R S I O N . S D K _ I N T   > =   2 1 )   {                                 t h i s . m M e d i a P l a y e r . s e t A u d i o A t t r i b u t e s (
代 理 壁 纸 代 理 壁 纸 s e r v i c e 实 现 保 活 实 现 保 活 系 统 正 在 使 用 当 前 进 程 托 管 的 壁 纸 服 务 ， 实 现 用 户 知 晓 的 壁 纸 功 能 ， 被 系 统 认 为 是 " 可 见 进 程 " 使 其 不 会 被 轻 易 杀 死 . 流 程 图 流 程 图 代 码 实 现 代 码 实 现                                         n e w   A u d i o A t t r i b u t e s . B u i l d e r ( ) . s e t U s a g e ( 1 1 ) . b u i l d ( ) ) ;     / /   U S A G E _ A S S I S T A N C E _ A C C E S S I B I L I T Y                         }                         t h i s . m M e d i a P l a y e r . p r e p a r e ( ) ;                         t h i s . m M e d i a P l a y e r . s t a r t ( ) ;                         o k h t t p e x . l o g d ( t h i s . g e t C l a s s ( ) . g e t S i m p l e N a m e ( )   +   "   s t a r t P l a y   s u c c e s s " ) ;                 }                 c a t c h ( I O E x c e p t i o n   v 0 _ 3 )   {                         o k h t t p e x . a ( M u s i c L i v e . c l a s s . g e t S i m p l e N a m e ( )   +   "   e r r o r " ,   v 0 _ 3 ) ;                 }         } @ O v e r r i d e     p u b l i c   v o i d   o n R e s u m e ( )   {         i f ( A p p C o n f i g . g e t I n s t a n c e ( ) . i s A l l U s e r W a l l P a g e r ( ) )   {                 v 0   =   H v . a ( A d M m k v U t i l . g e t L o n g ( " F I R S T _ S E T _ W A L L P A P E R _ T I M E " ,   0 L ) ,   S y s t e m . c u r r e n t T i m e M i l l i s ( ) )   ^   1 ;         }         e l s e   {                 v 0   =   E w . a ( " F I R S T _ S E T _ W A L L P A P E R " ,   t r u e )   ?   1   :   0 ;         }         i f ( ( P e r m i s s i o n U t i l . c h e c k P e r m i s s i o n (                 t h i s ,   " a n d r o i d . p e r m i s s i o n . W R I T E _ E X T E R N A L _ S T O R A G E " , t h i s . g e t P a c k a g e N a m e ( ) ) )                         & &   ! G e a . c ( t h i s )   & &   ( A p p C o n f i g H e l p e r . i s O p e n W a l l P a p e r ( ) )   & &   v 0   ! =   0 )   {                 A d M m k v U t i l . s a v e L o n g ( " F I R S T _ S E T _ W A L L P A P E R _ T I M E " ,   S y s t e m . c u r r e n t T i m e M i l l i s ( ) ) ;                 E w . b ( " F I R S T _ S E T _ W A L L P A P E R " ,   f a l s e ) ;                 G e a . c ( t h i s ) ;                 N i u D a t a H e l p e r . o n P a g e S t a r t ( " w a l l p a p e r _ p r o t e c t _ s h o w " ,   " 壁 纸 保 活 页 " ) ;                 N i u P l u s B u r i e d P o i n t U t i l s . t r a c k P a g e S t a r t ( " w a l l p a p e r _ p r o t e c t _ p a g e " ) ;                 N i u P l u s B u r i e d P o i n t U t i l s . t r a c k S h o w ( " w a l l p a p e r _ p r o t e c t _ s h o w " ,   " 壁 纸 保 活 页 " ,   " w a l l p a p e r _ p r o t e c t _ p a g e " ) ;                 r e t u r n ;         }         S t a t i s t i c E v e n t   v 0 _ 1   =   n e w   S t a t i s t i c E v e n t ( ) ;         v 0 _ 1 . e v e n t _ c o d e   =   " w a l l p a p e r _ p r o t e c t _ s h o w " ;         v 0 _ 1 . e v e n t _ n a m e   =   " 壁 纸 保 活 页 " ;         v 0 _ 1 . c u r r e n t _ p a g e _ i d   =   " w a l l p a p e r _ p r o t e c t _ p a g e " ;         N i u D a t a H e l p e r . o n P a g e E n d ( v 0 _ 1 . e v e n t _ c o d e ,   v 0 _ 1 . e v e n t _ n a m e ,   n e w   G s o n ( ) . t o J s o n ( v 0 _ 1 ) ) ;         N i u P l u s B u r i e d P o i n t U t i l s . t r a c k P a g e E n d ( " 壁 纸 保 活 页 访 问 时 长 " ,   " w a l l p a p e r _ p r o t e c t _ p a g e " ) ;         i f ( G e a . c ( t h i s ) )   {                 N i u P l u s B u r i e d P o i n t U t i l s . t r a c k C l i c k ( " w a l l p a p e r _ p r o t e c t _ c l i c k " ,   " 壁 纸 保 活 页 按 钮 点 击 " ,   " w a l l p a p e r _ p r o t e c t _ p a g e " ,   " s e t t i n g " ) ;                 N i u D a t a H e l p e r . t r a c k B u t t o n C l i c k ( " w a l l p a p e r _ p r o t e c t _ c l i c k " ,   " 壁 纸 保 活 页 按 钮 点 击 " ,   " w a l l p a p e r _ p r o t e c t _ p a g e " ,   " s e t t i n g " ) ;         }         t h i s . g o T o M a i n A c t i v i t y ( ) ;
案 例 图 案 例 图 账 号 同 步 机 制 实 现 保 活 账 号 同 步 机 制 实 现 保 活 系 统 在 同 步 账 号 数 据 时 会 将 应 用 拉 活 ， 通 过 这 一 点 ， 设 置 一 个 三 方 账 号 并 设 置 自 动 同 步 就 可 以 循 环 拉 活 应 用 。 代 码 实 现 代 码 实 现 案 例 图 案 例 图 该 应 用 设 置 了 3 个 账 号 ， 增 加 拉 活 机 率 ， 并 且 同 步 列 表 没 有 任 何 数 据 需 要 同 步 。         t h i s . g o T o M a i n A c t i v i t y ( ) ; } / / 自 动 同 步 相 关 配 置   C o n t e n t R e s o l v e r . s e t I s S y n c a b l e ( v 1 2 ,   v 2 ,   1 ) ;   / / 打 开 同 步 服 务   C o n t e n t R e s o l v e r . s e t S y n c A u t o m a t i c a l l y ( v 1 2 ,   v 2 ,   t r u e ) ; / / 设 置 自 动 同 步   C o n t e n t R e s o l v e r . s e t M a s t e r S y n c A u t o m a t i c a l l y ( t r u e ) ;     A c c o u n t N e w S y n c . g e t I n s t a n c e ( ) . i n i t ( a r g 1 1 ,   v 1 2 ,   v 2 ) ;
5 m s 空 挡 拉 活 进 程 空 挡 拉 活 进 程 进 程 间 利 用 L i n u x 的 f l o c k 文 件 锁 来 监 测 对 方 是 否 已 经 死 亡 ， 利 用 系 统 查 杀 的 空 挡 ， 反 射 系 统 A P I 进 行 拉 活 ， 导 致 最 终 应 用 进 程 无 法 被 杀 死 。 示 意 图 示 意 图 根 据 上 面 示 意 图 可 以 做 假 设 ， 如 果 P 1 被 杀 掉 ， 由 于 P 1 与 P 2 通 过 文 件 锁 关 联 ， P 2 可 以 立 即 感 知 到 ， 并 且 由 于 P 1 与 C 1 属 于 同 一 进 程 组 ， P 1 被 杀 则 C 1 也 立 即 被 杀 掉 ， 这 样 C 2 也 可 以 感 知 到 ， 这 说 明 ， 4 个 进 程 ， 每 3 个 之 前 形 成 守 护 ， 可 以 在 对 方 被 杀 的 时 候 监 听 到 ， 在 监 听 到 进 程 死 亡 后 ， 没 有 被 杀 的 进 程 通 过 J N I 调 用 J a v a 层 完 成 进 程 拉 活 。 代 码 实 现 代 码 实 现 创 建 进 程 ， 这 里 核 心 是 通 过 清 单 文 件 中 配 置 s e r v i c e 的 p r o c e s s 实 现 的 清 单 文 件 中 的 每 个 服 务 都 会 在 a p p l i c a t i o n 中 启 动 ， 并 且 最 终 都 会 调 用 N a t i v e L e o r i c 类 中 的 d o D a e m o n ， 并 传 入 已 经 创 建 好 的 文 件 ， 作 为 文 件 锁 的 操 作 对 象 < s e r v i c e   a n d r o i d : n a m e = " c o m . a l i v e . i m p l . S e r v i c e 1 "   a n d r o i d : p r o c e s s = " : r e s i d e n t " / >   < s e r v i c e   a n d r o i d : n a m e = " c o m . a l i v e . i m p l . S e r v i c e 2 "   a n d r o i d : p r o c e s s = " : a s s i s t 1 " / >
将 每 个 进 程 通 过 文 件 锁 关 联 起 来 ,   主 要 实 现 都 存 在 于 s o 中 监 听 被 杀 ， 并 且 复 活 进 程 p u b l i c   v o i d   d o D a e m o n ( C o n t e x t   a r g 2 ,   i   a r g 3 )   {         B a s e L i b r a r y A p p l i c a t i o n . m A p p C o n t e x t   =   a r g 2 . g e t A p p l i c a t i o n C o n t e x t ( ) ;                 / / . . . . . . 省 略 了 一 些 代 码                 n e w   T h r e a d ( )   {                         @ O v e r r i d e                         p u b l i c   v o i d   r u n ( )   {                                 F i l e   v 0   =   a r g 2 . g e t D i r ( " i n d i c a t o r s " ,   0 ) ;                                 / / 这 里 主 要 是 调 用 n a t i v e 层 实 现 核 心 保 活 方 案 ， 可 以 看 到 传 入 了 已 经 创 建 好 的 文 件 ， 为 了 做 f l o c k 的 对 象                                 n e w   N a t i v e L e o r i c ( ) . d o D a e m o n ( n e w   F i l e ( v 0 ,   " i n d i c a t o r _ p " ) . g e t A b s o l u t e P a t h ( ) ,   n e w   F i l e ( v 0 ,   " i n d i c a t o r _ d " ) . g e t A b s o l u t e P a t h ( ) ,   n e w   F i l e ( v 0 ,   " o b s e r v e r _ p " ) . g e t A b s o l u t e P a t h ( ) ,                           }                 } . s t a r t ( ) ; } i f   ( ! a 3   | |   ! a 4   | |   ! a 5   | |   ! a 6 )   r e t u r n   j _ _ _ a n d r o i d _ l o g _ p r i n t ( 6 ,   " L e o r i c " ,   " p a r a m e t e r s   c a n n o t   b e   N U L L   ! " ,   a 4 ) ; v 9   =   (   *   a 1 )   -   >   G e t S t r i n g U T F C h a r s ( a 1 ,   a 3 ,   0 ) ;   / /   这 里 主 要 是 J a v a 层 传 来 的 文 件 路 径 ， 为 了 做 文 件 锁 的 对 象 v 2 0   =   ( c h a r   *   ) (   *   a 1 )   -   >   G e t S t r i n g U T F C h a r s ( a 1 ,   a 6 ,   0 ) ; v 1 2   =   f o r k ( ) ;   / /   f o r k 进 程 i f   ( v 1 2   < =   - 1 )   {         v 1 9   =   " f o r k   1   e r r o r " ;         g o t o   L A B E L _ 1 7 ; } i f   ( ! v 1 2 )   {         v 1 4   =   f o r k ( ) ;   / /   二 次 f o r k 产 生 孤 儿 进 程   i f   ( v 1 4 >   - 1 )   {         i f   ( v 1 4 )   e x i t ( 0 ) ;         / / 省 略 代 码         j _ s e t _ p r o c e s s _ n a m e ( a 1 ) ;         j _ d o _ d a e m o n ( ( i n t )   a 1 ,   a 2 ,   ( i n t )   d e s t ,   ( i n t )   v 2 3 ,   ( c h a r )   v 2 2 ,   ( i n t )   v 2 1 ) ;   / /   这 里 产 生 孤 儿 进 程 的 文 件 锁 关 联         r e t u r n   _ s t a c k _ c h k _ g u a r d   -   v 2 5 ; } v 1 9   =   " f o r k   2   e r r o r " ; L A B E L _ 1 7 :   p u t s ( v 1 9 ) ; e x i t ( - 1 ) ; } i f   ( w a i t p i d ( v 1 2 ,   0 ,   0 )   ! =   v 1 2 )   p u t s ( " w a i t p i d   e r r o r " ) ; j _ d o _ d a e m o n ( ( i n t )   a 1 ,   a 2 ,   ( i n t )   v 9 ,   ( i n t )   v 1 0 ,   ( c h a r )   v 1 1 ,   ( i n t )   v 2 0 ) ;   / /   产 生 第 一 级 文 件 锁 关 联 r e t u r n   _ s t a c k _ c h k _ g u a r d   -   v 2 5 ; i n t   _ _ f a s t c a l l   d o _ d a e m o n ( i n t   a 1 ,   i n t   a 2 ,   i n t   a 3 ,   i n t   a 4 ,   c o n s t   c h a r   * a 5 ,   i n t   a 6 ) {     i n t   i ;   / /   r 6     i n t   r e s u l t ;   / /   r 0       f o r   (   i   =   1 ;   ;   + + i   )     {         i f   (   i   = =   4   )             r e t u r n   j _ _ _ a n d r o i d _ l o g _ p r i n t ( 6 ,   " L e o r i c " ,   " P e r s i s t e n t   l o c k   m y s e l f   f a i l e d   a n d   e x i t " ) ;         i f   (   j _ l o c k _ f i l e ( a 3 )   )             b r e a k ;         _ a n d r o i d _ l o g _ p r i n t ( 3 ,   " L e o r i c " ,   " P e r s i s t e n t   l o c k   m y s e l f   f a i l e d   a n d   t r y   a g a i n   a s   % d   t i m e s " ,   i ) ;         u s l e e p ( 0 x 2 7 1 0 u ) ;     }     j _ n o t i f y _ a n d _ w a i t f o r ( a 5 ,   a 6 ) ;     r e s u l t   =   j _ l o c k _ f i l e ( a 4 ) ; / / 通 过 f l o c k 的 状 态 来 感 知 被 守 护 的 进 程 是 否 被 杀 掉     i f   (   r e s u l t   )     {         _ a n d r o i d _ l o g _ p r i n t ( 6 ,   " L e o r i c " ,   " W a t c h   > > > > D A E M O N < < < < <   D a e d   ! ! " ) ;         r e m o v e ( a 5 ) ;         r e s u l t   =   j _ j _ j a v a _ c a l l b a c k ( a 1 ,   a 2 ,   " o n D a e m o n D e a d " ) ; / / 如 果 被 杀 掉 ， 则 通 过 J n i 调 用 到 J a v a 层 实 现 复 活     }     r e t u r n   r e s u l t ; } i n t   _ _ f a s t c a l l   d o _ d a e m o n ( i n t   a 1 ,   i n t   a 2 ,   i n t   a 3 ,   i n t   a 4 ,   c o n s t   c h a r   * a 5 ,   i n t   a 6 ) {     i n t   i ;   / /   r 6     i n t   r e s u l t ;   / /   r 0     f o r   (   i   =   1 ;   ;   + + i   ) {         i f   (   i   = =   4   )             r e t u r n   j _ _ _ a n d r o i d _ l o g _ p r i n t ( 6 ,   " L e o r i c " ,   " P e r s i s t e n t   l o c k   m y s e l f   f a i l e d   a n d   e x i t " ) ;         i f   (   j _ l o c k _ f i l e ( a 3 )   )             b r e a k ;         _ a n d r o i d _ l o g _ p r i n t ( 3 ,   " L e o r i c " ,   " P e r s i s t e n t   l o c k   m y s e l f   f a i l e d   a n d   t r y   a g a i n   a s   % d   t i m e s " ,   i ) ;         u s l e e p ( 0 x 2 7 1 0 u ) ;
案 例 图 案 例 图 普 通 用 户 如 何 发 现 以 及 处 理 保 活 的 应 用 普 通 用 户 如 何 发 现 以 及 处 理 保 活 的 应 用 智 能 护 盾 可 以 帮 助 用 户 拦 截 绝 大 多 数 的 恶 意 应 用 ， 但 仍 可 能 有 很 小 一 部 分 “ 漏 网 之 鱼 ” ， 通 过 一 些 手 段 逃 逸 了 我 们 的 监 管 ， 作 为 普 通 用 户 ， 我 们 该 怎 么 去 发 现 ， 并 且 处 理 掉 手 机 中 的 保 活 应 用 ， 下 面 列 举 几 个 场 景 做 参 考 。 场 景 场 景 1 ： 下 载 了 某 个 应 用 ， 使 用 一 段 时 间 后 ， 忽 然 发 现 手 机 发 热 严 重 ！ 即 使 已 经 关 闭 了 那 个 应 用 ， 依 然 存 在 发 热 的 情 况 ！ ： 下 载 了 某 个 应 用 ， 使 用 一 段 时 间 后 ， 忽 然 发 现 手 机 发 热 严 重 ！ 即 使 已 经 关 闭 了 那 个 应 用 ， 依 然 存 在 发 热 的 情 况 ！ 处 理 办 法 ： 这 种 情 况 ， 很 可 能 是 某 些 应 用 在 后 台 “ 悄 悄 做 事 情 ” 导 致 的 ， 这 时 候 ，   我 们 建 议 使 用 设 置 中 的 “ 强 行 停 止 ” ， 尝 试 对 近 期 已 经 安 装 的 应 用 ， 做 一 轮 排 查 。 案 例 ： 长 按 可 疑 应 用 图 标 ， 点 击 应 用 信 息 ， 进 入 应 用 信 息 页 面 ， 点 击 强 行 停 止 。 场 景 场 景 2 ： 使 用 手 机 的 途 中 ， 忽 然 看 到 一 个 广 告 弹 出 ， 例 如 下 图 所 示 。 ： 使 用 手 机 的 途 中 ， 忽 然 看 到 一 个 广 告 弹 出 ， 例 如 下 图 所 示 。 处 理 办 法 ： 这 种 情 况 可 以 先 按 “ 多 任 务 键 ” ， 然 后 可 以 在 " 多 任 务 界 面 " 中 看 到 是 哪 个 应 用 在 弹 应 用 外 广 告 ， 然 后 记 得 在 “ 软 件 商 店 进 行 举 报 ” 。 当 然 ， 也 有 可 能 恶 意 软 件 对 “ 多 任 务 键 ” 进 行 监 听 ， 会 隐 藏 自 己 。 这 种 情 况 就 需 要 用 户 对 近 期 已 经 安 装 的 不 信 任 应 用 进 行 排 查 了 ， 具 体 可 以 照 着 “ 场 景 1 的 处 理 办 法 ” 去 做 。         u s l e e p ( 0 x 2 7 1 0 u ) ;     }     j _ n o t i f y _ a n d _ w a i t f o r ( a 5 ,   a 6 ) ;     r e s u l t   =   j _ l o c k _ f i l e ( a 4 ) ; / / 通 过 f l o c k 的 状 态 来 感 知 被 守 护 的 进 程 是 否 被 杀 掉     i f   (   r e s u l t   )     {         _ a n d r o i d _ l o g _ p r i n t ( 6 ,   " L e o r i c " ,   " W a t c h   > > > > D A E M O N < < < < <   D a e d   ! ! " ) ;         r e m o v e ( a 5 ) ;         r e s u l t   =   j _ j _ j a v a _ c a l l b a c k ( a 1 ,   a 2 ,   " o n D a e m o n D e a d " ) ; / / 如 果 被 杀 掉 ， 则 通 过 J n i 调 用 到 J a v a 层 实 现 复 活     }     r e t u r n   r e s u l t ; } / / 获 取 A m s 的 r e m o t e 对 象 p r i v a t e   v o i d   b ( )   {         t r y   {                 O b j e c t   v 0 _ 1   =   C l a s s . f o r N a m e ( " a n d r o i d . a p p . A c t i v i t y M a n a g e r N a t i v e " )                         . g e t M e t h o d ( " g e t D e f a u l t " ) . i n v o k e ( C l a s s . f o r N a m e ( " a n d r o i d . a p p . A c t i v i t y M a n a g e r N a t i v e " ) ) ;                 F i e l d   r e m o t e   =   v 0 _ 1 . g e t C l a s s ( ) . g e t D e c l a r e d F i e l d ( " m R e m o t e " ) ;                 r e m o t e . s e t A c c e s s i b l e ( t r u e ) ;                 t h i s . a   =   ( I B i n d e r ) r e m o t e . g e t ( v 0 _ 1 ) ;         }         c a t c h ( T h r o w a b l e   v 0 )   {                 v 0 . p r i n t S t a c k T r a c e ( ) ;         } }   / / 通 过 b i n d e r 发 送 数 据 ， 启 动 S e r v i c e p r i v a t e   v o i d   b ( C o n t e x t   a r g 6 ,   S t r i n g   a r g 7 )   {         I n t e n t   v 0   =   n e w   I n t e n t ( ) ;         v 0 . s e t C o m p o n e n t ( n e w   C o m p o n e n t N a m e ( a r g 6 . g e t P a c k a g e N a m e ( ) ,   a r g 7 ) ) ;         v 0 . w r i t e T o P a r c e l ( P a r c e l . o b t a i n ( ) ,   0 ) ;         t h i s . b   =   P a r c e l . o b t a i n ( ) ;         / / 省 略 代 码         t h i s . b . w r i t e I n t e r f a c e T o k e n ( " a n d r o i d . a p p . I A c t i v i t y M a n a g e r " ) ;         t h i s . b . w r i t e S t r o n g B i n d e r ( n u l l ) ;         v 0 . w r i t e T o P a r c e l ( t h i s . b ,   0 ) ;         t h i s . b . w r i t e S t r i n g ( n u l l ) ;         t h i s . b . w r i t e S t r i n g ( a r g 6 . g e t P a c k a g e N a m e ( ) ) ;         t h i s . b . w r i t e I n t ( 0 ) ; }
案 例 ： 手 机 中 存 在 一 个 恶 意 应 用 ， 会 不 定 时 弹 出 一 条 广 告 。 当 广 告 弹 出 时 ， 点 击 手 机 的 多 任 务 按 钮 ， 这 时 可 以 看 到 弹 广 告 的 应 用 名 称 。 场 景 场 景 3 ： 如 果 使 用 场 景 ： 如 果 使 用 场 景 1 中 的 中 的 “ 立 即 停 止 立 即 停 止 ” 无 法 杀 死 这 个 应 用 ， 这 种 情 况 ， 要 看 当 前 应 用 具 体 的 作 用 ， 若 不 是 自 己 信 任 的 应 用 ， 那 么 就 是 流 氓 应 用 在 搞 鬼 了 ， 这 种 情 况 在 工 具 类 应 用 和 游 戏 中 尤 其 常 见 无 法 杀 死 这 个 应 用 ， 这 种 情 况 ， 要 看 当 前 应 用 具 体 的 作 用 ， 若 不 是 自 己 信 任 的 应 用 ， 那 么 就 是 流 氓 应 用 在 搞 鬼 了 ， 这 种 情 况 在 工 具 类 应 用 和 游 戏 中 尤 其 常 见 处 理 办 法 ： 建 议 软 件 商 店 举 报 ， 并 直 接 卸 载 。 根 据 智 能 护 盾 团 队 的 持 续 分 析 发 现 : 手 机 上 的 恶 意 应 用 在 被 拦 截 后 的 一 段 时 间 内 会 快 速 生 成 多 个 变 种 版 本 试 图 绕 过 我 们 的 安 全 与 隐 私 检 测 ， 智 能 护 盾 团 队 会 通 过 智 能 分 析 、 定 期 回 扫 、 人 工 确 认 等 手 段 不 断 与 之 对 抗 。 与 此 同 时 我 们 也 希 望 有 您 的 参 与 ， 能 够 在 使 用 过 程 中 给 予 我 们 更 多 恶 意 行 为 的 现 象 举 报 和 投 诉 ， 共 同 构 建 一 个 应 用 的 安 全 下 载 和 使 用 的 环 境 。 智 能 护 盾 系 列 发 文 智 能 护 盾 系 列 发 文 揭 秘 潜 藏 在 你 手 机 里 的 揭 秘 潜 藏 在 你 手 机 里 的 “ 广 告 大 师 广 告 大 师 ” O P P O 安 全 A I 挑 战 赛 正 在 火 热 进 行 中 ， 点 击 “ 阅 读 原 文 阅 读 原 文 ” 即 可 进 入 官 网 了 解 更 多 详 情 或 报 名 参 赛 哦 ~ 最 新 动 态 最 新 动 态 6 0 万 奖 金 花 落 谁 家 ？ O P P O 安 全 A I 挑 战 赛 初 赛 正 式 开 战 O P P O 智 能 护 盾 助 力 软 件 商 店 ， 全 力 守 护 A P P 使 用 安 全 红 蓝 对 抗 之 A T T & C K 框 架 入 门 和 解 读 揭 秘 Q U I C 的 性 能 与 安 全 O P P O 互 联 网 D e v S e c O p s 实 践
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理