Drozer简介

  Drozer是一款针对Android系统的安全测试框架。Drozer可以通过与dalivik VM交互、与其他应用程序的IPC端点交互、与底层操作系统的交互，来避免正处于开发阶段或者正处于部署于组织的Android应用程序和设备暴露出安全风险。

Drozer优点

• 有助于更快的完成Android安全评估：Drozer可以大大缩减Android安全评估的耗时，通过攻击测试暴露Android APP的漏洞。
• 基于真机测试：Drozer运行在Android模拟器和真实设备上，它不需要USB调试或其他开发工具即可使用。
• 自动化和可扩展：Drozer有很多扩展模块，可以利用这些扩展模块进行测试以发现更多Android安全问题。

启动Drozer

准备环境

本此使用的是win10系统，如果使用其它系统搭建，需准备不同的版本：

• Windows10
• Google pixel
• Python2.7 （必须用python2.7.。。。用3会报错https://www.python.org/ftp/python/2.7.14/python-2.7.14.amd64.msi
• drozer-2.4.4.  https://github.com/mwrlabs/drozer （安装时必须选择python2.7）
• Adb AndroidDebugBridge http://adbshell.com/downloads
• jdk1.8 https://blog.csdn.net/weixin_37601546/article/details/88623530
• 下载安装手机agent，使用usb线将手机连接到电脑（或开启一个模拟设备），使用adb将agent安装到手机。agent下载地址：https://github.com/mwrlabs/drozer/releases/download/2.3.4/drozer-agent-2.3.4.apk

搭建步骤

a.打开手机的USB调试功能，将手机通过USB连接电脑。
b.安装jdk环境和python环境，并配置环境变量。
c.安装Android调试工具ADB。
d.安装Drozer。（记得选择python2，并将Drozer的安装目录选择为python安装目录)

连接测试

• 命令：adb devices ，测试移动端在线
  
• 命令：drozer.bat console connect （执行前一般需要转发端口，命令：adb forward tcp:31415 tcp:31415） ，打开dozer控制台
  
  如上图即搭建成功。
  Android 开源安全测试工具 Drozer，安装过程中的问题
    首先打开测试客户端的“drozer agent”应用，并打开Embbdded Server：
  
    然后在pc端执行命令：drozer.bat console connect （执行前一般需要转发端口，命令：adb forward tcp:31415 tcp:31415） ，打开dozer控制台：
  

Drozer命令

命令	功能
help ABOUT	显示一个指定指令或模块的帮助信息
run Module	执行一个Drozer模块
shell	在设备上启动一个交互式Linux shell
list	显示当前会话所能执行所有Drozer模块，不显示未获得相应权限的模块
cd	挂载一个特定的命名空间作为会话的根目录，避免重复输入模块全称
load	加载一个包含Drozer命令的文件并且按顺序执行
echo	在控制台打印信息
clean	移除Android设备上由Drozer存储的临时文件
module	从互联网发现并且安装一个额外的模块
permissions	显示Drozer agent被授予的权限
set	将一个值存储在一个变量中，这个变量将作为一个环境变量传递个任何由Drozer生成的Linux shell
unset	移除一个已命名变量，这个变量是由Drozer传递给Linux shell的
exit	终止Drozer会话

Drozer基本命令的使用

Drozer官方测试apk

检索测试应用程序

  命令：run app.package.list -f <app name>

列出应用程序基本信息

  包括应用程序版本、应用程序数据存储路径、应用程序安装路径、相关权限等，命令：run app.package.info -a <package name>

确定攻击面

  Drozer可检测apk源码四大组件（activities、broadcast receivers、content providers、services）的export情况，并判断export的组件提供那些服务，因为服务是可以调试的，可以将调试器附加到进程上，就行调试。

开始安全测试

activity组件

应用程序中，一个Activity通常就是一个单独的屏幕，它上面可以显示一些控件也可以监听并处理用户的事件做出响应。 Activity之间通过Intent进行通信。在Intent的描述结构中，有两个最重要的部分：动作和动作对应的数据。

• 查看activities的详细信息，命令：run app.activity.info -a <package name>
  
• 启动设置为导出的activity，命令：run app.activity.start --component <package name> 设置为导出的activity
  
  
  可以确定成功绕过了登录授权，造成了越权漏洞。

Content组件

android平台提供了Content Provider使一个应用程序的指定数据集提供给其他应用程序。这些数据可以存储在文件系统中、在一个SQLite数据库、或以任何其他合理的方式。其他应用可以通过ContentResolver类从该内容提供者中获取或存入数据。只有需要在多个应用程序间共享数据是才需要内容提供者。

• 从Content Provider读取信息，命令：run app.provider.info -a <package name>
  
    可以确定的是,这两个Content Provider除了DBContentProvider的/keys路径，都不需要特殊的权限就能和他们交互。
• 基于数据库的Content Provider（数据泄露）
    首先分析apk，判断其名为DBContentProvider的Content Provider存在某种形式的数据库，可以通过重建部分provider URIs，以进入Content Provider。Drozer提供了一个扫描模块，其中包含了多种形式的猜测路径的方式并将可进入的provider URIs显示出来，命令：run scanner.provider.findurls -a <package name>
  
    此时就可以使用其他的Drozer模块，从这些可行的Provider URIs中提取信息，甚至更改数据库里的数据。
• 访问uri发现数据泄露，可看到一些敏感信息，命令：run app.provider.query uri
  
• 基于数据库的Content Provider（SQL注入）
  通过修改传递给Content Provider的投影或选择字段，很容易测试程序是否存在SQL注入漏洞，测试命令：

run scanner.provider.injection -a packageName 扫描那里可以进行SQL注入
run scanner.provider.sqltables -a  com.mwr.example.sieve 列举app的表信息
projection 测试：run app.provider.query contentProviderURI --projection "'"
selection 测试：run app.provider.query contentProviderURI --selection "'"
projection注入语句测试：run app.provider.query contentProviderURI  --projection "*          FROM xx;--"
Selection注入语句测试：run app.provider.query contentProviderURI  --selection "1=1);--"

• 报错信息显示了视图执行的整个查询，因此可以利用这个漏洞列举出数据库中的所有表，执行命令：

run app.package.query  content://com.mwr.example.sieve.DBContentProvider/Passwords/ --projection "* FROM SQLITE_MASTER WHERE type='table';--"

• 获取具体表信息
  
• 基于文件系统读取和写入（有可能被阻止）
  在被导出的Content Provider中，我们可以合理的假设FileBackupProvider是一个基于文件系统的Content Provider，路径代表想要打开的文件位置，执行命令：

读取：run app.package.read uris/文件及路径
拷贝：run app.package.download uris/文件及路径 \本地文件及路径

• 目录遍历检测

 run scanner.provider.traversal -a <package name>

Services组件

  一个Service 是一段长生命周期的，没有用户界面的程序，可以用来开发如监控类程序。较好的一个例子就是一个正在从播放列表中播放歌曲的媒体播放器。在一个媒体播放器的应用中，应该会有多个activity，让使用者可以选择歌曲并播放歌曲。
  然而，音乐重放这个功能并没有对应的activity，因为使用者当然会认为在导航到其它屏幕时音乐应该还在播放的。在这个例子中，媒体播放器这个activity 会使用Context.startService()来启动一个service，从而可以在后台保持音乐的播放。同时，系统也将保持这个service 一直执行，直到这个service 运行结束。
  另外，我们还可以通过使用Context.bindService()方法，连接到一个service 上（如果这个service 还没有运行将启动它）。当连接到一个service 之后，我们还可以service 提供的接口与它进行通讯。拿媒体播放器这个例子来说，我们还可以进行暂停、重播等操作。 intent-filter未将exported设置为false，默认是可以导出的。

run app.service.info -a package_name  查看Services组件信息
run app.service.start --action 服务名 --component 包名 服务名   调用内部服务组件

Broadcast组件

BroadcastReceive广播接收器应用可以使用它对外部事件进行过滤只对感兴趣的外部事件(如当电话呼入时，或者数据网络可用时)进行接收并做出响应。广播接收器没有用户界面。然而，它们可以启动一个activity或serice 来响应它们收到的信息，或者用NotificationManager来通知用户。通知可以用很多种方式来吸引用户的注意力──闪动背灯、震动、播放声音等。一般来说是在状态栏上放一个持久的图标，用户可以打开它并获取消息。
测试常用命令：

run app.broadcast.info -a  <package name> 测试对外的broadcast组件信息
run app.broadcast.send --component <package name> <component name> --action <action> --extra <type> <key> <value>  发送带参数的恶意广播
run app.broadcast.send --action <action> 向广播组件发送不完整intent使用空extras，可以看到应用停止运行