所有者: CN=Adobe Systems Incorporated, OU=Information Systems, O=Adobe Systems Incorporated, L=San Jose, ST=California, C=US
发布者: CN=Adobe Systems Incorporated, OU=Information Systems, O=Adobe Systems Incorporated, L=San Jose, ST=California, C=US
序列号: d7cb412f75f4887e
有效期开始日期: Thu Oct 01 08:23:14 CST 2009, 截止日期: Mon Feb 16 08:23:14 CST 2037

除了通过自签名的方式，我们还可以采用由CA颁发私钥证书进行签发。采用这种方式，最终APK中的公钥证书中，就会包含证书链。这种方式跟签名名的主要区别是最终的公钥证书中，Issuer和Subject是不相同的，而且会存在多于一个证书，证书与证书之间是通过Issuer与Subject进行关联的，Issuer负责对Subject进行认证，下面是证书链的验证示意图：

当APK是非签名时，APK中存在证书链，当安装APK时，系统只会链中位于链中最底层的证书对APK文件进行合法性和完整性校验，但并不会验证证书链的有效性。想象这么一个情景：

• 开发机上生成一个根证书（记作CA），并用这个证书去颁发一个子证书（记作CLIENT)；
• 使用这个子证书对APK签名，这时APK中的RSA文件将包含两个证书，分别是CLIENT和CA，其中系统会使用CLIENT对APK文件进行检验；
• 因为对这个RSA文件篡改，所CA修改为Adobe Flash Player的CA（记作FakeCA）。由于系统只不会对证书链的合法性进行验证，所以这种修改后APK，依然可以正常安装；

<span style="white-space:pre">	</span>  <span style="white-space:pre">	</span>PackageManager pm = getPackageManager();
		StringBuilder sb = new StringBuilder();

		try {
			PackageInfo info = pm.getPackageInfo(getPackageName(), PackageManager.GET_SIGNATURES);
			Signature[] sigs = info.signatures;

			for (Signature sig : sigs) {

				/*
				 * Get the X.509 certificate.
				 */
				final byte[] rawCert = sig.toByteArray();
				InputStream certStream = new ByteArrayInputStream(rawCert);

				final CertificateFactory certFactory;
				final X509Certificate x509Cert;

				try {
					certFactory = CertificateFactory.getInstance("X509");
					x509Cert = (X509Certificate) certFactory.generateCertificate(certStream);

					sb.append("Certificate subject: " + x509Cert.getSubjectDN() + "\n");
					sb.append("Certificate issuer: " + x509Cert.getIssuerDN() + "\n");
					sb.append("Certificate serial number: " + x509Cert.getSerialNumber() + "\n");
					sb.append("\n\n");
				} catch (CertificateException e) {
					// e.printStackTrace();
				}
			}

		} catch (NameNotFoundException e) {
			e.printStackTrace();
		}

通过上面的方式，可以达到让APK被Adobe Flash Player官方认证的效果，如下是我自己做的一个FakeCA的DEMO，通过上面代码打印如下所示：

Certificate subject: CN=简行, OU=简行之旅, O=简行之旅, L=杭州, ST=浙江, C=CH
Certificate issuer: CN=Adobe Systems Incorporated, OU=Information Systems, O=Adobe Systems Incorporated, L=San Jose, ST=California, C=US
Certificate serial number: 13732529592366477909

Certificate subject: CN=Adobe Systems Incorporated, OU=Information Systems, O=Adobe Systems Incorporated, L=San Jose, ST=California, C=US
Certificate issuer: CN=Adobe Systems Incorporated, OU=Information Systems, O=Adobe Systems Incorporated, L=San Jose, ST=California, C=US
Certificate serial number: 15549593810524997758

看到这里，相信有些朋友已经秒懂了，那么下面的内容就可以不用看了，如果还是有疑问，那请耐心再往下看吧。

漏洞分析

Abode Flash Player是Android是以一个WebViewPlugin的方式存在，所有使用WebView控件的应用，网页只要使用了Flash都会加载该插件。下面是验证一个插件是否为Abode Flash Playter插件的的合法性判断代码：

private static boolean containsPluginPermissionAndSignatures(PackageInfo pkgInfo) {
    // check if the plugin has the required permissions
    String permissions[] = pkgInfo.requestedPermissions;
    if (permissions == null) {
        return false;
    }
    boolean permissionOk = false;
    for (String permit : permissions) {
        if (PLUGIN_PERMISSION.equals(permit)) {
            permissionOk = true;
            break;
        }
    }
    if (!permissionOk) {
        return false;
    }

    // check to ensure the plugin is properly signed
    Signature signatures[] = pkgInfo.signatures;
    if (signatures == null) {
        return false;
    }
    if (SystemProperties.getBoolean("ro.secure", false)) {
        boolean signatureMatch = false;
        for (Signature signature : signatures) {
            for (int i = 0; i < SIGNATURES.length; i++) {
                if (SIGNATURES[i].equals(signature)) {
                    signatureMatch = true;
                    break;
                }
            }
        }
        if (!signatureMatch) {
            return false;
        }
    }

    return true;
}

从这段代码，可以看到WebKit是这样认证一个APK是否为Adobe FlashPlayer插件的：

1. APK证书中是否包含Adobe签名的证书，证书数据是写死在代码中的（PluginManager.SIGNATURE_1)，这是Adobe使用的签名
2. APK申请了android.webkit.permission.PLUGIN权限
3. APK声明了一个服务，Intent是android.webkit.PLUGIN，有个meta信息是type，type的值必须是native。

除了Abode 这种HardCode签名外，Android系统中还存在其他的类似的特权签名，在此我直接引用BlueBox的原文：

”In another example, the application with the signature specified by the device’s nfc_access.xml file (usually the signature of the Google Wallet application) is allowed to access the NFC SE hardware. Both of these special signature privileges are hard coded into the Android base code (AOSP). On specific devices, applications with the signature of the device manufacture, or trusted third parties, are allowed to access the vendor-specific device administration (MDM) extensions that allow for silent management, configuration, and control of the device.“

多签名认证

private static X509Certificate findCert(Principal issuer, X509Certificate[] candidates) {
    for (int i = 0; i < candidates.length; i++) {
        if (<span style="color:#ff0000;">issuer.equals(candidates[i].getSubjectDN())</span>) {
            return candidates[i];
        }
    }
    return null;
}

留意代码中的判断逻辑，只要issuer跟遍历的candidates[i].getSubjectDN()相等即可，这个equal只是简单的做了字符串的对比，就直接认为这个合法的证书，并返回来了。

再看一下Fix后的代码：

private static X509Certificate findCert(Principal issuer, X509Certificate[] candidates,<span style="color:#ff0000;"> X509Certificate subjectCert</span>, <span style="color:#ff0000;">boolean chainCheck</span>) {
    for (int i = 0; i < candidates.length; i++) {
        if (issuer.equals(candidates[i].getSubjectDN())) {
            if (chainCheck) {
                try {
                   <span style="color:#ff0000;"> subjectCert.verify(candidates[i].getPublicKey())</span>;
                } catch (Exception e) {
                    continue;
                }
            }
            return candidates[i];
        }
    }
    return null;
}

在生成crt文件里，需要注意，必须保证跟Abobe的字段一致，下面是我的例子：

这里自己随便填写即可，下面是我的例子：

这里需要显式指定keysize为2048，不然之后的签名有可能说不兼容RSA

相关的代码，我已经提交到https://github.com/boyliang/Android_FakeID_Exploit