搜索

[21553] 2020-12-30_APP测试之安全机制问题及Bypass

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2020-12-30_APP测试之安全机制问题及Bypass A P P 测 试 之 安 全 机 制 问 题 及 B y p a s s N o n e 安 全 团 队   L e m o n S e c   2 0 2 0 - 1 2 - 3 0 今 天 来 讨 论 一 个 A P P 安 全 渗 透 测 试 及 漏 洞 挖 掘 中 遇 到 的 一 个 问 题 ， 相 信 也 会 有 很 多 师 傅 在 挖 掘 漏 洞 中 遇 到 以 下 的 几 种 令 人 抓 头 的 场 景 ， 前 不 久 挖 掘 一 个 a p p 又 遇 到 了 以 前 都 遇 到 过 此 类 问 题 ， 决 定 在 此 总 结 一 下 : 等 等 。 一 般 情 况 下 在 对 A P P 测 试 时 b u r p 抓 包 需 要 配 置 代 理 和 下 载 安 装 b u r p 的 客 户 端 证 书 才 可 以 正 常 的 进 行 下 一 步 测 试 ， 但 是 在 H T T P S 信 任 机 制 和 A P K 自 有 的 安 全 机 制 下 测 试 时 或 许 就 不 是 那 么 容 易 了 ， 经 常 会 出 现 网 络 错 误 、 抓 不 到 包 、 丢 包 ， 无 法 正 常 发 送 请 求 等 情 况 。 主 要 可 以 归 结 为 ： I O S / 安 卓 系 统 的 固 有 的 信 任 机 制 问 题 ， 另 一 方 面 是 A P K 的 S S L 证 书 的 绑 定 、 S S L 证 书 双 向 校 验 和 代 理 检 测 问 题 。 系 统 固 有 的 信 任 机 制 I O S 设 备 上 测 试 设 备 上 测 试 虽 然 安 装 了 b u r p 证 书 但 是 你 会 发 现 有 h t t p s 的 数 据 包 仍 然 无 法 抓 到 ， 仔 细 深 究 其 实 还 是 信 任 机 制 的 问 题 ， 默 认 情 况 下 i o s 系 统 不 会 对 第 三 方 安 装 的 证 书 开 启 完 全 信 任 ， 由 此 就 导 致 了 虽 然 安 装 了 证 书 但 还 是 无 法 抓 到 h t t p s 的 包 。
默 认 情 况 下 I O S 设 备 的 对 安 装 的 根 证 书 的 完 全 信 任 是 处 于 关 闭 状 态 ， 所 以 要 解 决 以 上 问 题 ， 还 需 要 将 该 设 置 为 完 全 信 任 。 设 置 好 后 就 可 以 正 常 抓 包 了 。
如 果 排 除 了 系 统 固 有 的 信 任 机 制 问 题 还 是 无 法 正 常 抓 到 包 这 种 情 况 下 一 般 就 属 于 第 二 种 可 能 了 — - A P K 自 有 的 安 全 机 制 A P K 的 安 全 机 制 h t t p s 协 议 验 证 服 务 器 身 份 的 方 式 通 常 有 三 种 ， 一 是 根 据 浏 览 器 或 者 说 操 作 系 统 （ A n d r o i d ） 自 带 的 证 书 链 ； 二 是 使 用 自 签 名 证 书 ； 三 是 自 签 名 证 书 加 上 S S L   P i n n i n g 特 性 , 所 谓 S S L   p i n n i n g 即 证 书 绑 定 。 另 外 一 种 是 双 向 认 证 ， 客 户 端 与 服 务 端 分 别 存 放 不 同 的 证 书 ， 客 户 端 在 通 讯 时 会 校 验 服 务 端 的 证 书 的 一 致 性 ， 反 之 ， 服 务 端 在 建 立 通 讯 前 也 要 验 证 客 户 端 证 书 的 一 致 性 ， 验 证 皆 无 问 题 后 才 建 立 通 讯 。 S S L   p i n n i n g 一 般 情 况 下 ， 关 于 S S L   P i n n i n g 的 反 制 ， 主 要 有 两 种 办 法 ， 第 一 种 是 反 编 译 A P P 文 件 ， 篡 改 内 部 证 书 信 息 。 涉 及 到 逆 向 ， 调 试 ， 重 签 名 等 技 术 ， 如 果 客 户 端 存 在 壳 保 护 、 混 淆 、 完 整 性 自 校 验 等 防 护 则 无 法 进 行 替 换 。 第 二 种 是 利 用 了 H o o k 技 术 。 H o o k 就 是 一 个 函 数 钩 子 ， 把 程 序 原 本 要 调 用 的 函 数 改 成 另 一 个 函 数 ， 就 是 对 原 函 数 的 一 个 挂 钩 ( h o o k )   。 比 如 ， 客 户 端 使 用 方 法 h o s t n a m e V e r i f i e r . v e r i f y 、 c h e c k S e r v e r T r u s t e d 和 c h e c k C l i e n t T r u s t e d 对 证 书 进 行 了 校 验 , 证 书 不 对 则 抛 出 异 常 ， 停 止 加 载 页 面 并 结 束 通 讯 。 只 需 要 H o o k   证 书 校 验 失 败 的 处 理 方 法 ， 让 其 继 续 加 载 页 面 并 保 持 通 讯 即 可 。 具 体 的 S S L   P i n n i n g 的 反 制 ， 主 要 以 X p o s e d 框 架 和 F r i d a 框 架 进 行 H o o k 关 键 函 数 ， 从 而 进 行 数 据 包 的 截 取 。 针 对 以 上 情 况 可 以 总 结 了 以 下 几 种 的 具 体 绕 过 方 式
1 ） 反 编 译 a p k , 得 到 源 码 编 辑 应 用 程 序 的 M a n i f e s t 文 件 ， 修 改   A n d r o i d M a n i f e s t . x m l ， 重 新 打 包 a p k 反 编 译 及 打 包 反 编 译 打 包 签 名 p s : 签 名 文 件 ： a n d r o i d / b u i l d / t a r g e t / p r o d u c t / s e c u r i t y / 2 ） 用 自 定 义 的 C A 覆 盖 应 用 程 序 原 本 的 C A 3 ） 反 编 译 提 取 A P K 文 件 ， 注 入 动 态 库 和 通 过 O b j e c t i o n 工 具 【 项 目 地 址 】 也 可 参 考 r o y s u e 师 傅 的 一 篇 文 章 实 用 F R I D A 进 阶 4 ） h o o k 证 书 验 证 函 数 设 置 钩 子 – 针 对 自 定 义 证 书 的 验 证 代 码 详 情 针 对 这 四 种 的 方 法 有 位 大 佬 做 了 详 细 的 介 绍 可 参 考 绕 过 安 卓 S S L 验 证 证 书 的 四 种 方 式 除 了 以 上 修 改 a p k 验 证 证 书 逻 辑 重 新 打 包 的 方 式 外 ， 还 有 一 种 最 简 单 的 方 法 是 使 用 x p o s e d 相 关 模 块 。 X p o s e d + J u s t T r u s t M e 来 进 行 绕 过 。 使 用 方 法 网 上 也 已 经 有 师 傅 研 究 过 了 具 体 可 以 参 考 还 有 代 理 检 测 客 户 端 内 置 代 理 有 些 A P P 内 置 了 指 定 代 理 ， 导 致 开 着 抓 包 工 具 也 无 法 正 常 抓 到 包 。 a p k t o o l . b a t   d   - f   t e s t . a p k   - o   t e s t       a p k t o o l   - f   [ 待 反 编 译 的 a p k ]   - o   [ 反 编 译 之 后 存 放 文 件 夹 ] a p k t o o l . b a t   b   t e s t * * j a v a   - j a r   . a p k t o o l _ 2 . 3 . 0 . j a r   b   . t e s t * * j a v a   - j a r   s i g n a p k . j a r   t e s t k e y . x 5 0 9 . p e m   t e s t k e y . p k 8   t e s t . a p k   t e s t _ s i g n e d . a p k h t t p s : / / w w w . j i a n s h u . c o m / p / a 8 1 8 a 0 d 0 a a 9 f
解 决 ： 1 ) 直 接 设 置 代 理 为 自 己 指 定 的 代 理 。 比 如 2 ) h o o k   “ s y s t e m . s e t p r o p e r t y ”   设 置 代 理 到 本 地 客 户 端 检 测 是 否 开 启 代 理 比 如 A P P 存 在 对 代 理 的 检 测 的 代 码 ， 当 存 在 代 理 检 测 时 ， 这 个 数 据 包 并 不 会 通 过 代 理 发 送 出 去 。 修 改 s m a i l 代 码 绕 过 ， 或 者 n o p 掉 检 测 方 法 。 代 码 ： S S L   双 向 校 验 问 题 ： 可 拦 截 到 包 但 返 回 异 常 解 决 方 式 ： b y p a s s   双 向 校 验 p r i v a t e   v o i d   N ( ) {               A d d r e s s   v 0 = t h i s . g ( ) ;               i f ( v 0 ! = n u l l ) {               i f ( t h i s . e . b ( ) . d ( ) )               n . a ( v 0 . g e t H o s t ( ) , v 0 . g e t P o r t ( ) ) ;               }               t h i s . f ( ) ; } c o n s t   v 0 , 0 x 2 2 b 8 s o n s t - s t r i n g   v 1 , " 1 9 2 . 1 6 8 . 0 . 1 0 1 " / / 设 置 为 自 己 的 代 理 ， P O R T : 0 x 2 2 b 8 = 8 8 8 8 , I P : 1 9 2 . 1 6 8 . 0 . 1 0 1 / / 设 置 代 理 S y s t e m . s e t P r o p e r t y ( " h t t p . p r o x y S e t " , " t r u e " ) ; S y s t e m . s e t P r o p e r t y ( " h t t p . p r o x y H o s t " , " 1 0 . 1 . 1 . 1 9 9 " ) ; S y s t e m . s e t P r o p e r t y ( " h t t p . p r o x y P o r t " , " 8 0 " ) ; p r i v a t e   b o o l e a n   i s W i f i P r o x y ( )   {         f i n a l   b o o l e a n   I S _ I C S _ O R _ L A T E R   =   B u i l d . V E R S I O N . S D K _ I N T   > =   B u i l d . V E R S I O N _ C O D E S . I C E _ C R E A M _ S A N D W I C H ;         S t r i n g   p r o x y A d d r e s s ;         i n t   p r o x y P o r t ;         i f   ( I S _ I C S _ O R _ L A T E R )   {               p r o x y A d d r e s s   =   S y s t e m . g e t P r o p e r t y ( " h t t p . p r o x y H o s t " ) ;               S t r i n g   p o r t S t r   =   S y s t e m . g e t P r o p e r t y ( " h t t p . p r o x y P o r t " ) ;               p r o x y P o r t   =   I n t e g e r . p a r s e I n t ( ( p o r t S t r   ! =   n u l l   ?   p o r t S t r   :   " - 1 " ) ) ;         }   e l s e   {               p r o x y A d d r e s s   =   a n d r o i d . n e t . P r o x y . g e t H o s t ( t h i s ) ;               p r o x y P o r t   =   a n d r o i d . n e t . P r o x y . g e t P o r t ( t h i s ) ;         }         r e t u r n   ( ! T e x t U t i l s . i s E m p t y ( p r o x y A d d r e s s ) )   & &   ( p r o x y P o r t   ! =   - 1 ) ;     }
做 了 双 向 验 证 的 a p k , 一 般 反 编 译 后 在 A P K 的     中 就 可 以 找 到 客 户 端 证 书     和   的 文 件 ， 而 在 服 务 端 和 客 户 端 进 行 正 常 通 信 就 需 要 在 服 务 端 也 安 装   证 书 , 但 导 入 时 会 需 要 一 个 证 书 密 码 ， 一 般 可 以 通 过 静 态 分 析 代 码 ， 搜 索     或 者   逆 向 分 析 客 户 端 的   来 找 到 密 码 。 S i g n s i g n 的 绕 过 并 不 大 了 解 ， 但 是 按 照 常 规 套 路 ， 就 是 反 编 译 之 后 搜 索 s i g n / s i g n a t u r e 相 关 字 符 串 ， 然 后 找 到 加 密 算 法 的 地 方 ， 抠 出 来 分 析 , 再 h o o k 掉 ， 比 如 系 统 的 j a v a . s e c u r i t y . S i g n a t u r e 这 个 接 口 ， 直 接 让 系 统 获 取 的 签 名 永 远 返 回 t r u e ， 这 样 就 绕 过 了 a p p 的 签 名 校 验 了 。 利 用 x p o s e d 可 以 ： 来 绕 过 a p p 的 签 名 校 验 。 有 大 佬 师 傅 g i t h u b 给 出 了 一 键 绕 过 A p p 签 名 验 证 的 工 具 ， h t t p s : / / g i t h u b . c o m / x x x y a n c h e n x x x / S i g K i l l ， 但 是 本 人 也 没 有 测 试 过 ， 不 知 道 有 没 师 傅 用 过 。 参 考 ： h t t p s : / / x z . a l i y u n . c o m / t / 6 5 5 8 h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 2 0 0 9 1 1 h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 2 0 0 9 1 1 a s s e t s . p 1 2 . c e r p 1 2 K e y S t o r e . p 1 2 p u b l i c   v o i d   i n i t Z y g o t e ( S t a r t u p P a r a m   s t a r t u p P a r a m )   t h r o w s   T h r o w a b l e   {                               X p o s e d H e l p e r s . f i n d A n d H o o k M e t h o d ( " j a v a . s e c u r i t y . S i g n a t u r e " , n u l l , " v e r i f y " ,   b y t e [ ] . c l a s s , n e w   X C _ M e t h o d H o o k ( ) {                           p r o t e c t e d   v o i d   a f t e r H o o k e d M e t h o d ( M e t h o d H o o k P a r a m   p a r a m )   t h r o w s   T h r o w a b l e   {                                   X p o s e d B r i d g e . l o g ( " d i s a b l e d   v e r i f y s i g n a t u r e . . . . . . " ) ;                                   p a r a m . s e t R e s u l t ( B o o l e a n . T R U E ) ;                           }                     } ) ;
h t t p s : / / w w w . j i a n s h u . c o m / p / a 8 1 8 a 0 d 0 a a 9 f h t t p : / / z - g e l e n . c o m / i n d e x . p h p / a r c h i v e s / 6 8 / 原 文 来 自 ： h t t p : / / q c l o v e r . c n / 2 0 2 0 / 0 3 / 2 2 / A P P % E 6 % B 5 % 8 B % E 8 % A F % 9 5 % E 4 % B 9 % 8 B % E 5 % A E % 8 9 % E 5 % 8 5 % A 8 % E 6 % 9 C % B A % E 5 % 8 8 % B 6 % E 9 % 9 7 % A E % E 9 % A 2 % 9 8 % E 5 % 8 F % 8 A B y p a s s . h t m l 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理