【技术分享】使用CTS进行漏洞检测及原理浅析-低调大师

【技术分享】使用CTS进行漏洞检测及原理浅析

2017-07-31 577

团队介绍

360 Vulpecker团队隶属360信息安全部，致力于Android应用和系统层漏洞挖掘以及其他Android方面的安全研究。我们通过对CTS框架的研究，编写了一个关于漏洞检测方面的文档,以下为文章的全文。

CTS 全称 Compatibility Test Suite（兼容性测试）,Google开发CTS框架的意义在于让各类Android设备厂商能够开发出兼容性更好的设备。其中有一些模块的关于手机安全方面的检测,本文以此为主题,进行了漏洞检测方面的研究。包括如何下载编译,以及分析了其中的security模块是如何调度使用的。

1. CTS运行流程

1.1 下载编译Android CTS源码

通过git clone https://android.googlesource.com/platform/cts -b xxxxxxx 可以下载cts并且进行编译,或者可以下载完整的Android 源码进行编译，编译好源码之后再编译CTS,命令是make cts；在/home/venscor/AndroidSource/least/out/host/linux-x86/cts下生成关于CTS的几个文件，其中cts-tradefed可以启动CTS测试程序。

1.2 CTS 运行环境

Android官网上对CTS运行环境要求严格，但是我们目前关注的是测试安全模块，所以只要基本的测试环境就可以了。例如打开adb，允许adb安装apk，不设置锁屏等。

1.3 CTS运行流程

在源码中可以看到,cts-tradefed实际上是个脚本文件。首先做些环境检查，满足运行环境后，去android-cts/tool/目录下加载对应的jar文件，从android-cts/lib加载所有的需要库文件。最后，加载android-cts/testcase/目录下的所有jar文件，然后执行。

CTS console功能的实现在CompatibilityConsole类中，也是程序的加载点

1.4 启动脚本进入CTS测试程序的console

CTS测试套件由很多plans组成，plans又可以由很多subplan和modules组成，我们只关心和CTS和安全相关的的东西，即和安全相关的modules。其中和安全相关的测试模块有4个：

CtsAppSecurityHostTestCases

CtsJdwpSecurityHostTestCases

CtsSecurityHostTestCases

CtsSecurityTestCases

其中，CtsAppSecurityHostTestCases、CtsJdwpSecurityHostTestCases不包含CVE，其实是一些App层安全检测和安全策略检测，我们可以先跳过这两个模块着重分析CtsSecurityHostTestCases和CtsSecurityTestCases。

2. CTS中的安全模块

2.1 CtsSecurityHostTestCases模块

CtsSecurityHostTestCases模块对应的源码路径在：./hostsidetests/security。即在cts console中通过输入run cts --module CtsSecurityHostTestCasess加载起来的。

CtsSecurityHostTestCases主要测试Linux内核和各类驱动的漏洞，都是以C/C++实现的漏洞检测PoC。

2.1.1 测试流程

可以通过run cts --module CtsSecurityHostTestCases来测试整个模块，也可以通过run cts --module CtsSecurityHostTestCases –test 来测试具体的方法。例如要测试CVE_2016_8451，可以通过--test android.security.cts.Poc16_12#testPocCVE_2016_8451来进行。

下面我们通过一个例子看具体的测试流程，以对CVE_2016_8460的检测为例，来具体分析下测试过程。在CTS下，运行run cts --module CtsSecurityHostTestCases --test android.security.cts.Poc16_12#testPocCVE_2016_8460。程序将运行到CtsSecurityHostTestCases模块下的testPocCVE_2016_8460()函数。

其实这个测试过程，就是将CtsSecurityHostTestCases模块下对应的可执行文件CVE_2016_8460 push到手机的sdcard，然后执行此可执行文件，即执行poc检测程序。

2.1.2 结果管理

CTS测试完成后，会生成可视化的结果，结果存在cts/android-cts/results目录下，分别有xml格式和.zip打包格式。所以对安全模块的结果管理也是一样的。

结果页面里面只有两种结果，一是pass，表示测试通过，说明不存在漏洞。二是fail，出现这种结果，可能原因有两种，一是测试环境有问题，二是存在漏洞，可以看报告边上的详细显示。

2.1.3 添加与剥离testcase

按照CtsSecurityHostTestCases模块的测试原理，添加新的测试case时，完全可以剥离CTS的测试框架，直接使用C/C+编写测试代码，编译完成后添加到/data/local/tmp目录然后修改执行权限，执行即可。

对于CtsSecurityHostTestCases模块中现有的对漏洞的检测代码，也可以直接为我们所用。我们可以下载CTS的源码查看漏洞检测PoC的代码，可以自己编译也可以直接使用CTS编译好的可执行文件来检测对应的漏洞。

2.2 CtsSecurityTestCases模块

CtsSecurityTestCases模块基于动态检测，采用的是触发漏洞来检测的方式，使用Java或者JNI来触发漏洞，直到数据被传递到底层漏洞位置。这个模块所在源码的路径是.test/test/security。

2.2.1 测试流程

测试流程和CtsSecurityHostTestCases模块一致，其实这也是CTS框架的测试流程。测试整个模块采用run cts --module的方式，而使用测试模块里面具体的方法来执行测试时。使用run cts --module <module> --test <package.class>的方式。

以下以检测cve_2016_3755为例说明此模块运行过程。

首先，在CTS框架中输入run cts --module CtsSecurityTestCases --test android.security.cts. StagefrightTest#testStagefright_cve_2016_3755。

然后，CTS框架会找到testStagefright_cve_2016_3755()方法并执行测试。

2.2.2 结果管理

CtsSecurityTestCases模块也受CTS统一的结果管理。所以上面CtsSecurityHostTestCases模块一样。测试结果出现在xml文件中，pass表示成功不存在漏洞，fail给出失败原因。

对测试结果的监控都是通过assertXXX()方法来进行的，通过测试过程中的行为来确定漏洞情况。例如：

2.2.3添加与剥离testcase

添加case：在这模式下添加case，需要知道知道怎么触发漏洞。CtsSecurityTestCases模块应该是基于Android上的JUnit测试程序的，所以要知道应该可以按照编写JUnit的方式添加测试的代码，然后重新build。其实，编写测试代码时候如果可以脱离CTS的源码依赖或者可以引用CTS的jar，应该可以直接脱离CTS架构。

剥离case：和添加一个道理，需要让提取的代码脱离依赖可执行。

3. 总结

在Android手机碎片化严重的今天，各个手机厂商的代码质量也是良莠不齐。所以Android手机的安全生存在较为复杂的生态环境，因此Android手机方面的漏洞检测是十分必要的。本文对谷歌官方开源的CTS框架进行了调研，对Android手机的漏洞检测方面进行了研究。希望能抛砖引玉，对Anroid安全研究能带来更多的帮助。

作者：360 Vulpecker Team

来源：51CTO

微信关注我们

原文链接：https://yq.aliyun.com/articles/180140

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Android勒索软件变种出新花样：具备语音识别功能

根据安全研究机构赛门铁克发布的最新公告显示，Android勒索软件变种出现了语音识别方式，最新Android.Lockdroid.E变体具备语音识别功能，通过使用语音识别来代替文本输入解锁码。新变种工作机制该恶意软件使用语音识别API，要求受害者通过语音，而非传统的键盘输入方式提供解锁码。当设备被感染后，Android.Lockdroid.E使用SYSTEM类型窗口锁定设备，随后在锁屏中显示勒索信息，提供解锁的指示。此外，攻击者还会提供可联系的QQ即时通讯ID，使受害者接收有关支付赎金和接收解锁码的进一步指示。由于当前设备已被攻击者锁定，用户需使用另一台设备与攻击者进行联系。该恶意软件使用第三方语音识别API，将受害者所说的语音与预期密码进行比较。如果输入信息匹配，恶意软件便会解锁屏幕。在一些情况下，恶意软件还会对需要识别的语音进行标准化，以弥补自动语音识别器自身的轻微误差。该恶意软件将锁屏图片和相关密码存放在一个包含额外填充内容的编码“资产”文件夹中。值得注意的是，该恶意软件会对每台遭感染的设备使用不同的密码。使用语音识别方法要求受害者通过另一台设备与攻击者进行联系，因此...

2017-08-01

607

11月，研究人员发现一款定制固件被植入后门，近7亿手机被用来收集用户信息。如今，检查感染情况的安全公司Trustlook发现收集的数据包括IMEI、IMSI、MAC地址、版本号和运营商。具体而言，上个月的一份报告显示，由装有上海某信息技术股份有限公司定制固件的Android手机被后门感染，收集用户收据并提交至中国的服务器。 Trustlook表示，受影响手机制造商有43家，包括联发科技(Mediatek)、BLU、中兴和联想。此外，Trustlook称，被感染系统还收集短信和通话记录，并在未经用户许可的情况下传输至中国，且在后台运行。每隔72小时上传一次数据这个应用程序预装在所有自制固件设备上，专门用来收集设备和用户活动信息，并定期上传至中国的服务器。 Trustlook数据收集始于2016年7月，被发现之前持续超过6个月。 Trustlook解释称，“人们习惯性地认为新手机干净、不包含恶意软件，但事实并非总是如此。一些智能手机厂商选择使用第三方移动终端空中下载软件升级技术(Firmware Over-The-Air，FOTA)服务，而非谷歌，这可能带来严重的安全隐患。上海某公...

2017-08-01

654

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。