Xcon2014 && Geekpwn2014

1. 链接器与加载器技术在保护壳上的应用
2. android应用市场中的大规模漏洞挖掘
3. android模拟躲避检测和应对
4. 内核链表的奥秘
5. 信号的可发现性 -- wifi之外我们还能做什么
6. Geekpwn2014

1.) 本地文件加密，由操作系统提供的
例如windows NTFS提供的基于文件系统驱动的透明磁盘加密技术

2.) 在程序正常运行时，壳可以重新接管控制权
对于传统的加壳技术，是通过将原始的程序的入口点(main函数)的指令代码替换为壳程序的入口点代码，来达到劫持原始程序代码流的目的(加密壳的入口点指令窃取会将部分入口指令继续上移到代码启动区)
通过入口点代码流接管技术，壳程序可以在优先获得执行权的基础上完成被破坏的导入表、符号表、包括对被”加密”后壳自身代码的修复工作(SMP)

3.) 虚拟机保护
典型的如VPM保护壳技术，它的核心思想还是通过接管原始程序的入口代码流，所不同的在于，VPM在接管控制权之后，将”长期”控制原始程序的控制权。
VMP的作用在于在程序中重新”模拟”了一套操作系统，它有自己的寄存器、自己的堆栈区、自己的指令集系统，通过像CPU一样逐行读取VMP指令代码，并翻译为VPM识别的对应指令，和PHP和opcode的运行机制很类型，可以理解为一种动态解释性语言

1.) 自定义linker && loader
传统的保护壳技术是针对代码段进行混淆，保持启动代码不变，然后在启动的时候使用smp自修改技术，或者vmp技术进行解密后动态运行
议题提出的新的保护壳技术的常用做法是通过重写源代码来实现自定义linker、loader，基于自定义的链接器和加载器技术，我们可以将原始程序的启动代码都进行修改，并自定义构造符号表、导入表等结构，而由自定义的linker、loader去实现自定义符号表、导入表的解码，解密，这样就达到了一个DIS(dynamic instructions section)动态段的效果
本质思想是将原本的加密、混淆逻辑的工作“前移”，在更高的代码逻辑上有上游进行攻防

2.) 以API SDK的方式提供了加壳接入
TDK：android的native层(.so)的一套API标准，黑客只需要按照这个标准进行编程，就可以将自己编写的源代码和SDK环境进行无缝结合，实现保护壳的效果
使用TDK之后，在程序启动时，壳程序会优先启动，然后再启动原始程序
为开发者提供了一个容易入门的加壳、病毒编程的开发平台

1. 基于linker && loader技术的代码执行逻辑劫持思想
2. 对原生的linker && loader的源代码进行了自定义修改，从而可以实现自定义的符号表、重定位表的载入
3. 对原始的程序的进行了一次包裹，提供了简易实现的安全包装
4. 原始的代码逻辑不需要修改
5. 可以使用的安全包装
    1) android保护壳
    2) 通信加密
    3) 公私钥保护
    4) lua语言安全虚拟机
    5) 异常监控
    6) 文件加解密
6. AOP技术
将linker、loader整合在一起

http://security.tencent.com/index.php/blog/msg/61

1. 脚本代码OPCODE执行虚拟沙箱，实现对脚本语言的动态解密、运行、变量跟踪
2. 内核RING0层级系统调用监控，RING0层相对于RING3层来说，程序执行的环境更加"纯净"，存在bypass的逻辑场景相对较少，可以起到一个很好的"generalization(规范化)"的效果，运行在RING0层的监控程序可以提供当前系统较为准确的指令执行行为信息
3. 使用内核级、驱动级技术防火墙技术，针对DDOS、暴力破解等攻击提供可配置化的阻断的能力

1. 敏感信息泄漏
    1) 密码泄漏
    类似于github上的源代码、明文帐号密码泄漏，由于android本身的语言特性，使得程序本身非常容易遭到逆向，而很多开发者对android应用的定位不是很了解，将大量的数据库、服务端逻辑写在了客户端的android应用代码中，甚至直接将连接数据库的帐号密码以明文形式编码在了android应用中，黑客通过逆向android应用，从而可以非常容易的获取到数据库连接的帐号密码
    2) server端连接凭据
    3) access_key、secrect_key，AWS后端身份认证凭据 
    4) APK签名私钥泄漏

2. APP中隐藏了恶意代码
当用户安装了黑客定制的恶意APP程序之后，用户的手机就有可能遭到非法扣费，流量劫持等恶意攻击 

1. hadoop/nutch爬虫搜索
2. APK样本搜集
采用monkeyrunner脚本模拟手动APK下载
3. 批量提取APK文件、以及Meta-data
4. 自动化对APK进行逆向
获取java源代码
5. 结构化数据 && 入库

1. 服务端信息泄漏
Github、app应用市场上存在大量的明文密码存储
    1) server端连接凭据
    2) access key、secrect key
2. 可疑代码查找
通过对敏感关键字进行分级，例如passwd为最高危级别，connect等为次高优先级，通过这些敏感关键字、API进行搜索，得到可能产生的泄漏信息
3. APK签名私钥泄漏
4. 开放平台secrect key泄漏

1. 将敏感的身份认证例如数据库连接的控制逻辑上移到服务端，客户端通过token和服务端的一个可控的、有限范围域内的控制接口进行交互
2. 对于android应用来说，app只能是一个前端的展示的模块，不应该过多地涉及到后端的控制逻辑，一个安全的做法就是进行安全分层，将前端的展示和后端的控制逻辑分离
3. 这是一种参数化防御的思想，相对于直接和数据库进行连接，客户端只能通过服务端的一个API对数据库进行操作，客户端的操作范围被限定在了一个指定的范围内，有效防止了黑客获取了敏感信息后，对服务端进行滥用

1. 用户层行为和数据
    1) 是否存在API Demo、DEV Tools等模拟器上特定的应用程序
    2) 联系人、短信、电话记录、相册等是否为空
    3) logcat一直处于运行状态？
2. android系统层
    1) 电话号码、etc、build.device
    2) wifi、GPS等硬件信息
    3) 反射调用systemproperties.get获取系统属性值
    4) 读取/system/build.prop文件检测特征值
    5) memory行为模拟事件
3. Linux系统层特征
    1) 通过驱动信息特征检测模拟器
    2) 通过设备文件特征检测模拟器
    3) 通过执行shell命令检测模拟器
4. 模拟器体系结构特征
    1) 模拟器CPU信息
    2) Qemu二进制翻译技术
    3) 模拟器底层缓存行为

1. 源码修改
    1) 更改字段值，API行为，使之和真实的物理机完全一致
    2) 编译源码生成system.img
    3) 加载system.img运行模拟器
2. Runtime Hook

1. 下载、编译软硬件的需求高
2. android系统碎片化导致不同的系统都需要修改源代码
3. 调试、编译时间较长
4. 后期修改、维护困难

1. 运行时动态修改API调用行为
2. java层hook
3. linux层hook
4. smali层hook

1. rovo89、Xposed
a framework for mudules that can change the behavior of the system and apps without touching any APKs

2. Saurik、Cydia Subtrate
the powerful code modification platform behind Cydia

3. Collin Mulliner, adbi
the android Dynamic Binary Instrumentation Toolkit

1. 一定会表现出来的行为特征，针对这些特征进行针对性的检测
2. 其中一方无法表现出来的行为特征，例如模拟器无法模拟重力感应信息

1. 利用当满足某些行为的时候，当前进入某一个状态，继续进行行为收集
2. 如果在前一个状态的基础上，又满足了其他的某些条件，则判定可以进入状态
3. 通过这种hold住状态的方式，可以有效减低误报率

1. 对可能泄漏的信息进行分级
泄漏的信息可能处于不同的级别，即所谓的测信道攻击，对于很多的攻击方式，可能并不能完全的逆向、破解出原始的信息数据，但是通过测信道的信息泄漏，配合对收集数据的聚合，额大数据分析，就完全可以推测、还原出目标的个人信息
2. 加密通信并非解决一些问题的解决方案
3. 高强度协议的安全防御并不一定能解决所有问题

1. 315MHZ && 433MHZ
基本是明码(单向控制)

2. 蓝牙2.4GHZ
    1) SDR + 蓝牙USB Dongle协议分析工具

3. 自定义2.4GHZ短程无线通信协议
    1) SDR + PC
    2) 可编程逻辑器件

4. wifi