アプリをエミュレートするアプリの登場とその危険性 / How multi-account app works

More Related Content

1.#DroidKaigi_room5アプリをエミュレートするアプリの登場とその危険性2018/02/09 DroidKaigi 2018エムスリー株式会社 星川貴樹 (@oboenikui)
2.#DroidKaigi_room5# 自己紹介## 名前星川貴樹 Takaki Hoshikawa## ニックネーム@oboenikui## 会社エムスリー株式会社（新卒１年目）主にAndroidアプリ担当## 趣味・最近気になってること野球観戦、CTF、minifyされたJSから隠し機能を見つけること講演中に「OK Google」言ったらテロ起こせる説
3.#DroidKaigi_room5# 本日の内容- アプリを「エミュレートする」アプリとは- マルチアカウントアプリの仕組み- マルチアカウントアプリは安全？危険？※ マルチアカウントアプリ ≒ アプリをエミュレートするアプリ
4.#DroidKaigi_room5# アプリを「エミュレートする」アプリとは- 一般には「マルチアカウントアプリ」として知られる- LINEやソシャゲなど、マルチアカウントの仕組みを持たないアプリの別アカウントを作れることがウリ- 2016年ごろから急増マルチアカウントアプリの例Parallel Space GO Multiple 2Accounts
5.#DroidKaigi_room5# マルチアカウントアプリの種類## APKを改竄してインストールするタイプ- アプリケーションIDを変更して自己署名するタイプ- 一般に証明書のチェックで弾ける- App Clonerなどが有名## 別のアプリとしてインストールせずに動かすタイプ- 「マルチアカウントアプリ」の中で動かすタイプ- あたかも正常にインストールされたかのように動かされるため、動かされる側のアプリには判定が少し厳しい- 今回はこちらの話
6.#DroidKaigi_room5# 最初に抱いた感想……これ、やばいアプリでは……
7.#DroidKaigi_room5# 最初に抱いた感想……これ、やばいアプリでは……↓紐解いていきます
8.#DroidKaigi_room5# 用語- マルチアカウントアプリ上で動くアプリのこと➔ ゲストアプリ- マルチアカウントアプリのこと➔ ホストアプリ
9.#DroidKaigi_room5# 関連するものの本日深くは解説しないこと- Androidのシステムがどう動いているか- 普通のアプリがどうやって動いているか- APKファイルの構造- Linuxの超基礎知識
10.#DroidKaigi_room5マルチアカウントアプリの仕組み
11.#DroidKaigi_room5# VirtualAppの紹介- GitHub上でソースが公開されているマルチアカウントアプリ- VirtualAppは商用アプリのため、勝手にソースを組み込むことを禁止しているhttps://github.com/asLody/VirtualApp/
12.#DroidKaigi_room5# AndroidManifest.xmlから挙動を読み解く
13.#DroidKaigi_room5# AndroidManifest.xmlから挙動を読み解くuses-permissionの記述 (186個)StubActivityを継承したActivity(100個)StubContentProviderを継承したContentProvider (50個)
14.#DroidKaigi_room5# AndroidManifest.xmlから挙動を読み解く## AndroidManifestから読み解けること- パーミッションは考えうる全てのものをVirtualApp側に記載- システムの欠陥を突いて……とかではない- StubActivityは各アプリを動かしている……？
15.#DroidKaigi_room5# AndroidManifest.xmlから挙動を読み解く## AndroidManifestから読み解けること- パーミッションは考えうる全てのものをVirtualApp側に記載- システムの欠陥を突いて……とかではない- StubActivityは各アプリを動かしている……？↑ ※違います！！ (後で解説)
16.#DroidKaigi_room5# ざっくりとした起動までの流れ0. 動かしたいアプリのAPKファイルを読み込みインストール1. ゲストアプリプロセスの起動2. Activityを起動
17.#DroidKaigi_room5# ざっくりとした起動までの流れ0. 動かしたいアプリのAPKファイルを読み込みインストール1. ゲストアプリプロセスの起動2. Activityを起動
18.#DroidKaigi_room5# アプリのインストール処理- android.content.pm.PackageParser※を使ってパッケージ情報を取得- /data/data/io.virtualapp/virtual/data以下に、各アプリのデータ領域にあたるディレクトリなどを作成- APKファイルからlib/**/*.soなどをコピー
19.#DroidKaigi_room5# PackageParserについて- AndroidManifest.xmlをパースするクラス- JavaDocで@hide指定された隠蔽クラスのため、SDKには含まれず通常使用ができない/**...* @hide*/public class PackageParser {...
20.#DroidKaigi_room5# 隠蔽クラス/メソッドの使用- @hide指定による隠蔽クラスやメソッドは、Javaのリフレクションを用いるとアプリからもアクセス可能- ただしAndroidバージョンごとに大幅に仕様変更があるので通常使用すべきではない- 解説するメソッドの多くは隠蔽メソッドなのでその度に言及は特にしない
21.#DroidKaigi_room5# リフレクションとは- privateメソッドを実行する- privateなメンバ変数を取得・書換する- クラス名文字列から対応するクラスのインスタンスを生成する（コンストラクタに引数を渡す場合）- メソッド実行前後に処理を挟む、実行結果を変える（Proxy）などが可能なJavaの機能（いわゆる黒魔術）
22.#DroidKaigi_room5# privateメンバ変数の取得Field f = activity.getClass().getDeclaredField("mMainThread");f.setAccessible(true);ActivityThread mainThread =(ActivityThread) f.get(activity);
23.#DroidKaigi_room5# 名前からインスタンス生成 (LayoutInflaterの処理)Class<? extends View> clazz = context.getClassLoader().loadClass(name).asSubclass(View.class);Constructor<? extends View> constructor =clazz.getConstructor(constructorSignature);constructor.setAccessible(true);View view = constructor.newInstance(args);
24.#DroidKaigi_room5# Proxyの例Map proxyInstance = (Map) Proxy.newProxyInstance(SomeTest.class.getClassLoader(),new Class[] { Map.class },(proxy, method, args) -> {if (method.getName().equals("get")) return 42;throw new UnsupportOperationException();});proxyInstance.get(); // 42proxyInstance.put(1, 1); // error
25.#DroidKaigi_room5# インストール後のdataディレクトリ/data/data/io.virtualapp/virtual/data内- app/[application id]/∗ 各アプリのネイティブバイナリ・パッケージキャッシュを保存- user/0/[application id]∗ データディレクトリ(/data/data/[application id]) に相当
26.#DroidKaigi_room5# ざっくりとした起動までの流れ0. 動かしたいアプリのAPKファイルを読み込みインストール1. ゲストアプリプロセスの起動2. Activityを起動
27.#DroidKaigi_room5# プロセスの状態ホストアプリプロセス Managerプロセスゲストアプリプロセス(ContentProvider)Activity起動要求ゲスト起動処理プロセス起動VMのロード& JNIをフックActivityThread改竄(Application作成)
28.#DroidKaigi_room5# プロセスの状態ホストアプリプロセス Managerプロセスゲストアプリプロセス(ContentProvider)Activity起動要求ゲスト起動処理プロセス起動VMのロード& JNIをフックActivityThread改竄(Application作成)
29.#DroidKaigi_room5# ContentProviderとはコンテンツ プロバイダは、データの中央リポジトリへのアクセスを管理します。(中略)これは、プロバイダと他のアプリケーションとの間のインターフェースになります。https://developer.android.com/guide/topics/providers/content-provider-creating.html?hl=ja- ContentUrisという仕組みでSQLiteのデータをやりとりしたりする- ContentProviderを含むプロセスはkillされにくい！
30.#DroidKaigi_room5# StubContentProviderの起動- ContentProviderは別プロセスで動かせるため、このプロセスをアプリプロセスに見立てて動かす- ランタイムのセットアップに関する処理はStubContentProvider上で行う- ゲストアプリごとに別プロセスのStubContentProviderを起動する
31.#DroidKaigi_room5# プロセスの状態ホストアプリプロセス Managerプロセスゲストアプリプロセス(ContentProvider)Activity起動要求ゲスト起動処理プロセス起動VMのロード& JNIをフックActivityThread改竄(Application作成)
32.#DroidKaigi_room5# ART/DalvikVMをロードする- ネイティブ側でlibart.soもしくはlibdvm.soをロード(dlopen)する- dlopenにもパスを変更する処理が追加されている- JNIのフックについては後述
33.#DroidKaigi_room5# ART/DalvikVMをロードする (補足)- システムプロパティにpersist.sys.dalvik.vm.lib.2が存在→ 通常はlibart.soのパスがセットされているpersist.sys.dalvik.vm.libが存在→ 通常はlibdvm.soのパスがセットされている
34.#DroidKaigi_room5# プロセスの状態ホストアプリプロセス Managerプロセスゲストアプリプロセス(ContentProvider)Activity起動要求ゲスト起動処理プロセス起動VMのロード& JNIをフックActivityThread改竄(Application作成)
35.#DroidKaigi_room5# ActivityThreadの略説- アプリケーションを動かしてる一番重要な部分- public static void main(String[] args)があるところ- ブレークポイントを貼るとコールスタックの初めの方に出てくるやつ- Looperが回ってるところ- HというHandlerを継承したクラスがあり、そこでライフサイクルイベントやActivity起動などを処理している- 詳しくはAndroidを支える技術〈Ⅱ〉の5章を読んでね！
36.#DroidKaigi_room5# ActivityThreadの改竄- ContentProviderの生成と同時にActivityThreadも生成される- ゲストアプリを動かす際、ActivityThread内で持つ情報をゲストのものに改竄する必要があるので改竄を行う- Proxyを使ったメソッドの処理改竄などもここで行う
37.#DroidKaigi_room5# ActivityThreadの改竄## ActivityThread#mBoundApplication(AppBindData)の改竄- ActivityThreadから取得し、情報を改竄- appInfo, providers → PackageParserで取得- processName → パッケージ名- instrumentationName → パッケージ名などから生成
38.#DroidKaigi_room5# ActivityThreadの改竄## AppBindData#info (LoadedApk) の生成- Context#createPackageContext(packageName)を用いて、対象のアプリのContextを取得- ContextImpl#mPackageInfo (LoadedApk) を取得
39.#DroidKaigi_room5# ActivityThreadの改竄## Applicationの生成- 生成したLoadedApkのインスタンスを用いてLoadedApk#makeApplication()を実行し生成- ActivityThread#mInitialApplicationに作成したApplicationをセット- 生成後ライフサイクル処理を走らせる
40.#DroidKaigi_room5# ざっくりとした起動までの流れ0. 動かしたいアプリのAPKファイルを読み込みインストール1. ゲストアプリプロセスの起動2. Activityを起動
41.#DroidKaigi_room5# プロセスの状態ホストアプリプロセス Managerプロセスゲストアプリプロセス(ContentProvider)Activity起動要求ゲスト起動処理プロセス起動Context#startActivityIntent差し替えIntentからActivityを生成
42.#DroidKaigi_room5# プロセスの状態ホストアプリプロセス Managerプロセスゲストアプリプロセス(ContentProvider)Activity起動要求ゲスト起動処理プロセス起動Context#startActivityIntent差し替えIntentからActivityを生成
43.#DroidKaigi_room5# Activityの起動- ManagerプロセスからstartActivity(intent)でStubActivityを起動しようとする- StubActivityとStubContentProviderは同じプロセスで動くようAndroidManifestで定義されている- Androidの機能でゲストプロセス側にIntentが飛ぶ
44.#DroidKaigi_room5# プロセスの状態ホストアプリプロセス Managerプロセスゲストアプリプロセス(ContentProvider)Activity起動要求ゲスト起動処理プロセス起動Context#startActivityIntent差し替えIntentからActivityを生成IntentTarget: io.virtualapp/.StubActivityExtra: Intent(x.guest/.MainActivity)
45.#DroidKaigi_room5# プロセスの状態ホストアプリプロセス Managerプロセスゲストアプリプロセス(ContentProvider)Activity起動要求ゲスト起動処理プロセス起動Context#startActivityIntent差し替えIntentからActivityを生成
46.#DroidKaigi_room5# ActivityThreadの略説- アプリケーションを動かしてる一番重要な部分- public static void main(String[] args)があるところ- ブレークポイントを貼るとコールスタックの初めの方に出てくるやつ- Looperが回ってるところ- HというHandlerを継承したクラスがあり、そこでライフサイクルイベントやActivity起動などを処理している- 詳しくはAndroidを支える技術〈Ⅱ〉の5章を読んでね！
47.#DroidKaigi_room5# Activityの起動- ゲストアプリプロセスでIntentを受信後、H#dispatchMessage(msg)が呼ばれる- 通常は受信したIntentからActivity生成処理が走る
48.#DroidKaigi_room5# Handlerクラスの実装public void dispatchMessage(Message msg) {if (msg.callback != null) {handleCallback(msg);} else {if (mCallback != null&& mCallback.handleMessage(msg)) {return;}handleMessage(msg);}}
49.#DroidKaigi_room5# Handlerクラスの実装public void dispatchMessage(Message msg) {if (msg.callback != null) {handleCallback(msg);} else {if (mCallback != null&& mCallback.handleMessage(msg)) {return;}handleMessage(msg);}}mCallbackがセットされていて、実行の結果trueが返ってきたら終了
50.#DroidKaigi_room5# Handlerクラスの実装public void dispatchMessage(Message msg) {if (msg.callback != null) {handleCallback(msg);} else {if (mCallback != null&& mCallback.handleMessage(msg)) {return;}handleMessage(msg);}}Handlerのコンストラクタに渡すコールバックで、HではnullHでは通常ここの処理でActivity生成
51.#DroidKaigi_room5# プロセスの状態ホストアプリプロセス Managerプロセスゲストアプリプロセス(ContentProvider)Activity起動要求ゲスト起動処理プロセス起動VMのロード& JNIをフックActivityThread改竄(Application作成)ゲストプロセスのActivityThread#mH#mCallbackに処理を追加Context#startActivity…
52.#DroidKaigi_room5# Activityの起動- ゲストアプリプロセスでIntentを受信後、H#dispatchMessage(msg)が呼ばれる- この中で通常は受信したIntentからActivity生成処理が走る- H#mCallbackにセットした処理により、Intentの宛先がゲストアプリの起動したいActivityに置き換わる- このIntentを基にActivityを生成し起動する
53.#DroidKaigi_room5# プロセスの状態ホストアプリプロセス Managerプロセスゲストアプリプロセス(ContentProvider)Activity起動要求ゲスト起動処理プロセス起動Context#startActivityIntent差し替えIntentからActivityを生成IntentTarget: io.virtualapp/.StubActivityExtra: Intent(x.guest/.MainActivity)
54.#DroidKaigi_room5# プロセスの状態ホストアプリプロセス Managerプロセスゲストアプリプロセス(ContentProvider)Activity起動要求ゲスト起動処理プロセス起動Context#startActivityIntent差し替えIntentからActivityを生成IntentTarget: x.guest/.MainActivity
55.#DroidKaigi_room5# なぜStubActivityを経由？- 別アプリから起動する場合を考慮した結果
56.#DroidKaigi_room5# 別アプリから起動する場合別アプリゲストアプリプロセス(ContentProvider)startActivityContentProvider起動mCallbackでIntent差し替えIntentからActivityを生成StubActivity起動IntentTarget: io.virtualapp/.StubActivityExtra: Intent(x.guest/.MainActivity)
57.#DroidKaigi_room5# AndroidManifest.xmlの答え合わせStubActivity (100個)StubContentProvider (50個)Activityの起動を仲介するダミーのActivityたちゲストアプリのプロセスになる奴ら
58.#DroidKaigi_room5# 補足：メソッドのフック## なぜ必要？- Intentの処理やCameraのインストールなどがパッケージ名に依存している- PackageCacheのパスを変えないとPermissionDeniedになる- Binder#getCallingUid()の返すUidを偽装- その他パッケージ改竄検出をすり抜けるため
59.#DroidKaigi_room5# Javaのリフレクション (Proxy) で改竄する処理- startActivityなどIntent処理- 改ざんしないと本物が起動してしまうため- バックアップなど多くのメソッドの挙動を削除- 動作しては困るものは削除してしまう- オーディオ周りなどの挙動をホストの処理に置き換え- ネイティブ周りなどの関係でそのままでは動かないのでなどなど
60.#DroidKaigi_room5# JNIのメソッドをフックして行うこと- UIDを偽装- ゲストのdataディレクトリを偽装- Cameraの初期化- AudioRecordのパーミッションを取得- PackageCacheに使うパスを変更詳しくはスライド最後の付録で
61.#DroidKaigi_room5マルチアカウントアプリの危険性
62.#DroidKaigi_room5# 広告をオーバーライドされるなどの問題- 広告フレームワークの処理を変え、マルチアカウントアプリ作者に収益が入るようにすることも技術的には可能- Parallel Space上のAdMobでは変更されていないことを確認したが、他のアプリはどうかわからない- その他、Playストアでの課金をしたかのように振る舞わせるなども可能と考えられる
63.#DroidKaigi_room5# 過剰にパーミッションを与えてしまう危険性- マルチアカウントアプリに非常に多くのパーミッションが使われているため、ゲストアプリにも同様のパーミッションを与えてしまう危険性がある- ゲストアプリに悪意がある場合、AndroidManifestではパーミッションを指定せず、マルチアカウントアプリ上で動く時のみパーミッションを用いる、などが可能- そもそもマルチアカウントアプリ自体が大変危険なアプリかもしれない
64.#DroidKaigi_room5# アカウントデータ・パスワード漏洩の危険性- マルチアカウントアプリに悪意がある場合、容易にパスワード入力情報から内部のデータまで全て盗むことが可能- ゲストアプリが悪意のあるものの場合も、他のゲストアプリの保存データを取得可能↓ VirtualApp上の端末エミュレータアプリでLINEの情報を確認できた
65.#DroidKaigi_room5# 応用すると……- 知らぬ間にアプリが置き換わっていることがあるかも……- いろいろ頑張ればユーザーが気付かないようにアプリをアンインストールさせることが可能- 代わりに悪意のあるアプリケーション上で動かすショートカットを作っておけば、ユーザーは置き換わっていることに気付くのは困難⇒ 対策した方がよいかも……
66.#DroidKaigi_room5# マルチアカウントアプリの対策- 単純な証明書のチェックはNG- マルチアカウントアプリ上では証明書を取得するメソッドも書き換わっており、正しい証明書を得てしまう- パッケージ名やUIDのチェック等もNG- これも完全にホストのものに差し替えられると確認が困難
67.#DroidKaigi_room5# 2018年現在最適なチェック方法！！- psコマンドで確認（一部省略）$ psUSER PID NAMEu0_a51 8561 psu0_a51 29616 com.lbe.parallel.intl:mdserveru0_a51 29699 parallel.monitoru0_a51 30703 jackpal.androidtermu0_a51 30889 /system/bin/sh自分のアプリでは発生し得ないプロセスが同じユーザーとして実行されていることをチェックできる
68.#DroidKaigi_room5# 最後に（対策する前に）- マルチアカウントアプリが使われるアプリ≒ ユーザーはアカウント切り替え機能を求めている⇒ マルチアカウント機能の実装を検討すべきでは？- 現在マルチアカウントアプリの紹介記事の中で危険性を伝える記事はないので、正しく周知していくことが必要- 必ずしも危険なものではないが、危険性は知るべき
69.#DroidKaigi_room5付録：JNIのフック処理の詳細参考(中国語)：https://www.jianshu.com/p/052b6dd45659
70.#DroidKaigi_room5# JNIの基礎知識JNIからJavaのメソッドを呼ぶ機能がある// C++jclass clazz =env->FindClass("SomeJavaClass");jmethodID methodId =env->GetStaticMethodID(clazz, "javaMethod", "()V");env->CallStaticVoidMethod(clazz, methodId);
71.#DroidKaigi_room5# JNIの基礎知識JNIからJavaのメソッドを呼ぶ機能がある// C++jclass clazz =env->FindClass("SomeJavaClass");jmethodID methodId =env->GetStaticMethodID(clazz, "javaMethod", "()V");env->CallStaticVoidMethod(clazz, methodId);
72.#DroidKaigi_room5# JNIのフックjmethodIDはMethod構造体のポインタ// C++struct Method {ClassObject* clazz; // クラスを表すu4 accessFlags; // publicか、nativeか、などのフラグ…DalvikBridgeFunc nativeFunc; // ネイティブ関数のポインタ…};
73.#DroidKaigi_room5# JNIのフックjmethodIDはMethod構造体のポインタ// C++struct Method {ClassObject* clazz; // クラスを表すu4 accessFlags; // publicか、nativeか、などのフラグ…DalvikBridgeFunc nativeFunc; // ネイティブ関数のポインタ…}; これを書き換えればOK
74.#DroidKaigi_room5# JNIのフックjmethodIDはMethod構造体のポインタ// C++struct Method {ClassObject* clazz; // クラスを表すu4 accessFlags; // publicか、nativeか、などのフラグ…DalvikBridgeFunc nativeFunc; // ネイティブ関数のポインタ…};環境によって構造が異なる
75.#DroidKaigi_room5# JNIのフックjmethodIDはMethod構造体のポインタ// C++struct Method {ClassObject* clazz; // クラスを表すu4 accessFlags; // publicか、nativeか、などのフラグ…DalvikBridgeFunc nativeFunc; // ネイティブ関数のポインタ…};環境によって構造が異なるここのオフセットを知る必要あり
76.#DroidKaigi_room5# JNIのフックダミーのメソッドをJava, C++両側に定義// Javastatic native void nativeMark();// C++void mark() {}
77.#DroidKaigi_room5# JNIのフックダミーメソッドのポインタに一致するオフセットを探索// C++size_t start = (size_t) env->GetStaticMethodID(clazz, "nativeMark", "()V");size_t target = (size_t) mark;int offset = 0;while (true) {if (*((size_t *)(start + offset)) == target)break;offset += 4;}
78.#DroidKaigi_room5# JNIのフックこのオフセットを使って他のメソッドを置き換える// C++size_t method = (size_t) someMethodId;void **nativeFuncPtr = (void **) (method + offset);*nativeFuncPtr = (void*) hookFunc;