CN110865824A - 一种基于无障碍服务实现缄默安装的安卓渗透方法和装置 - Google Patents

Abstract

本发明实施例提供一种基于无障碍服务实现缄默安装的安卓渗透方法和装置，所述方法包括：采用安卓反编译技术，向第一目标应用程序添加载荷程序并添加渗透权限，得到第二目标应用程序。采用无障碍服务技术实现所述第二目标应用程序的缄默安装。本发明实施例使得终端在没有root的情况下能够进行缄默渗透测试，无需用户交互。本发明实施例还能够提高渗透会话的稳定性。

Description

一种基于无障碍服务实现缄默安装的安卓渗透方法和装置

技术领域

本发明涉及计算机技术领域，尤其涉及一种基于无障碍服务实现缄默安装的安卓渗透方法和装置。

背景技术

目前缄默安装的主流是系统层级修改安装源码技术，此技术分两步，首先是找到安卓系统中的Package Installer源码，跳过权限授予提醒，直接调用后面的安装API即可完成第一步的工作。第二步则使用pm install命令进行安装，绕过Package Installer中的权限授予提示，即可完成静默安装的效果。

但是由于是系统API，最直观的还是需要声明安装应用的权限：android.permission.INSTALL_PACKAGES。这类比较敏感的权限不是说声明系统就会给予的，还需要我们的安装包APK文件拥有与系统相同的签名，才能完成静默安装操作。因此这个方式的静默安装，对于广泛的推广应用是不现实的。

还有一种是“允许终端授权应用程序的静默安装”技术，当检测到来自终端授权应用程序(例如手机应用市场类软件)发起的静默安装请求时，会直接放行，方便手机端应用市场软件的更新和安装。当检测到来自手机端其他任何软件、任何未知来源软件和来自PC端工具的静默安装行为时，将会作出询问提示，说明安装来源和被安装的软件名称，用户可选择允许或拒绝本次静默安装，处理结果会被保存在静默安装监控日志中方便用户查看。其中，监控日志的数据保存在本地，通过一个日志界面呈现给用户，显示具体的:静默安装来源、静默安装对象、静默安装行为发生的时间、静默安装结果等信息。

第二种方案根据所述应用程序匹配预先设置的静默安装规则，根据匹配结果对所述应用程序的静默安装执行放行、询问提示或者禁止的处理方式，在一定程度上还是存在与用户的交互内容，并不是绝对意义上的“静默”。而且进程间通讯的复杂度要大于线程间通讯，当然AIDL和Broadcast都可以解决这个问题，但是遇到多项安装请求时会发现基于Binder的这两种实现方式也会遇到问题。

发明内容

为了解决上述技术问题，本发明实施例提供一种基于无障碍服务实现缄默安装的安卓渗透方法和装置，使得终端在没有root的情况下能够进行缄默渗透测试，无需用户交互。

本发明实施例提供一种基于无障碍服务实现缄默安装的安卓渗透方法，包括：

采用安卓反编译技术，向第一目标应用程序添加载荷程序并添加渗透权限，得到第二目标应用程序。

采用无障碍服务技术实现所述第二目标应用程序的缄默安装。

进一步地，所述基于无障碍服务实现缄默安装的安卓渗透方法，还包括：覆写Metasploit的反向TCP连接会话，具体的，

通过添加计时管理器，使所述第二目标应用程序的缄默安装定时执行，并使所述第二目标应用程序中的渗透载荷进入销毁操作程序；

重写服务类中的销毁操作程序，通过断开并重新建立的事件定义，实现所述第二目标应用程序的缄默安装销毁时自启功能；

基于shell脚本，根据所述销毁时自启功能，以设定的时间间隔重启所述第二目标应用程序。

进一步地，所述采用无障碍服务技术实现所述第二目标应用程序的缄默安装，包括：

通过无障碍管理服务配置，声明无障碍服务权限；

通过无障碍服务Info配置，监听所述第二应用程序的包名，获取交互界面的可控信息；

通过界面UI探索，在交互界面中查找设定的文本内容，并判断载有所述文本内容的控件是否为设定的控件，若是，执行模拟点击用户操作。

通过无障碍管理器中的传递，向智能终端发送所述第二应用程序安装请求，以使所述智能终端根据获取的控件文本内容实现缄默安装。

本发明实施例还提供一种基于无障碍服务实现缄默安装的安卓渗透装置，包括：

反编译模块，用于采用安卓反编译技术，向第一目标应用程序添加载荷程序并添加渗透权限，得到第二目标应用程序；

无障碍服务模块，用于采用无障碍服务技术实现所述第二目标应用程序的缄默安装。

进一步地，所述基于无障碍服务实现缄默安装的安卓渗透装置，还包括：用于覆写Metasploit的反向TCP连接会话的稳定性提升模块，具体的，

所述稳定性提升模块，用于通过添加计时管理器，使所述第二目标应用程序的缄默安装定时执行，并使所述第二目标应用程序中的渗透载荷进入销毁操作程序；

所述稳定性提升模块，还用于重写服务类中的销毁操作程序，通过断开并重新建立的事件定义，实现所述第二目标应用程序的缄默安装销毁时自启功能；

所述稳定性提升模块，还用于基于shell脚本，根据所述销毁时自启功能，以设定的时间间隔重启所述第二目标应用程序。

进一步地，所述无障碍服务模块包括：

无障碍管理服务配置单元，用于声明无障碍服务权限；

无障碍服务Info配置单元，用于监听所述第二应用程序的包名，获取交互界面的可控信息；

界面UI探索单元，用于在交互界面中查找设定的文本内容，并判断载有所述文本内容的控件是否为设定的控件，若是，模拟点击用户操作。

无障碍管理器传递单元，用于向智能终端发送所述第二应用程序安装请求，以使所述智能终端根据获取的控件文本内容实现缄默安装。

本发明实施例通过采用安卓反编译技术，向第一目标应用程序添加载荷程序并添加渗透权限，得到第二目标应用程序；采用无障碍服务技术实现所述第二目标应用程序的缄默安装，从而使得终端在没有root的情况下完成缄默安装，无需用户参与交互。

附图说明

图1为本发明实施例提供的基于无障碍服务实现缄默安装的安卓渗透方法流程图；

图2为本发明实施例提供的无障碍服务设计架构示意图；

图3为本发明实施例提供的基于无障碍服务实现缄默安装的安卓渗透方法另一流程图；

图4为本发明另一实施例提供的基于无障碍服务实现缄默安装的安卓渗透方法流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

无障碍服务也称Android中的Hook技术。在Windows中，Hook的作用就是能够监听到一切想监听的内容，而Android中的无障碍服务也可以同样监听到需要的某些功能。基于Accessibility的缄默安装实施架构设计为无障碍管理服务配置、无障碍服务Info配置、界面UI的探索、AccessibilityManager(以下称无障碍管理器)中的传递四个阶段。

请参阅图1-图3，本发明实施例提供一种基于无障碍服务实现缄默安装的安卓渗透方法，包括：

S0、采用安卓反编译技术，向第一目标应用程序添加载荷程序并添加渗透权限，得到第二目标应用程序。

具体的，在smali文件中找到onCreat方法，并在bundle实例下面添加掌管启动的载荷代码，之后将载荷的metasploit文件夹移动到正常应用安装包反编译的smali文件夹下com目录中，接着回到xml文件中添加一些渗透所用的权限并进行回编译，最终生成带有病毒且能让绕开杀毒软件的应用程序。

S1、采用无障碍服务技术实现所述第二目标应用程序的缄默安装。

其中，所述采用无障碍服务技术实现所述第二目标应用程序的缄默安装，包括：

S11、通过无障碍管理服务配置，声明无障碍服务权限；

具体的，通过利用BIND方法声明无障碍辅助功能的权限，以终端系统能够绑定无障碍服务。其在intent-filter里的核心定义是：android:permission＝“android.permission.BIND_ACCESSIBILITY_SERVICE”。

此外，还可以过通过在meta-data里直接配置过滤，将冗余信息量降到最低。

S12、通过无障碍服务Info配置，监听所述第二应用程序的包名，获取交互界面的可控信息；

在本发明实施例中，通过监听第二应用程序的包名，并采用根节点查询或溯源追踪查询方法得到Info的节点对象实例，将所述对象实例作为此次发生事件的UI节点；然后重写无障碍服务类，构造监听移动智能终端界面变化进而触发回调函数，获取交互UI的可控信息。

S13、通过界面UI探索，在交互界面中查找设定的文本内容，并判断载有所述文本内容的控件是否为设定的控件，若是，执行模拟点击用户操作。在本发明实施例中，所述设定的文本内容为：“确定”、“安装”、“下一步”、“完成”。查找方法可以是精确查找，还可以是模糊查找。例如：当寻找“安装”文本，那么像“是否安装？”，系统标题“安装”这些文本都会找得到，但是接下来，还需判断载有这些文本内容的控件是否安装所需的控件，若是，则模拟用户点击“安装”钮来达成自动点击的效果。

S14、通过无障碍管理器中的传递，向智能终端发送所述第二应用程序安装请求，以使所述智能终端根据获取的控件文本内容实现缄默安装。

在本发明实施例中，首先在触发安装所述第二应用程序前，确定步骤S13在交互界面得到的控件是否存在，若存在，向智能终端发送所述第二应用程序安装请求；

在请求信息传递的过程中，对相应的服务对象进行检测的任务getServiceLocked()函数完成，其检测值如果为空就调用tryConnectToServiceLocked()方法。ServiceManger的功能是整个Accessibility体系中的核心，同样也在Android系统中它也占据着举足轻重的地位，它是在初始化进程启动之后紧跟着运行的，它用来管理Android系统比较常见的各种系统级别服务(InputMethodService和ActivityManagerService等也受它管辖)并向客户端提供查询相关服务的功能。获取服务对象以后无障碍管理器就会令系统接收辅助事件消息，然后利用消息包名来检测相关的无障碍服务。检测步骤之后无障碍事件监听器就立即开始接收该辅助事件。至此，无障碍服务体系运转开始步入循环阶段并实现了缄默安装的效果。

本发明实施例基于安卓原生的无障碍服务类的静默安装方法，通过只使用安卓系统开发原生类而不加入新的模块或单元，便能使终端在没有root情况下实现百分百的将应用程序静默安装，无需用户交互，还通过在应用程序中添加载荷程序和渗透权限，使得无需用户参与交互，便能实现对终端的渗透测试。

请参阅图4，在其中一种优选的实施例中，所述基于无障碍服务实现缄默安装的安卓渗透方法，还包括S2、覆写Metasploit的反向TCP连接会话，具体的，

S21、通过添加计时管理器，使所述第二目标应用程序的缄默安装定时执行，并使所述第二目标应用程序中的渗透载荷进入销毁操作程序。

具体的，启动Accessibility服务(无障碍服务)的位置，并重写IBinder类的onBind方法，并利用intent来进行触发。与此同时，需要重写onStartCommand方法，也是同样使用intent来进行触发，检测载荷启动并实时返回start_sticky的值。

需要说明的是由于，载荷断开服务如果不会结束，则就不会调用服务类中的销毁操作，服务也不会重新执行，因此，通过添加计时管理器，能够使所述第二目标应用程序的缄默安装定时执行，并使所述第二目标应用程序中的渗透载荷进入销毁操作程序，进而提高稳定性。

S22、重写服务类中的销毁操作程序，通过断开并重新建立的事件定义，实现所述第二目标应用程序的缄默安装销毁时自启功能。

具体的，重写服务类中的onDestroy方法实现服务销毁时自动重启功能，同时定位到Metasploit源码当中存有安卓攻击及利用模块的文件(即MainService.java包)并在MainService类中添加。

通过重写服务类中的销毁操作程序，断开并重新建立的事件定义，实现所述第二目标应用程序的缄默安装销毁时自启功能，能够实现载荷的可持续性连接，进一步提高稳定性。

S23、基于shell脚本，根据所述销毁时自启功能，以设定的时间间隔重启所述第二目标应用程序。

具体的，通过每隔20秒重新运行一次adroid.intent.action.MAIN，并将第二目标应用程序包文件里的MainActivity方法也紧重载一次，从而实现模拟用户每隔20秒重新启动所述第二目标应用程序。

在本发明实施例中，通过覆写Metasploit的反向TCP连接会话的启动和销毁方法，结合特定shell脚本能够大幅度提升稳定性。

同时，在Metasploit关于反向TCP连接会话源码中对于onStartCommand和onDestroy的修改并与shell脚本结合使用不仅是局限于稳定性的修改，还可以完成样式繁多的源码级渗透效果修改和其他方面的性能提升，实现成本低，效率高，后续可扩展性强。

本发明实施例还提供一种与上述任一种实施例一一对应的装置，包括：

反编译模块，用于采用安卓反编译技术，向第一目标应用程序添加载荷程序并添加渗透权限，得到第二目标应用程序。

无障碍服务模块，用于采用无障碍服务技术实现所述第二目标应用程序的缄默安装。

其中，所述无障碍服务模块包括：

无障碍管理服务配置单元，用于声明无障碍服务权限；

无障碍服务Info配置单元，用于监听所述第二应用程序的包名，获取交互界面的可控信息；

界面UI探索单元，用于在交互界面中查找设定的文本内容，并判断载有所述文本内容的控件是否为设定的控件，若是，模拟点击用户操作。

无障碍管理器传递单元，用于向智能终端发送所述第二应用程序安装请求，以使所述智能终端根据获取的控件文本内容实现缄默安装。

本发明实施例基于安卓原生的无障碍服务类的静默安装方法，通过只使用安卓系统开发原生类而不加入新的模块或单元，便能使终端在没有root情况下实现百分百的将应用程序静默安装，无需用户交互，还通过在应用程序中添加载荷程序和渗透权限，可以使得无需用户参与交互，便能实现对终端的渗透测试。

在其中一种优选的实施例中，所述基于无障碍服务实现缄默安装的安卓渗透装置，还包括：用于覆写Metasploit的反向TCP连接会话的稳定性提升模块，具体的，

稳定性提升模块，用于通过添加计时管理器，使所述第二目标应用程序的缄默安装定时执行，并使所述第二目标应用程序中的渗透载荷进入销毁操作程序；

所述稳定性提升模块，还用于重写服务类中的销毁操作程序，通过断开并重新建立的事件定义，实现所述第二目标应用程序的缄默安装销毁时自启功能；

所述稳定性提升模块，还用于基于shell脚本，根据所述销毁时自启功能，以设定的时间间隔重启所述第二目标应用程序。

在本发明实施例中，通过覆写Metasploit的反向TCP连接会话的启动和销毁方法，结合特定shell脚本能够大幅度提升会话连接的稳定性。

需要说明的是，本发明实施例的更具体的实现手段与相应的原理与本发明实施例一一对应的方法的相同，本发明在此不再阐述。

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也视为本发明的保护范围。

Claims (6)

1.一种基于无障碍服务实现缄默安装的安卓渗透方法，其特征在于，包括：

采用安卓反编译技术，向第一目标应用程序添加载荷程序并添加渗透权限，得到第二目标应用程序。

采用无障碍服务技术实现所述第二目标应用程序的缄默安装。

2.根据权利要去1所述的基于无障碍服务实现缄默安装的安卓渗透方法，其特征在于，还包括，覆写Metasploit的反向TCP连接会话，具体的，

通过添加计时管理器，使所述第二目标应用程序的缄默安装定时执行，并使所述第二目标应用程序中的渗透载荷进入销毁操作程序；

重写服务类中的销毁操作程序，通过断开并重新建立的事件定义，实现所述第二目标应用程序的缄默安装销毁时自启功能；

基于shell脚本，根据所述销毁时自启功能，以设定的时间间隔重启所述第二目标应用程序。

3.根据权利要求1或2所述的基于无障碍服务实现缄默安装的安卓渗透方法，其特征在于，所述采用无障碍服务技术实现所述第二目标应用程序的缄默安装，包括：

通过无障碍管理服务配置，声明无障碍服务权限；

通过无障碍服务Info配置，监听所述第二应用程序的包名，获取交互界面的可控信息；

通过界面UI探索，在交互界面中查找设定的文本内容，并判断载有所述文本内容的控件是否为设定的控件，若是，执行模拟点击用户操作。

通过无障碍管理器中的传递，向智能终端发送所述第二应用程序安装请求，以使所述智能终端根据获取的控件实现缄默安装。

4.一种基于无障碍服务实现缄默安装的安卓渗透装置，其特征在于，包括：

反编译模块，用于采用安卓反编译技术，向第一目标应用程序添加载荷程序并添加渗透权限，得到第二目标应用程序。

无障碍服务模块，用于采用无障碍服务技术实现所述第二目标应用程序的缄默安装。

5.根据权利要求4所述的基于无障碍服务实现缄默安装的安卓渗透装置，其特征在于，还包括：用于覆写Metasploit的反向TCP连接会话的稳定性提升模块，具体的，

所述稳定性提升模块，用于通过添加计时管理器，使所述第二目标应用程序的缄默安装定时执行，并使所述第二目标应用程序中的渗透载荷进入销毁操作程序；

所述稳定性提升模块，还用于重写服务类中的销毁操作程序，通过断开并重新建立的事件定义，实现所述第二目标应用程序的缄默安装销毁时自启功能；

所述稳定性提升模块，还用于基于shell脚本，根据所述销毁时自启功能，以设定的时间间隔重启所述第二目标应用程序。

6.根据权利要求4或5所述的基于无障碍服务实现缄默安装的安卓渗透装置，其特征在于，所述无障碍服务模块包括：

无障碍管理服务配置单元，用于声明无障碍服务权限；

无障碍服务Info配置单元，用于监听所述第二应用程序的包名，获取交互界面的可控信息；

界面UI探索单元，用于在交互界面中查找设定的文本内容，并判断载有所述文本内容的控件是否为设定的控件，若是，模拟点击用户操作。

无障碍管理器传递单元，用于向智能终端发送所述第二应用程序安装请求，以使所述智能终端根据获取的控件实现缄默安装。

Images