Android安全检测 - 组件导出风险

市面上有很多的在线Android安全扫描工具，比如梆梆的安全检测平台、360显危镜、爱加密安全检测平台等等，自动化工具出来的结果大多数情况下都是非准确的，都需要人工进行复核。这一章我们来学习组件导出风险。

一、漏洞原理

app的四大组件，Activity，Service，Broadcast Receiver 和Content Provider，如果设置了导出权限，都可能被系统或者第三方的应用程序直接调出并使用。组件导出可能导致本地拒绝服务、越权、恶意调用等风险。

（1）什么是组件导出？
组件的导出具体表现在清单文件中，组件中存在"android:exported"这个属性，其值为true时表示组件存在导出。存在组件导出有以下几种情况
a. 主动设置android:exported为true
b. 组件存在IntentFilter，存在IntentFilter时android:exported属性默认值为true
c. 当组件是ContentProvider并且minSdkVersion或者targetSdkVersion小于等于16时，android:exported默认为true ，当大于等于17时，android:exported默认为false

在app上的具体表现是：比如游戏登陆时调用微信的Activity登陆组件，微信的Activity登陆组件就是可被导出的。简单来讲就是导出的组件可以被第三方app调用（唤醒）

（2）组件的导出一般会引起什么风险呢？
a. 本地拒绝服务（未对传递的数据进行校验和异常处理，导出app异常崩溃）
b. 越权（未对调用者的权限进行校验，风险：绕过登陆页面、非法进入app测试环境页面等等）
c. 数据库SQL注入（使用拼接字符串组成SQL语句的形式去查询数据库）
d. 恶意调用
等等...

在这当中最常见的就是"本地拒绝服务"和"越权"

二、检测手段

这里从两个方面讲检测的手段：
（1）市面上大多数检测引擎的检测方法
（2）自查自检

从这两种检测方法来讲，若是要过一些监管要求，则采用第一种检测方法做对应的修复就行（由于大部分安全检测的厂家，都是采用检测引擎扫描的方式直接出结果，而没有进行人工复核，因为对于批量化的检测来讲人工复核的成本过高），第二种检测方案是人工进行检测（可以采用检测引擎 + 人工复核的方式进行）

（1）市面上大多数检测引擎的检测方法
基本上要过监管的要求采取这种方式进行就可以了，因为这种检测的方式可以认为是一刀切的方式，不管app内部采取了怎么样的校验和拦截，若不把android:exported属性置为false，都会报出这个组件导出的风险。

step1. 反编译app的AndroidManifest.xml文件

step2. 扫描组件中是否显示的存在android:exported属性，属性值是否为true，若为true则存在组件导出风险，若为false则进入step3。

step3. 扫描组件中是否存在IntentFilter,若存在IntentFilter并且没有显示的设置android:exproted的属性值为false，那么android:exported的默认值为true，存在组件导出风险

（2）自查自检

由于某些情况下业务的需要，组件是必须要导出的，比如：微信和QQ给其它app提供的三方登陆功能、安全认证校验功能等等。所以组件导出只有必要和非必要，那么不需要提供给其它三方使用时最好将android:exported属性置为false，以避免引起漏洞，若确实需要给三方提供某些功能时在app内部要做好权限校验和异常拦截处理保证app的使用安全。

那么自查自检最好采用检测引擎 + 人工复核的方式进行，这里推荐一款检测的工具Drozer，这个工具用来检测组件导出相当优秀，再结合人工的复核，能够极大的解决组件导出的隐患。
在这里我们来了解Drozer的使用命令，具体的安装和使用在网上进行查询就行了。

app.activity.info           Gets information about exported activities.
app.activity.start          Start an Activity
app.broadcast.info          Get information about broadcast receivers
app.broadcast.send          Send broadcast using an intent
app.broadcast.sniff         Register a broadcast receiver that can sniff        particular intents
app.package.attacksurface   Get attack surface of package
app.package.backup          Lists packages that use the backup API (returns trueon FLAG_ALLOW_BACKUP)
app.package.debuggable      Find debuggable packages
app.package.info            Get information about installed packages
app.package.launchintent    Get launch intent of package
app.package.list            List Packages
app.package.manifest        Get AndroidManifest.xml of package
app.package.native          Find Native libraries embedded in the application.
app.package.shareduid       Look for packages with shared UIDs
app.provider.columns        List columns in content provider
app.provider.delete         Delete from a content provider
app.provider.download       Download a file from a content provider that        supports files
app.provider.finduri        Find referenced content URIs in a package
app.provider.info           Get information about exported content providers
app.provider.insert         Insert into a Content Provider
app.provider.query          Query a content provider
app.provider.read           Read from a content provider that supports files
app.provider.update         Update a record in a content provider
app.service.info            Get information about exported services
app.service.send            Send a Message to a service, and display the reply
app.service.start           Start Service
app.service.stop            Stop Service
auxiliary.webcontentresolverStart a web service interface to content providers.
exploit.jdwp.check          Open @jdwp-control and see which apps connect
exploit.pilfer.general.apnproviderReads APN content provider
exploit.pilfer.general.settingsproviderReads Settings content provider
information.datetime        Print Date/Time
information.deviceinfo      Get verbose device information
information.permissions     Get a list of all permissions used by packages on   the device
scanner.activity.browsable  Get all BROWSABLE activities that can be invoked    from the web browser
scanner.misc.native         Find native components included in packages
scanner.misc.readablefiles  Find world-readable files in the given folder
scanner.misc.secretcodes    Search for secret codes that can be used from the   dialer
scanner.misc.sflagbinaries  Find suid/sgid binaries in the given folder (defaultis /system).
scanner.misc.writablefiles  Find world-writable files in the given folder
scanner.provider.finduris   Search for content providers that can be queried    from our context.
scanner.provider.injection  Test content providers for SQL injection            vulnerabilities.
scanner.provider.sqltables  Find tables accessible through SQL injection        vulnerabilities.
scanner.provider.traversal  Test content providers for basic directory traversalvulnerabilities.
shell.exec                  Execute a single Linux command.
shell.send                  Send an ASH shell to a remote listener.
shell.start                 Enter into an interactive Linux shell.
tools.file.download         Download a File
tools.file.md5sum           Get md5 Checksum of file
tools.file.size             Get size of file
tools.file.upload           Upload a File
tools.setup.busybox         Install Busybox.
tools.setup.minimalsu       Prepare 'minimal-su' binary installation on the     device.

三、修复方法

（1）不需要导出的组件，设置组件属性android:exported=false
（2）对于需要导出的组件需要做好:
a. 权限校验和异常处理，避免应用出现拒绝服务
b. 建议添加自定义signature或signatureOrSystem级别的私有权限保护

asjhan for Android reverse