SDK插件安全分析 - 51Testing软件测试论坛

第三方sdk的包括广告、支付、统计、社交、推送，地图等类别，是广告商、支付公司、社交、推送平台，地图服务商等第三方服务公司为了便于应用开发人员使用其提供的服务而开发的工具包，封装了一些复杂的逻辑实现以及请求，响应解析的API，由于其使用的广泛性，一旦出现安全问题并且被黑客利用，其影响范围之广，危害之大不言而喻。

首先，一些恶意的Sdk本身会存在着安全威胁，除了众所周知的获取用户隐私信息，如收集设备id（IMEI，IMSI等）、获取用户位置信息外，还存在着更严重的安全问题。比如某些sdk具有主动接收服务器指令的功能，它会根据需要收集短信、通话记录和联系人等敏感信息。另外，它还会执行如动态下载代码等危险操作。

其次，Sdk自身可能还会存在漏洞。如果这些漏洞被利用，攻击者就能够利用sdk本身存在的强大功能发动恶意的攻击行为，例如在用户毫无察觉的情况下打开相机拍照，通过发送短信盗取双因素认证令牌，或将设备变成僵尸网络的一部分。

下面介绍下目前在第三方sdk（主要是指广告sdk）中发现的恶意行为和漏洞。

· 读取短信、邮件、电话通话记录和联系人列表，在没有任何访问控制措施的情况下通过web服务公开共享这些数据。

通过HTTP明文传输用户的隐私信息，使隐私信息很容易被窃取。FireEye 的研究者声称在Google Play的主流应用中有47%的广告sdk存在该漏洞。

使用不安全的HTTP协议从控制服务器接收命令或者动态加载代码。攻击者可以通过中间人攻击，劫持HTTP数据包，冒充服务器下发恶意指令、推送恶意代码，将第三方sdk变成一个僵尸网络。

攻击者有许多方法来利用sdk的漏洞。比如劫持公共WiFi：当受害者的设备连接到公共WiFi热点（在咖啡店或机场等），攻击者可以在附近监听AppLovin广告sdk的数据包、注入恶意指令和代码。

攻击者也可以通过DNS劫持的方式来达到利用漏洞的目的。在DNS劫持攻击中，攻击者可以修改sdk广告服务器的DNS记录，把访问者重定向到攻击者自己的控制服务器，以便从受害者设备上收集隐私信息或者发送恶意控制指令到受害者设备上。

WebView相当于一个浏览器窗口，应用程序可以使用它来显示网页内容。addJavascriptInterface这个API允许运行在WebView中的JavaScript代码来访问应用的native功能。攻击者可以利用此漏洞，使用应用已有的权限，通过恶意的JavaScript代码来对设备进行恶意操作。这个漏洞已经影响到超过90％的Android设备了。

为了降低安全风险，从Android 4.2开始，谷歌增加了一个叫做@JavascriptInterface的注解，开发人员可以使用它来定义需要暴露给WebView中的JavaScript代码的函数。这实质上是一个白名单机制，让开发者决定什么函数是允许被调用的。

然而添加 @JavascriptInterface注解只是在理论上降低了风险，其实际效用依赖于开发者如何使用它。另外，开发人员还可以添加代码，以便JavaScript调用任何应用暴露出来的函数（触发这些行为）都需要获得用户的许可。

采用运行时动态加载技术在Dalvik虚拟机中动态执行代码作为其升级机制的一部分，却没有对动态加载的代码进行校验。如果该部分代码被黑客恶意篡改，则会给用户造成严重的安全威胁。

有些sdk本身具有危险行为，同时又存在漏洞，这种特性我们称之为“vulnaggressive”。这种特性并不局限于广告sdk，其它第三方组件和应用程序也存在。如果一个sdk具有“vulnaggressive”特性，则会使Android用户，尤其是企业用户面临严重的安全威胁。AppLovin广告sdk就是一个实例

目前爱内测（www.ineice.cn）推出了插件评估就是为了检测SDK插件中的威胁以及性能，并根据实际的测试数据对第三方插件进行整体评价