Android5.1.1 - APK签名校验分析和修改源码绕过签名校验
Android5.1.1 - APK签名校验分析和修改源码绕过签名校验
作者：寻禹@阿里聚安全
APK签名校验分析
找到PackageParser类，该类在文件“frameworks/base/core/java/android/content/pm/PackageParser.java”中。PackageParser类的collectCertificates方法会对APK进行签名校验，在该方法会遍历APK中的所有文件，并对每个文件进行校验。下面是该方法的部分源码：
APK是一个ZIP格式的文件所以使用ZIP相关的类进行读写。上面代码中调用了loadCertificates方法，这个方法返回一个二维数组，如果APK中的文件签名校验失败那么loadCertificates方法会返回一个空数组（可能是null，可能是数组长度为0），按照上面代码的逻辑如果数组为空则会抛出异常。
loadCertificates方法的代码见下：
上面代码中is是JarFile.JarFileInputStream类的对象。loadCertificates方法中调用了readFullyIgnoringContents方法，在readFullyIgnoringContents方法中会调用JarFile.JarFileInputStream.read方法读取APK中一项的数据，在read方法中会校验读取到的数据项的签名，如果签名校验失败，则会抛出SecurityException类型的异常，即签名校验失败。
JarFile类在“libcore/luni/src/main/java/java/util/jar/JarFile.java”文件中。
上面代码中调用了StrictJarFile.getCertificateChains方法，下面是它的代码：
上面代码中isSigned的值是这么来的：
当证书读取成功，并且当前APK经过了签名，则isSigned为true。
回到StrictJarFile.getCertificateChains方法中，当isSigned为true时会调用JarVerifier.getCertificateChains方法，下面是它的代码：
下面是类成员变量verifiedEntries的声明：
verifiedEntries是一个键值对，键是APK中经过了签名的文件名，如：classes.dex文件，值是证书数组。如果向已经签过名的APK中新添加一个文件然后安装这个APK，当程序逻辑执行到JarVerifier.getCertificateChains方法中时，在verifiedEntries变量中无法找到新添加的文件名（因为这个新文件是在APK签名之后添加），那么JarVerifier.getCertificateChains方法将返回null。
绕过签名校验
源码修改点一
找到PackageParser.loadCertificates方法，下面是部分源码：
将上面代码catch块中的throw语句替换为：return null;
下面是修改后的代码：
代码修改完后，当APK中文件签名校验失败时不会抛出异常，APK还会继续安装。
源码修改点二
找到PackageParser.collectCertificates方法，找到代码中调用loadCertificates方法的地方：
将上面的throw语句替换为：continue;
修改后的代码：
代码修改完后，当遇到APK中没有经过签名的文件时不会抛出异常，APK还会继续安装。
作者：寻禹@阿里聚安全，更多技术文章，请访问阿里聚安全博客
展开
收起
1
条回答
写回答
写回答
-
解决方案工程师，负责为企业规划上云迁移方案和云上架构设计，在网站建设开发和云计算领域有多年经验，专注于Linux平台的系统维护以及应用部署。致力于以场景化的方式让云计算，用更加通俗易懂的方式让更多人体验云计算，让云端的计算更质朴的落地。图片代替代码。。。不错的思路2016-08-02 11:27:14赞同 展开评论 打赏
版权声明：本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
相关问答
