[转]Android 常见安全漏洞修复理论与实践

前言

前段时间公司对应用在爱加密上进行了安全扫描，本文将基于爱加密的漏洞分析报告，针对部分内容，介绍理论修复实践

最小化特权准则概念介绍

最小化特权准则，即指组件只能供自身应用调用，尽可能禁止其他应用访问及调用。

违反最小化特权的危害

若组件违反最小化特权准则，则会带来如下危害：

攻击者恶意调用应用的 Activity, 修改程序的状态或关键数据。举个例子，如果您的应用的应用需要人脸认证才可以登录，一般需要保存一个人脸认证状态，如果攻击者修改了人脸状态，改为已认证通过，则可以直接进入应用主页。
通过调用 Activity 内部的方法，可获取私密数据，甚至造成拒绝服务和应用崩溃。例如，如果您的登录 Activity 违反了最小化特权准则，攻击装者可通过反射，来调用您的 Activity 有一个私有方法，用来获取账号和密码。

解决方案

设置 Activity 组件 android:exported = false
必须 exported 的 Activity 组件必须仅限于授权用户或者特定组件调用
谨慎使用 intent-filter 属性，若必须使用，则需强制设置 android:exported = false

这里涉及几个概念，简要介绍一下：

1. android:exported

适用于 Android 四大组件，其作用是控制其他应用程序是否可以与当前组件交互。其中 true 为可以与之交互。若设置为 false ，意味着对于 Service 组件，只有相同应用程序的组件或相同用户 ID 的程序才能启动或绑定该服务。值得注意的是，如果该组件在 AndroidManifest 中声明了 intent-filter , 该组件的 exported 属性将自动设置为 true。若没有声明，则默认为 false.

2. 用户 ID (UID)

对于 Android 应用，每个应用程序都有一个 UID, 默认情况下，Android 系统会为每一个分配一个互不相同的 UID. 如果两个应用的 UID 不同，则不能相互调用。若希望相互调用，可进行如下操作：

设置 android:sharedUserId 属性，该属性的作用是将一个或多个应用程序共享同一个 UID。具体代码如下所示：
两个应用需使用相同的签名文件进行签名

// 应用一<manifest xmlns:android="http://schemas.android.com/apk/res/android"package="test.anna.hello"android:sharedUserId="anna.uid">

// 应用二<manifest xmlns:android="http://schemas.android.com/apk/res/android"package="test.anna.hello2"android:sharedUserId="anna.uid">

3. 自定义安全权限

该标签用于在 AndroidManifest 中声明一个安全权限，可用于此应用程序的特定组件或功能的访问。例如一个发送广播的业务，APK1 用于接收广播，APK2 用于发送广播，APK1 此时仅想接收声明了对应权限的应用发送的广播。此时需要在 APK1 通过定义安全权限, 在 APK2 通过申请 APK1 定义的安全权限即可。定义格式如下：

<permissionandroid:description="string resource"android:icon="drawable resource"android:label="string resource"android:name="string"android:permissionGroup="string"android:protectionLevel=["normal" | "dangerous" |"signature" | "signatureOrSystem"] />

android:description 用于描述该权限所针对的操作及用户授予这个权限的后果
android:label 用于描述该权限
android:name 用于唯一标识权限
android:permissionGroup 用于标识该权限所属权限组的名称
android:protectionLevel 用于标识该权限的等级，可控制权限的授予方式，normal 表示声明后自动获取，signature 表示定义权限的 APK 和声明权限的 APK 必须使用同一签名文件，才可获取权限。

Activity 最小化特权漏洞修复

案例详解 1

在本例中，IncomingDialog 为会议振铃和外呼界面。由于 IncomingDialog 设置了标签导致了android:exported = true, 因此，强制设置 exported 为 false 即可修改前：

<activityandroid:name="cn.redcdn.incoming.IncomingDialog"android:process=":JMeetingService"android:screenOrientation="portrait"android:configChanges="orientation|screenSize|keyboardHidden"android:theme="@android:style/Theme.NoTitleBar.Fullscreen"><intent-filter><action android:name="cn.redcdn.jmeetingsdk.start.incomingactivity" /><category android:name="android.intent.category.DEFAULT" /></intent-filter></activity>

修改后：

<activityandroid:name="cn.redcdn.incoming.IncomingDialog"android:process=":JMeetingService"android:screenOrientation="portrait"android:exported="false"android:configChanges="orientation|screenSize|keyboardHidden"android:theme="@android:style/Theme.NoTitleBar.Fullscreen"><intent-filter><action android:name="cn.redcdn.jmeetingsdk.start.incomingactivity" /><category android:name="android.intent.category.DEFAULT" /></intent-filter></activity>

这里简要介绍一下 android:enabled 属性，该属性适用于四大组件，控制该组件是否可以被系统初始化，默认为 true, 如果设置为 false, 对应控件无法初始化，例如无法启动服务。值得注意的是，标签中也会可以声明该属性，而且该 enabled 与组件声明都为 true 的情况下组件才可被初始化。修改点同样是将 exported 改为 false

数据越权备份风险

概念

应用数据备份

Android 2.1 系统可为 APP 提供数据的备份与恢复功能，可在 AndroidManifest 标签下声明 android:allowBackup, 属性决定是否禁用该功能，其中 false 标识禁用。值得注意的是该属性默认为 true

违反数据越权备份的危害

攻击者可利用此漏洞攻击任何可以打开 USB 调试的应用非 root 设备。

通过 adb backup 命令，将制定应用的数据拷贝到外设。一旦该应用数据被备份后，所有的用户在这个应用的SharedPreferences 和 DB都可被攻击者读取。
通过 adb restore 命令，可指定某个备份数据，恢复应用的数据

虽然可以对备份后的文件（.ab）进行加密，但是仍有许多工具工具可对其解密，例如: android-backup-extractor, 下面将简单介绍一下 adb backup 的用法

adb backup

adb backup [-system|-nosystem] -all [-apk|-noapk] [-shared|-noshared] -f <档案名称> [需要备份的应用包名]

例如想备份包名为emergency.cicdi.com的数据，可以输入如下代码：

adb backup -nosystem -noapk -f emergency.ab emergency.cicdi.com

该命令会在当前目录下生成名为 emergency.ab 的备份文件。通过 android-backup-extractor ，可得到对应应用的SharedPreferences 和 DB文件

解决方案

将 app module 下的 AndroidManifest.xml 中设置 android:allowBackup="false" 即可，但是这么处理是不够的，会遇到一个问题，由于我们的项目集成了多个依赖，比如扫码二维码的库，和 IM Library, 依赖中 AndroidManifest 都默认设置 android:allowBackup="true" ，会导致编译时不同 module 合并 AndroidManifest 文件会产生冲突。需要解决冲突，即统一该属性的取值。但是有些 library 是远程依赖，本地项目并不可以编辑代码，而且一个一个修改未免效率较低，因此需要在 app module 下的 AndroidManifest.xml 中声明


<application...tools:replace=" android:icon,theme,allowBackup" >...

这行代码标识 Manifest 合并规则，意味着当合并 library 中的 Manifest 文件到主 App Manifest时，不考虑 library Manifest 中的 allowBackup 取值，以 app 中的 Manifest 为准进行合并。

最后

如果你看到了这里，觉得文章写得不错就给个赞呗？如果你觉得那里值得改进的，请给我留言。一定会认真查询，修正不足。谢谢。

最后针对Android程序员，除了上面的知识体系，我这边给大家整理了一些资料，其中分享内容包括不限于高级UI、性能优化、移动架构师、NDK、混合式开发（ReactNative+Weex）微信小程序、Flutter等全方面的Android进阶实践技术；希望能帮助到大家，也节省大家在网上搜索资料的时间来学习，也可以分享动态给身边好友一起学习！关注我的主页个人说明有惊喜哦~

---------------------
作者：whale_kyle
来源：CSDN
原文：https://blog.csdn.net/whale_kyle/article/details/92428743
版权声明：本文为作者原创文章，转载请附上博文链接！
内容解析By：CSDN,CNBLOG博客文章一键转载插件