【ApkCheck】一种对抗IO重定向方案

逗比_滑稽

本贴为ApkCheck1.2版本发布帖子
(项目源码在最后面)

上贴：【开源项目】ApkCheck1.1-签名/包裹校验Demo


————————————————
攻防发展持续到现在，各种手段五花八门，而今天主要讲一讲攻击方一种手段“IO重定向”

什么是IO重定向？这里简单概括一下，比如读取文件A得到的是A文件的数据，这是正常程序的情况。但如果文件A被IO重定向，那么读取文件A的时候其实会得到B文件的数据。

有的人可能会疑惑，为什么IO重定向会出现在我们的视野当中？
这是一份Android获取APK签名代码代码

1. 
   
2. //获取包裹管理器
   
3.                 PackageManager PackaM = context.getPackageManager();
   
4.                 //解析自身应用信息
   
5.                 PackageInfo Info = PackaM.getPackageInfo(context.getPackageName(), PackageManager.GET_SIGNATURES);
   
6.                 //获取签名
   
7.                 Signature Sign = Info.signatures[0];
   

复制代码

在之前，这份代码或许还有些许作用。
到现在这份代码获取的签名毫信任可言，早期一些过签工具通过java动态代理包裹管理器的mPM字段能够轻松绕过这份校验。

所以就出现新的校验手段“Binder通讯获取签名”，本质上getPackageInfo方法其实就是与服务端通讯来获取签名，只需复刻getPackageInfo方法的Binder通讯代码就可以避开走mPM字段。

但这又出现一个新的弱点，Binder通讯回来的Parcel数据是要经过PackageInfo.CREATOR封装才得到PackageInfo实例的。

而新版MT的去签原理就是代理CREATOR(相关帖子：【应用安全】船新PackageInfo.CREATOR代理检测方案)，所以能够很轻松过掉这个校验，虽然可以通过检测CREATOR是否被代理来防止，但这明显不是去签最后的手段，它可以通过钩子Binder的transact函数来伪造签名。

于是乎防守方又衍生出一种方案，那就是不信任本地的Binder驱动，通过自实现Binder驱动来与服务端通信。

但在前几天零星0523大佬发布了SRPatchV3更新预告
【帖子】SRPatchV3更新预告&无痕Java API Hook&ioctl级别拦截
新方案直接能够拦截应用进程中所有Binder通信。

至此，通过Binder通信获取签名可以暂时告一段落了。虽然说这方面攻击方胜利了，但不代表防守方完败。

除了通过Binder获取签名，最常见的还有IO流读取自身包裹解析签名，这也是一种最简单也是很常见签名校验手段，既然Binder这条路走不了，那我直接读文件解析就好了，反正签名校验再怎么样都要读取包裹解析签名，所以到现在各种独特的读取文件方式也是衍生而出，其中最出名的就是SVC，这里就不一一讲了。

防守方采用文件读取的防御手段，那么攻击方又会做出什么样的对策方案，答案回到开头我们讲的IO重定向。

当我们试图用IO流读取APK的时候，IO重定向就会替换掉我们读取的目标，那有没有什么对策方案？

有的兄弟，有的。

1.检查APK包裹的GID，UID
/data/app/xxx.xxx.xxx/base.apk
这个路径下的APK文件它属于一个系统文件，它的GID和UID都是1000的，但如果IO重定向了一个文件，这个GID和UID会发生变化，因为它不是一个系统文件。

2.检查APKInode是否与Maps记录ApkInode
Inode相当于每个文件的独特编号，如果IO重定向之后是不会与Maps记录的一致的

除此之外还有比较简单粗暴的嘛，有的兄弟。
我们使用IO输入流读取文件，负责实际工作的是来自libc.so底层的open相关函数。而IO重定向是把libc那几个open函数给钩子到去签实现的open函数，替代原本的函数工作。

这么做就是破坏libc原有的逻辑，所以我们可以通过读取Maps记录的libc.so可执行内存段Hash与本地库文件对应字节段Hash做比较

如果不一致则表示被IO重定向了


最后，以上方法校验代码都可以从我ApkCheck项目得到，欢迎各位做防去签对抗测试。

更新内容：
libc/libart内存检测
Apk资源内存检测
stat指令获取APK文件GID与UID
CREATORCheck增加对类加载器校验
布局优化(纵享丝滑)

ApkCheck_1.2：
ApkCheck

noodle

看看隐藏

tzir

感谢分享

鬼才同学

双雄对决，风云变色！此番较量是平分秋色，还是一方技高一筹？欲知胜败如何，且听下回分解！

挽梦遗酒

感谢分享，论坛有你更精彩!

苇草

看看

zhxclj8

学习

zylcm5

前排围观滑稽大佬

只因你太美

看看

tuzi1

感谢分享，谢谢楼主分享的这么详细的教程和思路使我受益匪浅

青春向上

“防不胜防”

迷人的云溪

感谢分享，

doland

看看大神分析

zverxn

看看隐藏