-
-
[原创]阿里EVIL_APK_3题解
-
2014-10-2 20:10
-
闲来无事，今天小弟小小研究了下ALICTF_evalapk_3。虽然题目较简单，但还是学到了些东西，作为学习笔记。仅供小菜玩耍，大大直接忽略即可。限于本菜水平，难免会有疏漏错误之处，还请各位批评指正。
-----------------------------------------------------------------------------------
初看题目，要求构造一个html触发Toast弹出flag。本菜既不懂html，更不会js。先不管这个，看下apk。
反编译apk，发现apk被加个壳。使用ida尝试脱壳，脱壳顺利，dump出了dex文件。具体脱壳流程可以参看：http://www.52pojie.cn/thread-293648-1-1.html 帖子，写得很好很详细，这里就不赘述了。
拿到dex文件反编译，发现dex文件很简单。入口MainActivity主要功能就是加载html文件，然后跳转到webViewActivity。webviewActivity实现了JavaScriptInterface，其中有一个showToast方法，这个方法就是题目要求触发的方法。
仅从解题来说，已经完成了，showToast方法里面给出了Toast内容: "祥龙！"
那如何构造html触发这个方法呢？其实懂js与java的读者一下就知道如何构造了。由于本菜不懂，经过查找资料，以为是利用webview的漏洞，构造html触发，经过各种尝试，未果。感觉和webview漏洞没什么关系。
顺着这个思路，搜索了js与java交互，找到答案。其实就是普通的js调用java方法。简单学习了下js如何调用java方法，关键是:在js中获得java类。addJavascriptInterface方法第二个参数给出了类的别名，供js使用。
再看smali，发现别名是通过"BQ1$*[w6G_"字符串经过ListViewAutoScrollHelpern.decrypt_native得到，解密方法放在了so文件中。到这里思路就很多了，一种是直接分析so算法；二是通过添加logcat smali或者自建一个apk调用so得到；三是将别名赋值一个新值，即自定义别名。当然还有其他思路，就不一一列举了，我这里采用第三种方法。
直接在原smali中添加如图红色区域所示代码：
构造如下html文件：
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
<script>
</script>
</head>
<body>
<a onClick="window.ThomasKing.showToast()">showToast</a><br/>
</body>
</html>
传入手机测试，弹出Toast。
当然，此题有很多其他解法，可以参看alictf2014 top3的writeup。我认为此题主要考选手脱壳吧。
----------
附件为比赛apk文件。
恭祝各位坛友国庆愉快！
-----------------------------------------------------------------------------------
初看题目，要求构造一个html触发Toast弹出flag。本菜既不懂html，更不会js。先不管这个，看下apk。
反编译apk，发现apk被加个壳。使用ida尝试脱壳，脱壳顺利，dump出了dex文件。具体脱壳流程可以参看：http://www.52pojie.cn/thread-293648-1-1.html 帖子，写得很好很详细，这里就不赘述了。
拿到dex文件反编译，发现dex文件很简单。入口MainActivity主要功能就是加载html文件，然后跳转到webViewActivity。webviewActivity实现了JavaScriptInterface，其中有一个showToast方法，这个方法就是题目要求触发的方法。
仅从解题来说，已经完成了，showToast方法里面给出了Toast内容: "祥龙！"
那如何构造html触发这个方法呢？其实懂js与java的读者一下就知道如何构造了。由于本菜不懂，经过查找资料，以为是利用webview的漏洞，构造html触发，经过各种尝试，未果。感觉和webview漏洞没什么关系。
顺着这个思路，搜索了js与java交互，找到答案。其实就是普通的js调用java方法。简单学习了下js如何调用java方法，关键是:在js中获得java类。addJavascriptInterface方法第二个参数给出了类的别名，供js使用。
再看smali，发现别名是通过"BQ1$*[w6G_"字符串经过ListViewAutoScrollHelpern.decrypt_native得到，解密方法放在了so文件中。到这里思路就很多了，一种是直接分析so算法；二是通过添加logcat smali或者自建一个apk调用so得到；三是将别名赋值一个新值，即自定义别名。当然还有其他思路，就不一一列举了，我这里采用第三种方法。
直接在原smali中添加如图红色区域所示代码：
构造如下html文件：
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
<script>
</script>
</head>
<body>
<a onClick="window.ThomasKing.showToast()">showToast</a><br/>
</body>
</html>
传入手机测试，弹出Toast。
当然，此题有很多其他解法，可以参看alictf2014 top3的writeup。我认为此题主要考选手脱壳吧。
----------
附件为比赛apk文件。
恭祝各位坛友国庆愉快！
阿里云助力开发者！2核2G 3M带宽不限流量！6.18限时价，开 发者可享99元/年，续费同价！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
赞一个！大佬一出手，就知有木有！
|
|
|
你俩别这样，我也是懂点皮毛，正好可以秀出一下
|
|
|
|
|
|
|
|
|
|
