我也是这样想的，而且也这样做了：



但是安装失败。。。好像还差点什么。。。

[QUOTE=ZhWeir;1196789]我也是这样想的，而且也这样做了：



但是安装失败。。。好像还差点什么。。。[/QUOTE]

先签名，后加修改后的dex，看到你签名部分多出一个。

oh，犯低级错误了。。。

还是不行。。。

凌晨还在研究，佩服
作者还是考虑到这一点了

    void initEntries(Map<String, Attributes> entries,
            Map<String, Manifest.Chunk> chunks) throws IOException {

        int mark = pos;
        while (readHeader()) {
            if (!Attributes.Name.NAME.equals(name)) {
                throw new IOException("Entry is not named");
            }
            String entryNameValue = value;

            Attributes entry = entries.get(entryNameValue);
            if (entry == null) {
                entry = new Attributes(12);
            }

            while (readHeader()) {
                entry.put(name, value);
            }

            if (chunks != null) {
                if (chunks.get(entryNameValue) != null) {
                    // TODO A bug: there might be several verification chunks for
                    // the same name. I believe they should be used to update
                    // signature in order of appearance; there are two ways to fix
                    // this: either use a list of chunks, or decide on used
                    // signature algorithm in advance and reread the chunks while
                    // updating the signature; for now a defensive error is thrown
                    throw new IOException("A jar verifier does not support more than one entry with the same name");
                }
                chunks.put(entryNameValue, new Manifest.Chunk(mark, pos));
                mark = pos;
            }

            entries.put(entryNameValue, entry);
        }
    }

该漏洞已经被确认，属于ZipFile function漏洞
CyanogenMod 开发者已经修补该漏洞
原代码：
for (int i = 0; i < numEntries; ++i) {
    ZipEntry newEntry = new ZipEntry(hdrBuf, bin);
    mEntries.put(newEntry.getName(), newEntry);
}

修补后：
for (int i = 0; i < numEntries; ++i) {
    ZipEntry newEntry = new ZipEntry(hdrBuf, bin);
    String entryName = newEntry.getName();
    if (mEntries.put(entryName, newEntry) != null) {
        throw new ZipException("Duplicate entry name: " + entryName);
    }
}

具体漏洞如何复现就不写了呵呵

Great！现在就坐等poc了

https://gist.github.com/poliva/36b0795ab79ad6f14fd8

不知道这个是不是就是bluebox发现的漏洞，看来只能等blackhat上bluebox公布了

Claud发的PoC链接是的

网上这个PoC有问题，对于复杂应用不能成功。我直接拿网易新闻试验，结果大家都说可以，我却不行。事实上只需要两个classes.dex，其他不需要两份。

一会儿我再发个贴吧。如果来得及的话。