技術(shù)討論 | 看我如何破解一臺自動售貨機
聲明：本文僅限技術(shù)討論，嚴禁用于任何非法用途
毫無疑問，自動售貨機是非常受歡迎的東西，我們總會從中購買獲取一些小零食。早幾年前，自動售貨機只接受離線的硬幣支付，之后，也慢慢采用了普及的NFC技術(shù)功能。如果我說起“COGES”售貨機器 (英國售貨機器廠商)，我想肯定會勾起很多人的美好時光回憶。時光輾轉(zhuǎn)，一不留神，有些事情就發(fā)生了根本性的變化，現(xiàn)如今，這已經(jīng)是一個被網(wǎng)絡(luò)萬物互聯(lián)的時代了。今天，我就來和大家分享一個，我是如何黑掉一臺自動售貨機，反復(fù)實現(xiàn)充值和購買售貨機中商品的事例。
事情起因
有一天，我厭煩了深入簡出的無聊生活，打算回老家曬曬太陽休息休息，臨走前，我到了學(xué)校拜訪一個大學(xué)教授。穿過走廊，老師提議，我們?nèi)ズ缺Х劝?，于是，我們來到了自動售貨機旁。
- 我說：我來吧，我有硬幣。
- 老師：等等，我可以用手機APP來支付，這樣會便宜點。
可以看到，這是一臺Argenta自動售貨機，其APP支付方式是基于藍牙和NFC功能的，啊，虛擬錢包就是好啊!
此時，我心里閃過的念頭 – 我能把它黑掉嗎???
- 白帽心聲：沒有賞金就當做是一種鼓勵吧。
- 灰帽心聲：就當做練練手吧。
- 黑帽心聲：來吧，伙計，我們?nèi)ナ帐耙幌履莻€東西，這樣就很牛了!
于是乎，我就決定改天就開黑。
技術(shù)分析
某天，我把我的安卓手機設(shè)置開啟了USB調(diào)試模式，然后從應(yīng)用商店中下載了自動售貨機APP，并把原始APP的apk文件轉(zhuǎn)儲到筆記本電腦中，用adb去調(diào)試分析：
- # adb pull /data/app/com.sitael.vending-1/base.apk ./Argenta.apk
用apktool對它進行反編譯：
- # apktool d ./Argenta.apk ./Argenta
再用 jadx提取出其中的java源文件：
- # jadx ./Argenta.apk
AndroidManifest.xml清單文件是每個Android程序中必須的文件，它是整個Android程序的全局描述文件，除了能聲明程序中的Activities，Content Providers，Services，和Intent Receivers，還能指定應(yīng)用的名稱、使用的圖標、包含的組件以及permissions和instrumentation(安全控制和測試)。這里，一開始，需要把AndroidManifest.xml文件中的調(diào)試屬性更改為ture，之后才可在手機上進行調(diào)試，也就是往application 標簽中添加一行 android:debuggable=”true” 屬性。
接下來, 重建apk文件：
- # apktool b ./Argenta
然后用工具keytool來創(chuàng)建一個新的密鑰：
- # keytool -genkey -v -keystore Argenta.keystore -alias Argenta -keyalg RSA -keysize 2048 -validity 10000
接著，使用該創(chuàng)建密鑰，用jarsigner來對整個apk文件進行簽名：
- # jarsigner -verbose -sigalg SHA1withRSA -digestalg SHA1 -keystore Argenta.keystore Argenta.apk Argenta
再用工具zipalign來對apk程序文件進行優(yōu)化
- # zipalign -v 4 Argenta.apk Argenta-signed.apk
***，就可以安裝這個重建好的apk文件了。
- # adb install ./Argenta-signed.apk
我在手機上安裝運行了這個APP程序，并用工具logcat，通過包名對其程序日志進行過濾分析：
- # adb logcat –pid=`adb shell pidof -s com.sitael.vending`
但是，沒什么收獲，我打算再從其源代碼中看看能有什么線索。從AndroidManifest.xml文件中，我發(fā)現(xiàn)了指向RushOrm的多個引用。
所以，這里首先我找的關(guān)鍵字就是db_name，從這里我發(fā)現(xiàn)了argenta.db的影子：
接下來，在手機中，我用工具Root Explorer繼續(xù)來看看這個argenta.db，真的是存在的：
然后，我用adb pull方式把手機中的這個文件拷貝到筆記本電腦中來分析：
- # adb pull /data/data/com.sitael.vending/databases/argenta.db ./db
并嘗試用SQLite的數(shù)據(jù)庫瀏覽工具SQLiteBrowser來打開這個db文件：
哦，顯然，它是有密碼保護的，打不開。
逆向工程
在源代碼中，我分析了RushAndroidConfig.java：
從其中，我竟然發(fā)現(xiàn)了配置數(shù)據(jù)庫的各種方法(method)，但是，其中這個鍵值引起了我的注意：
- this.encryptionKey = getDeviceId(context)
它的定義如下：
從上圖信息中可知，目標APP程序使用了手機的IMEI串號作為了上述SQLite數(shù)據(jù)庫argenta.db的加密密鑰，通常的手機，在鍵盤上輸入*#06#就可得本身串號。那么，我們用手機串號來試試吧，看看能否能把數(shù)據(jù)庫文件打開：
哇，真的可以?。?nbsp;
經(jīng)過一番檢查，我找到了UserWallets這個表：
并對其中的walletCredit一欄做了修改，把它從0改為了5(5歐元)：
然后，我再把這個數(shù)據(jù)庫文件拷貝回手機APP中：
- # adb pull ./argenta.db /data/data/com.sitael.vending/databases/argenta.db
破解驗證
此時，YY一下，我的感覺就像游戲帝國時代(Age Of Empires)中的“羅賓漢”一樣，可以隨便擁有1000枚金幣。好吧，還是先來寫個小程序吧，通過這個程序，可以快捷地對目標APP數(shù)據(jù)庫進行轉(zhuǎn)儲/恢復(fù)/篡改：
接下來，我們就帶上手機，去自動售貨機那試試看吧!呵呵，竟然成功地買了一瓶礦泉水，真的可以用其中的5塊錢順利地進行消費，還能反復(fù)消費使用!
https://www.youtube.com/watch?v=LfczO8_RfLA
總結(jié)
從APP賬戶中的0元，到之后破解APP數(shù)據(jù)庫后，我可以進行以下操作：
- 修改APP賬戶的金額
- 任意購買自動售貨機中的東西
- 繼續(xù)用余額購買
- 余額為0之后可重新更改余額
- 如此重復(fù)消費購買自動售貨機中的商品
在對整個APP源代碼做了大概分析之后，我發(fā)現(xiàn)其中的很多代碼都未做混淆編碼，這意味著，售貨機廠商沒有采取很好的措施來對用戶數(shù)據(jù)和應(yīng)用程序安全實行保護。
再三糾結(jié) ，一個月后，出于白帽的心態(tài)，我還是向售貨機廠商報告了這個漏洞，我也禮貌性地建議他們拋棄當前的APP架構(gòu)，從頭開發(fā)一個更好、更安全的程序。
