文献笔记《Analyzing Inter-Application Communication in Android》【2014文献笔记】

文献引用：Chin E, Felt A P, Greenwood K, et al. Analyzing inter-application communication in Android[C]//Proceedings of the 9th international conference on Mobile systems, applications, and services. ACM, 2011: 239-252.
之所以会回过头来看这篇论文，是因为看到不少论文都有关于ComDroid的描述、对比。索性回过头来了解其具体是个什么东西。
【文献笔记《Analyzing Inter-Application Communication in Android》】 ComDroid是一个用来发现APP漏洞的项目，主要是根据Intent进行分析。正如我们了解的，Intent是每个Android程序员开发必须要了解的东西，通过它可以便捷的实现各个组件、应用间的调用，传递信息，是各组件应用通信的主要载体。但其由于Android模型的特点，会存在如下安全隐患：Intent传递的消息可以被嗅探、修改、窃取以及篡改，那么用户的隐私存在泄露的可能。同时恶意程序可以伪造、注入恶意消息使得用户数据被污染，应用的安全策略被绕过。因此ComDroid的出现就是为了能对应用程序通信的漏洞进行检测。
基本知识
Intent相关：文中关注的重点在于Intent，主要用于Activity,Services,Broadcast Receviers这三大组件之间，下表列出了针对不同组件的启动函数以及对应的函数签名，这些函数是一个Intent的发起操作。

组件相关：Android组件的声明一般在Manifest配置文件中，如果组件中包含EXPORTED标识，或者包含IntentFilter则意味着该组件是暴露的，因此就能被其他程序调用。需要说明的是IntentFilter并不是一种安全的做法，发送者可以自己够造action,type,category的Intent发送，也可以通过显示的Intent来绕过系统filter.
比较好的保护措施就是在声明组件的时候对添加权限，或则在对于发送广播Intent时，可以指定接收方需要具有的权限，所有权限保护主要分为Normal permissions,Dangerous permissions, Signature permissions.SignatureOrSystem permissions
基于Intent的攻击方式
1.不可信的Intent接收方
除非Intent由权限保护，并且恶意软件并没有申请该权限。否则恶意软件是可以获取到他匹配的Intent数据，同时也恶意软件也可以实现对其流程的控制，就好比拒绝服务或钓鱼攻击

广播窃听

作为广播比较常见的漏洞利用就是被动窃听和主动拒绝攻击，窃听方可以不中断广播而对该Intent进行窃听
一些攻击者可以对ordered broadcast发动拒绝服务或者数据注入攻击，对于ordered broadcast，攻击者可以注册高优先级的receiver来接收并取消广播，从而达到拒绝服务攻击，而No-ordered broadcast则不行。对于ordered broadcast，攻击者还可以将数据注入到广播中。对于这里广播，receiver一般会通过注册的优先级依次获取广播，同时将其发送给下一优先级的receiver，当所有receiver处理玩Intent之后会给发送方返回一些结果。因此若存在恶意receiver，那么每个receiver接收处理转发的Intent可能是不可信的。
建议：开发者要根据自己的广播Intent的敏感程度选择不同的方式发送（显示或者隐式），程序内部件的通信建议采用显示方式，对于隐式通信建议配合权限保护

Activity Service Hijacking

这是一个常见的隐患，由于没有对接收Intent的组件进行合法性验证，那么将存在被劫持的风险。
最简单的攻击模型就是，恶意的activity可以在Intent发出后启动，获取用户相应数据后，启动合法的activity以实现劫持过程的隐藏
钓鱼攻击（Phishing attacks）只所以能成功实现主要是由于Android UI并不会对正在运行的应用进行验证。这就导致了Intent发送后，会存在假冒组件启动的可能。
不过activity hijacking并不是总是都奏效的，对于一个Intent存在多个匹配的Activity时，Android系统会提示用户选择将Intent发送至哪个activity（除非用户已知设置好默认启动项）。但一般对于这种情况，恶意软件主要采用两种方式进行绕过，1）起一个和系统名字混淆的应用名欺骗用户。2）恶意软件可以丰富自己一些额外功能诱导用户使用。有的activity发送Intent后会期望目的组件发回结果，那么劫持成功后，可以伪造返回结果实现对源组件的欺骗。
对于service hijacking,成功的可能性更高。对于一个Intent匹配多个service的情况，系统采用随机的方式进行调用，并不像activity一样提示用户选择，如果Intent发起组件还提供了service回调，那么可能还存在回调被利用的危险

特殊Intent

Intent中还可能附带uri来访问存储在其他应用程序的content provider。当Intent的接收方没有权限访问该URI时，Intent发送方可以在Intent上设置FLAG_GRANT_READ_URI_PERMISSION 或 FLAG_GRANT_WRITE_URI_PERMISSION标志。如果对方Provider允许授权访问uri，即临时权限android:grantUriPermissions系列有在manifest中声明,这么一来将赋予Intent接收方对URI中data的读或写权限，倘若被恶意组件劫持，那么恶意组件将存在读写权限。
对于pending Intent其包含了所有权限以及创建者的权限，pending Intent接收方可以发送这个Intent给第三方应用，其所携带的creator认证信息也会被传送，那么一旦恶意软件截获了该pending Intent，那么creator的认证信息将被滥用
2.Intent欺骗
恶意软件可以构造Intent去触发暴露组件响应，从而实施Intent欺骗攻击。

恶意广播注入

虽然很多receiver是响应系统广播的，这意味着只有系统广播才能激发他们。但事实上，对于这样的receiver，其实已经是公开可以访问的组件了，此时我们可以采用显示调用的方式来触发receiver响应，这样一来我们就不需要发送系统广播行为了。如果receiver没有check action，必定将触发receiver，因此安全的措施就是在receiver中检查是否是系统action.

恶意Activity Service启动

此外,服务的启动，将有更多的机会获取隐私数据，因为服务通常提供丰富的接口,也许能触发对应的毁掉函数。

3.ComDroid工作内容
其主要通过逆向DEX获取指令内容，通过解析dalvik文件并跟踪Intent、IntentFilter、registers、sinks(e.g., sendBroadcast(), startActiv-ity(), etc.),以及components的状态来进行分析.

对于Intent分析：主要跟踪状态如下：1）是否显式 2）是否有action 3）是否设置flags 4）是否有extra data 。对于sink，我们检查是否存在隐式Intent对象流向。由于一些发送Intent的方式会呈现出权限，以及那些Intent将被送往哪里，其系统主要记录这些信息。
针对以上提出的软件潜在漏洞进行警告，从而检测潜在漏洞。
对于组件的分析：主要针对manifest中的exposed,以及动态注册registerReceiver，对于暴露但是没有设置权限的组件进行警告，对于没有检查系统action的receiver进行警告。
结果：能够对潜在漏洞进行警告提示，包括文件名，方法，行号，类型（恶意启动、广播窃取等等），是否存在数据泄露注入

4.缺点不足：
不能够检测pending Intent以及 URI 读写权限的Intent
ComDroid仅仅是警告可能存在的漏洞，并不能够验证是否存在攻击
仅仅是通过静态分析的方式，未来可能会采取和动态结合