Android利用ADT获取内存中的敏感信息

橙留香Park 哆啦安全 2022-12-05

0x01 利用ADT 获取内存中的敏感信息

对于基本的内存分析，我们可以使用 Android Studio 的内置工具。它们在 Android 监视器选项卡上。如果需要转储内存，请选择需要分析的设备和应用，单击“转储 Java 堆”。这将在 capture 目录中创建一个 hprof 文件，该目录位于应用程序的项目路径上

注：我们可以通过使用ADT对客户端内存的访问，来进行查看各种内存中未加密的敏感信息

ADT（Android Development Tools）在Eclipse编译IDE环境中，需安装ADT(Android Developer Tools)Plug-in，这是Android在Eclipse上的开发工具。目前Android开发所用的开发工具主要有Android Studio 、intellij idea、Eclipse，在Eclipse编译IDE环境中

Android Studio 是谷歌推出的一个Android集成开发工具，基于IntelliJ IDEA. 类似 Eclipse ADT，Android Studio 提供了集成的 Android 开发工具用于开发和调试

Android开发工具(ADT，Android studio)，下载地址：https://developer.android.com/studio/index.html

通过Android Studio工具中的Android Device Monitor 工具的“Heap dump”功能访问“堆内存”的使用情况和内存数据的变化，并检查是否内存中存在“用户名”和“密码”的” “cvv” 或 “key” 等重要信息是否泄露

注：Android Studio 3.0开始弃用Android Device Monitor，虽然说被“弃用”，但是不代表不支持，我们还是可以通过其他方式来使用Android Device Monitor，就是DDMS，大家之前看过博主同学文章的，应该知道，不太清除的可以翻看的之前的文章，此处不过多讲解

使用Heap Dump，获取我们当前正在运行的容易收到攻击的应用程序的“快照”，然后“导出”文件扩展名为“HPROF”的“二进制”格式文件，其格式为“HPROF”。“Dalvik格式”，但我们需要将其转换为“J2se HPROF”格式，以便“Java”可读

Memory Monitor是什么？

在Android Studio(以下简称AS)中Android Monitor是一个主窗口，它包含了Logcat,、Memory Monitor、CPU Monitor、 GPU Monitor和Network Monitor。其中Memory Monitor可以轻松地监视应用程序的性能和内存使用情况，以便于找到被分配的对象，定位内存泄漏，并跟踪连接设备中正在使用的内存数量。Memory Monitor可以报告出你的应用程序的内存分配情况，更形象的呈现出应用程序使用的内存。它的作用如下：

实时显示可用的和分配的Java内存的图表
实时显示垃圾收集(GC)事件
启动垃圾收集事件
快速测试应用程序的缓慢是否与过度的垃圾收集事件有关
快速测试应用程序崩溃是否与内存耗尽有关

使用Memory Monitor之前要确保手机开启了开发者模式和USB调试。
使用的步骤为：

运行需要监控的应用程序
点击AS面板下面的Android图标，并选择Monitors选项
Heap Dump是什么？

Heap Dump的主要功能就是查看不同的数据类型在内存中的使用情况。它可以帮助你找到大对象，也可以通过数据的变化发现内存泄

运行Android Device Monitor，并打开InsecureBankv2 应用程序

打开InsecureBankv2 应用程序后，会发现“Android Device Monitor”的“Device”中出现InsecureBankv2 应用程序

单击“Update HEAP”按钮

在APP中的登录界面输入账号密码登录的操作，然后点击“Dump HPROF file”导出包含刚刚操作的堆内存信息的文件，文件名默认为当前应用程序名.hprof文件名命名：“com.android.insecurebankv2.hprof”

要对内存转储进行更高级的分析，需要使用Eclipse Memory Analyzer Tool (MAT)。它可作为 Eclipse 插件或独立应用程序使用。要分析 MAT 中的转储，可使用 Android SDK 自带的 hprof-conv平台工具

./hprof-conv memory.hprof memory-mat.hprof

MAT 提供了多种用于分析内存转储的工具。例如，直方图提供了从给定类型中捕获的对象数量的估计值，线程概览显示了进程的线程和堆栈帧。支配树提供有关对象之间保持活动依赖关系的信息，以及可以使用正则表达式来过滤数据的结果

使用 MemoryAnalyzer（MAT）程序来检查内存，MAT有两种安装方式

一种安装方式是将MAT当做eclipse的插件进行安装：启动Eclipse --> Help --> Eclipse Marketplace，然后搜索Memory Analyzer，安装，重启eclipse即可
另外一种安装方式是将MAT作为一个独立的软件进行安装：https://www.eclipse.org/mat/

Android Studio Profile与Leak Canary dump出来的内存快照无法直接在MAT当中打开，需要使用hprof-conv来转换操作一下，这里我们使用“Appie”命令从“Android Device Monitor”获取的“hprof”格式，格式转换如下：

hprof-conv com.android.insecurebankv2.hprof test.hprof

打开程序“MemoryAnalyzer.exe”并“导入”我们已转换格式的文件“test.hprof”，如下：

点击“Open Dominator Tree for entire hap”按钮

然后，在窗口中检查“dominator_tree”，发现有一个与我们刚刚操作的应用程序相关的命名

不出意外我们在转账页面找到了账号和密码，如下：

如果查看“Convert ByteCode”之后的“Source code”，“Class Dotransfer”的“Properties”类似：

public class DoTransferextends Activity{
public static final String MYPREFS2 = "mySharedPreferences";
String acc1;
String acc2;
EditText amount;
Button button1;
EditText from;
Button getAccounts;
InputStream in ;
JSONObject jsonObject;
String number = "5554";
String passNormalized;
EditText phoneNumber;
String protocol = "http://";
BufferedReader reader;
HttpResponse responseBody;
String result;
SharedPreferences serverDetails;
String serverip = "";
String serverport = "";
EditText to;
Button transfer;
String usernameBase64ByteString;}

或使用OQL查询语句来快速查询内存中的关键字，因为MAT 支持一种类似于 SQL 的查询语言 OQL（Object Query Language）。OQL 使用类 SQL 语法，可以在堆中进行对象的查找和筛选，比如如下：

Object Query Language studio是一个 MAT 特性，它允许使用类似 SQL 的语言从内存转储中查询对象。MAT允许我们通过在简单对象上调用 Java 方法来转换它们，并且它提供了一个用于在 MAT之上构建复杂工具的 API

SELECT * FROM java.lang.String

String在上面的示例中，内存转储中的所有字符串对象都将被选中。结果将包括对象的类、内存地址、值和保留计数。要过滤这些信息并只查看每个字符串的值，如下查询语句：

SELECT toString(object) FROM java.lang.String object
或者
SELECT object.toString() FROM java.lang.String object

MAT SQL 语法也支持原始数据类型，所以可访问所有 char 数组的内容：

SELECT toString(arr) FROM char[] arr

如果我们得到的结果与之前的结果相似，因为 String 和其它 Java 数据类型只是原始数据类型的包装器。现在让我们过滤结果，下面的示例SQL语句将选择包含 RSA 密钥的ASN.1 OID的所有字节数组，但给不表示我们给定的字节数组是包含 RSA（相同的字节序列可能是其它东西的一部分）这也是有可能的：

SELECT * FROM byte[] b WHERE toString(b).matches(".*1\.2\.840\.113549\.1\.1\.1.*")

如果我们觉得比较麻烦不想择整个对象，可以使用一个 SQL 语句来做查询，比如我们只想找到内存中所有存在"password"字段的对象，如下：

SELECT password FROM ".*" WHERE (null != password)

MAT进行分析内存，可以尝试的分析技巧：