安卓应用安全指南 4.8 输出到 LogCat
4.8 输出到 LogCat 原书：Android Application Secure Design/Secure Coding Guidebook 译者：飞龙 协议：CC BY-NC-SA 4.0 在 Android 中有一种名为 LogCat 的日志机制，不仅系统日志信息，还有应用日志信息也会输出到 LogCat。 LogCat 中的日志信息可以从同一设备中的其他应用中读出 [17]，因此向L ogcat 输出敏感信息的应用，被认为具有信息泄露的漏洞。 敏感信息不应输出到 LogCat。 [17] 输出到 LogCat 的日志信息，可以由声明READ_LOGS权限的应用读取。 但是，在 Android 4.1 及更高版本中，无法读取其他应用输出的日志信息。 但智能手机用户可以通过 ADB ，阅读输出到 logcat 的每个日志信息。 从安全角度来看，在发行版应用中，最好不要输出任何日志。 但是，即使在发行版应用的情况下，在某些情况下也会出于某种原因输出日志。 在本章中，我们将介绍一些方法，以安全的方式将消息输出到 LogCat，即使在发行版应用中也是如此。 除此解释外，请参考“4.8.3.1 发行版应用中日志输出的两种思路”。 4.8.1 示例代码 接下来是在发行版应用中，通过 ProGuard 控制输出到 LogCat 的日志的方法。 ProGuard 是自动删除不需要的代码（如未使用的方法等）的优化工具之一。 android.util.Log类有五种类型的日志输出方法：Log.e(), Log.w(), Log.i(), Log.d(), Log.v()。对于日志信息，有意输出的日志信息（以下称为“操作日志信息”）应该区分于不适合发行版应用的信息（以下称为开发日志信息），例如调试日志。建议使用Log.e()/w()/i()输出操作日志信息，并使用Log.d()/v()输出开发日志。正确使用五种日志输出方法的详细信息，请参阅“4.8.3.2 日志级别和日志输出方法的选择标准”，另外请参考“4.8.3.3 调试日志和VERBOSE日志并不总是自动删除”。 这是一个以安全方式使用 LogCat 的例子。此示例包括用于输出调试日志的Log.d()和Log.v()。如果应用用于发布，这两种方法将被自动删除。在此示例代码中，ProGuard 用于自动删除调用Log.d()/v()的代码块。 要点： 1) 敏感信息不能由Log.e()/w()/i()，System.out / err输出。 2) 敏感信息应由Log.d()/v()在需要时输出。 3) 不应使用Log.d()/v()的返回值（以替换或比较为目的）。 4) 当你构建应用来发布时，你应该在代码中引入机制，自动删除不合适的日志记录方法（如Log.d()或Log.v()）。 5) 必须使用发行版构建配置来创建用于（发布）发行的 APK 文件。 ProGuardActivity.java package org.jssec.android.log.proguard; import android.app.Activity; import android.os.Bundle; import android.util.Log; public class ProGuardActivity extends Activity { final static String LOG_TAG = "ProGuardActivity"; @Override public void onCreate(Bundle savedInstanceState) { super.onCreate(savedInstanceState); setContentView(R.layout.activity_proguard); // *** POINT 1 *** Sensitive information must not be output by Log.e()/w()/i(), System.out/err. Log.e(LOG_TAG, "Not sensitive information (ERROR)"); Log.w(LOG_TAG, "Not sensitive information (WARN)"); Log.i(LOG_TAG, "Not sensitive information (INFO)"); // *** POINT 2 *** Sensitive information should be output by Log.d()/v() in case of need. // *** POINT 3 *** The return value of Log.d()/v()should not be used (with the purpose of substitution or comparison). Log.d(LOG_TAG, "sensitive information (DEBUG)"); Log.v(LOG_TAG, "sensitive information (VERBOSE)"); } } proguard-project.txt # prevent from changing class name and method name etc. -dontobfuscate # *** POINT 4 *** In release build, the build configurations in which Log.d()/v() are deleted automatica lly should be constructed. -assumenosideeffects class android.util.Log { public static int d(...); public static int v(...); } 要点 5：必须使用发行版构建配置来创建用于（发布）发行的 APK 文件。 开发版应用（调试版本）和发行版应用（发布版本）之间的LogCat 输出差异如下图 4.8-2 所示。 4.8.2 规则书 输出消息记录时，遵循以下规则： 4.8.2.1 操作日志信息中不能包含敏感信息（必需） 输出到 LogCat 的日志可以从其他应用中读取，因此敏感信息（如用户的登录信息）不应该由发行版应用输出。 在开发过程中，不必编写输出敏感信息的代码，或者在发布之前需要删除所有这些代码。 为了遵循这个规则，首先，不要在操作日志信息中包含敏感信息。 此外，建议构建系统，在构建发行版时，删除输出敏感信息的代码。 请参阅“4.8.2.2 构建生成系统，在构建发行版时，自动删除输出开发日志信息的代码（推荐）”。 4.8.2.2 构建生成系统，在构建发行版时，自动删除输出开发日志信息的代码（推荐） 开发应用时，有时最好将敏感信息输出到日志中，来检查过程内容和调试，例如复杂逻辑过程中的临时操作结果，程序内部状态信息，通信协议的数据结构。在开发过程中，将敏感信息作为调试日志输出并不重要，在这种情况下，相应的日志输出代码应该在发布之前删除，如“4.8.2.1 操作日志信息中不能包含敏感信息（必需）”所述。 为了在构建发行版时，确实删除了输出开发日志信息的代码，应该构建系统，使用某些工具自动执行代码删除。 “4.8.1 示例代码”中介绍的 ProGuard 可以用于此方法。如下所述，用 ProGuard 删除代码有一些值得注意的地方。这里应该将系统用于一些应用，它通过Log.d()/ v()输出开发日志信息，根据“4.8.3.2 日志级别和日志输出方法的选择标准”。 ProGuard 会自动删除不需要的代码，如未使用的方法。通过指定Log.d()/ v()作为-assumenosideeffects选项的参数，Log.d()，Log.v()`的调用被视为不必要的代码，并且这些代码将被删除。 -assumenosideeffects class android.util.Log { public static int d(...); public static int v(...); } 如果使用这个自动删除系统，请注意Log.d()，Log.v()代码在使用其返回值时不会被删除，因此不应该使用Log.d()，Log.v()的返回值。 例如，下一个代码中的Log.v()不会被删除。 int i = android.util.Log.v("tag", "message"); System.out.println(String.format("Log.v() returned %d. ", i)); //Use the returned value of Log.v() for examination 如果你想重复使用源代码，则应保持项目环境的一致性，包括 ProGuard 设置。 例如，预设Log.d()和Log.v()的源代码将被上面的 ProGuard 设置自动删除。 如果在未设置 ProGuard 的其他项目中使用此源代码，则不会删除Log.d()和Log.v()，因此可能会泄露敏感信息。 重用源代码时，应确保包括 ProGuard 设置在内的项目环境的一致性。 4.8.2.3 输出Throwable对象时，使用Log.d()/v()（推荐） 如“4.8.1 示例代码”和“4.8.3.2 日志级别和日志输出方法的选择标准”中所述，输出敏感信息不应通过Log.e()/w()/i()输出来记录。 另一方面，为了使开发者输出程序异常的细节来记录，当异常发生时，在某些情况下，堆栈踪迹通过Log.e(..., Throwable tr)/w(..., Throwable tr)/i(..., Throwable tr)输出到 LogCat。 但是，敏感信息有时可能包含在堆栈踪迹中，因为它显示程序的详细内部结构。 例如，当SQLiteException按原样输出时，会输出 SQL 语句的类型，因此可能会提供 SQL 注入攻击的线索。 因此，建议在输出Throwable对象时，仅使用Log.d()/v()方法。 4.8.2.4 仅仅将android.util.Log类的方法用于日志输出（推荐） 在开发过程中，你可以通过System.out / err输出日志，来验证应用的行为是否按预期工作。 当然，日志可以通过System.out / err的print()/ println()方法输出到 LogCat，但强烈建议仅使用android.util.Log类的方法，原因如下。 在输出日志时，一般根据信息的紧急程度，正确使用最合适的输出方法，并控制输出。 例如，使用严重错误，注意，简单应用的信息通知等类别。 然而，在这种情况下，在发布时需要输出的信息（操作日志信息），和可以包括敏感信息（开发日志信息）的信息，通过相同的方法输出。 所以，当删除输出敏感信息的代码时，可能会存在一些删除操作被忽略掉的危险。 除此之外，当使用android.util.Log和System.out / err进行日志输出时，与仅使用android.util.Log相比，需要考虑的因素会增加，因此可能会出现一些错误，比如 一些删除被忽略掉了。 为了减少上述错误发生的风险，建议仅使用android.util.Log类的方法。 4.8.3 高级话题 4.8.3.1 发布版应用中日志输出的两种思路 发布版应用中有两种思考日志输出的方式。一个是任何日志都不应该输出，另一个是用于以后分析的必要信息应该作为日志输出。从安全角度来看，最好是，任何日志都不应该在发行版应用中输出，但有时候，即使在发行版本应用中，出于各种原因也会输出日志。每种思考方式按照以下描述。 前者是“任何日志都不应该输出”，这是因为，在发行版应用中输出日志没有那么重要，并且存在泄露敏感信息的风险。这是因为开发人员没有办法在 Android 应用运行环境中收集发行版应用的日志信息，这与许多 Web 应用的运行环境不同。基于这种思想，日志代码仅用于开发阶段，并且在构建发行版应用时删除所有日志代码。 后者是“必要的信息应作为日志输出，以供日后分析”，作为客户支持中，分析应用错误的最终选项，以防你的客户支持有任何疑问。 基于这个想法，如上所述，有必要准备系统来防止人为错误并将其引入到项目中，因为如果你没有系统，则必须记住避免在发行版应用中记录敏感信息。 更多日志方法的信息，请参考下面的链接： 适用于贡献者/日志的代码风格指南 http://source.android.com/source/code-style.html#log-sparingly 4.8.3.2 日志级别和日志输出方法的选择标准 在 Android 中的android.util.Log类中定义了五个日志级别（ERROR，WARN，INFO，DEBUG，VERBOSE）。 使用android.util.Log类输出日志消息时，应该选择最合适的方法，如表 4.8-1 所示，它展示了日志级别和方法的选择标准。 表 4.8-1 日志级别和方法的选择标准 日志级别 方法 要输出的日志信息 ERROR Log.e() 应用处于错误状态时，输出的日志信息 WARN Log.w() 应用面临非预期严重情况时，输出的日志信息 INFO Log.i() 与上面不同，用于提示应用状态中任何值得注意的更改或者结果 DEBUG Log.d() 应用的内部状态信息，开发应用时，需要临时输出，用于分析特定 bug 的成因 VERBOSE Log.v() 不属于上面任何一个的日志信息。应用开发者以多种目的输出。例如，输出服务器通信信息来转储。 发行版应用的注意事项： e/w/i： 日志信息可能由用户参考，因此可以在开发版应用和发行版应用中输出。 因此，敏感信息不应该在这些级别输出。 d/v： 日志信息仅适用于应用开发人员。 因此，这种类型的信息不应该在发行版的情况下输出。 更多日志方法的信息，请参考下面的链接： 适用于贡献者/日志的代码风格指南 http://source.android.com/source/code-style.html#log-sparingly 4.8.3.3 DEBUG和VERBOSE日志并不总是自动删除 以下引用自android.util.Log类 [18] 的开发人员参考。 [18] ttp://developer.android.com/reference/android/util/Log.html 按照啰嗦程度的顺序排列，从最少到最多是ERROR，WARN，INFO，DEBUG，VERBOSE。 除了在开发期间，绝不应该将VERBOSE编译进应用。 DEBUG日志被编译但在运行时剥离。 始终保留ERROR，WARN，INFO日志。 在阅读了上述文章之后，一些开发人员可能会误解Log类的行为，如下所示。 构建发行版时不编译Log.v()调用，VERBOSE日志从不输出。 编译Log.v()调用，但执行时绝不输出DEBUG日志。 但是，日志记录方法从来不会表现成这样，并且无论使用调试模式还是发布模式编译，都会输出所有消息。 如果仔细阅读文档，你将能够认识到，文档的要点与日志方法的行为无关，而是日志的基本策略。 在本章中，我们通过使用 ProGuard 引入了示例代码以获得上述的预期结果。 4.8.3.4 从汇编中移除敏感信息 如果为了删除Log.d()方法而使用 ProGuard 构建以下代码，有必要记住，ProGuard会保留为日志信息构造字符串的语句（代码的第一行），即使它删除了 Log.d()方法的调用（代码的第二行）。 String debug_info = String.format("%s:%s", "Sensitive information1", "Sensitive information2"); if (BuildConfig.DEBUG) android.util.Log.d(TAG, debug_info); 以下反汇编显示了使用 ProGuard 发布上述代码的结果。 实际上，没有Log.d()调用过程，但你可以看到字符串一致性定义，例如Sensitive information1，和String#format()方法的调用过程，不会被删除并仍然存在。 const-string v1, "%s:%s" const/4 v2, 0x2 new-array v2, v2, [Ljava/lang/Object; const/4 v3, 0x0 const-string v4, "Sensitive information 1" aput-object v4, v2, v3 const/4 v3, 0x1 const-string v4, "Sensitive information 2" aput-object v4, v2, v3 invoke-static {v1, v2}, Ljava/lang/String;->format(Ljava/lang/String;[Ljava/lang/Object;)Ljava/lang /String; move-result-object v0 实际上，找到反汇编 APK 文件的组装日志输出信息特定部分并不容易。 但是，在某些处理机密信息的应用中，这种类型的过程在某些情况下不应保留在 APK 文件中。 你应该像下面那样实现你的应用，来避免在字节码中保留敏感信息的后果。 在发行版中，编译器优化将完全删除以下代码。 if (BuildConfig.DEBUG) { String debug_info = String.format("%s:%s", " Snsitive information 1", "Sensitive information 2"); if (BuildConfig.DEBUG) android.util.Log.d(TAG, debug_info); } 此外，ProGuard 无法删除以下日志消息代码("result:" + value)。 Log.d(TAG, "result:" + value); 在这种情况下，你可以通过以下方式解决问题。 if (BuildConfig.DEBUG) Log.d(TAG, "result:" + value); 4.8.3.5 意图的内容输出到了 LogCat 使用活动时，需要注意，因为ActivityManager将意图的内容输出到 LogCat。 请参阅“4.1.3.5 使用活动时的日志输出”。 4.8.3.6 限制输出到System.out / err的日志 System.out / err方法将所有消息输出到 LogCat。 即使开发者没有在他们的代码中使用这些方法，Android 也可以向System.out / err发送一些消息，例如，在以下情况下，Android 会将堆栈踪迹发送到System.err方法。 使用Exception＃printStackTrace()时 隐式输出到System.err时（当异常没有被应用捕获时，它会由系统提供给Exception#printStackTrace()。） 你应该适当地处理错误和异常，因为堆栈踪迹包含应用的独特信息。 我们介绍一种改变System.out / err默认输出目标的方法。 当你构建发行版应用时，以下代码将System.out / err方法的输出重定向到任何地方。 但是，你应该考虑此重定向是否会导致应用或系统故障，因为代码会暂时覆盖System.out / err方法的默认行为。 此外，这种重定向仅对你的应用有效，对系统进程毫无价值。 OutputRedirectApplication.java package org.jssec.android.log.outputredirection; import java.io.IOException; import java.io.OutputStream; import java.io.PrintStream; import android.app.Application; public class OutputRedirectApplication extends Application { // PrintStream which is not output anywhere private final PrintStream emptyStream = new PrintStream(new OutputStream() { public void write(int oneByte) throws IOException { // do nothing } }); @Override public void onCreate() { // Redirect System.out/err to PrintStream which doesn't output anywhere, when release build. // Save original stream of System.out/err PrintStream savedOut = System.out; PrintStream savedErr = System.err; // Once, redirect System.out/err to PrintStream which doesn't output anywhere System.setOut(emptyStream); System.setErr(emptyStream); // Restore the original stream only when debugging. (In release build, the following 1 line is deleted byProGuard.) resetStreams(savedOut, savedErr); } // All of the following methods are deleted byProGuard when release. private void resetStreams(PrintStream savedOut, PrintStream savedErr) { System.setOut(savedOut); System.setErr(savedErr); } } AndroidManifest.xml <manifest xmlns:android="http://schemas.android.com/apk/res/android" package="org.jssec.android.log.outputredirection" > <application android:icon="@drawable/ic_launcher" android:label="@string/app_name" android:name=".OutputRedirectApplication" android:allowBackup="false" > <activity android:name=".LogActivity" android:label="@string/app_name" android:exported="true" > <intent-filter> <action android:name="android.intent.action.MAIN" /> <category android:name="android.intent.category.LAUNCHER" /> </intent-filter> </activity> </application> </manifest> proguard-project.txt # Prevent from changing class name and method name, etc -dontobfuscate # In release build, delete call from Log.d()/v() automatically. -assumenosideeffects class android.util.Log { public static int d(...); public static int v(...); } # In release build, delete resetStreams() automatically. -assumenosideeffects class org.jssec.android.log.outputredirection.OutputRedirectApplication { private void resetStreams(...); } 开发版应用（调试版）和发布版应用（发行版）之间的 LogCat 输出差异如下图 4.8-3 所示。
