GOPS 2017全球运维大会上海站

连尚网络安全研究员 龚沛华-Android App 的安全保护实践之路

国内Android市场、论坛层出不穷,且Android app可以容易地被反编译分析甚至破解篡改,从而导致连锁的安全问题。议题主要从Android App面临的安全现状入手分析存在的主要问题,并针对相关脆弱点,对相应的保护措施进行分析和总结。

1. Android App安全实践之路 龚沛华 连尚网络安全研究员 gongpeihua@wifi.com
2. 目录 1. Android平台安全现状 2. Android安全模型 3. 程序安全 4. 数据安全 5. 系统安全 6. 一款被篡改的APK 7. APK保护措施
3. Android平台安全现状
4. Android平台安全现状 移动终端特性 • 攻击入口广 Ø 浏览器、恶意app、网络劫持、usb • 碎片化 Ø 安卓手机厂商多、安卓系统碎片化 • 用户隐私 Ø 通话、短信、应用数据
5. 2. Android安全模型
6. Android安全模型 • Linux内核安全特性 • 沙盒 • 权限 • IPC访问控制 • 代码签名和系统签名 • 多用户访问控制 • 加密 • SELinux
7. Android安全模型 • Linux内核安全特性 Ø 保留对应版本Linux内核的常规安全特性 Ø 基于UID、GID隔离的访问控制 Ø 单用户系统,Android使用UID、GID区分不同的App
8. Android安全模型 • 沙盒 Ø 每一个App或服务对应单独的UID,系统级UID从1000开始,第三方App从1 0000开始,以此进行UID级的资源隔离 Ø 每一个App在/data/data下拥有一个私有目录
9. Android安全模型 • 权限 Ø App需要权限来访问各种系统资源 Ø App可以通过AndroidManifest.xml来申请权限 Ø 权限分级 Ø 由用户在安装时决定是否允许该权限 Ø 4.3之后可以动态管理
10. Android安全模型 • IPC进程间访问控制 Ø IPC用于不同进程之间的数据通信 Ø IPC在上层有多种体现方式 • Intent/Messenger/AIDL
11. Android安全模型 • APK完整性 Ø Apk签名
12. Android安全模型 • SELinux Ø 内核级的强制访问控制 Ø 4.3开始引入Android Ø 保护系统关键资源
13. 3.程序安全
14. 程序安全 • 反编译 • 篡改 • 代码注入 • 加密算法 • http/https
15. 程序安全 • 加密算法 Ø 密钥的管理 Ø 分组填充模式 Ø IV的获取
16. 程序安全 • http/https Ø 裸奔的http,不安全 Ø https加密信道,安全性依赖于对证书的认证
17. 4.数据安全
18. 数据安全 • 敏感数据 Ø 本地数据库 Ø Shared_prefs Ø 网络数据传输 Ø Sdcard/ Ø Log Ø ……
19. 5.系统安全
20. 系统安全 • 系统环境安全 Ø 界面劫持 Ø 组件暴露 Ø 键盘记录
21. 系统安全 • 系统库安全 Ø WebView不合理导出 Ø targetSdkVersion<= 16、addJavascriptInterface Ø 运行js代码调用本地代码
22. 6.一款被篡改的apk
23. 恶意APP分析 工作原理 启动扣费sdk 下载加密的 提权文件 二次打包的APK 下载恶意母体dex 下载加密的工 恶意工具包 短信拦截 提权并篡改 / syst em目录
24. 恶意APP分析 篡改程序入口
25. 恶意APP分析 初始化支付
26. 恶意APP分析 下载病毒母体
27. 恶意APP分析 准备提权
28. 恶意APP分析 下载篡改系统工具包
29. 恶意APP分析 其它恶意行为
30. 7.APK保护措施
31. APK保护措施 • APK加壳与混淆 Ø APK加壳 u 代码加密、隐藏、反调试、反逆向分析等 Ø APK混淆 u 加大代码分析难度
32. APK保护措施 • APK完整性检验 Ø 静态完整性 u 验证证书、校验文件hash值等 Ø 动态完整性 u 反调试:ptrace、/proc/self/status、…… u 反内存dump u 反一键脱壳器 Ø 混淆 u 变量名混淆、字符串加密、垃圾指令、 指令替换、native扰乱控制流
33. APK保护措施 • 代码隐藏 Ø Manifest文件修改、资源加密、…… Ø DEX文件加壳,整体保护、类抽取 Ø 防反编译工具,修改文件头、修改debug字段数据指针、…… Ø SO保护 u llvm u 代码段加密 u 自定义so格式 u 伪造无效字段信息 u 非法指令
34. Q&A 龚沛华 连尚网络安全研究员 gongpeihua@wifi.com

相关幻灯片