参考

1. https://mp.weixin.qq.com/s/04pcy3V3mhyru4YCwiGJLg

2. https://github.com/Rtannu/Cloak-DaggerAttack

3. https://www.anquanke.com/post/id/86880

4. https://blog.nviso.eu/2021/05/11/new-malware-family-now-also-targets-belgian-financial-apps/

5. https://www.tasfa.cn/2018/10/07/ADB配置提权漏洞-CVE-2017-13212-原理与利用分析/

6. https://cloak-and-dagger.org/

7. https://docs.google.com/presentation/d/16Eo30PVafib-PQSXKcGA6VkUznhKLa7piJxQt3yDowM/edit#slide=id.g1db8f66241_0_201

0x00 引言

点击劫持Tapjacking，是一种欺骗用户进行点击的攻击技术，可存在于任何操作系统和浏览器之中，尽管原理简单，对于普通用户危害却极大，是一种容易忽视的安全威胁。Android中的点击劫持原理如图1所示，当出现重要的、需要进行用户确认的安全对话框时，申请悬浮窗权限的恶意APP在受害APP之上进行部分覆盖，显示一个虚假的界面，隐藏了与安全相关的重要提示信息，但并未覆盖正常APP原有的按钮，诱骗用户进行错误地点击操作，点击事件结果最终传递到受害APP，造成严重的安全后果。

0x01 攻击实施

1. 悬浮窗权限申请

2. 悬浮窗服务

• FLAG_NOT_TOUCH_MODAL 参数如果被设置，那么就意味着用户的触摸事件会被悬浮窗劫持，即可以在悬浮窗上接收到点击的坐标位置，那么也能进行对应的绘图，但是这样触摸事件就不会被传递到下层的其他App，仅能记录用户点击，也就是无法实现欺骗（但是如果完全伪造界面全覆盖就有可能欺骗），一般用于窃取用户输入数据等。

• FLAG_NOT_TOUCHABLE 参数如果被设置，悬浮窗仅悬浮在应用界面，而无法触摸也。意味着用户的点击会被传递到下层，但是无法记录点击事件，即可以欺骗无法窃取。

• FLAG_WATCH_OUTSIDE_TOUCH参数可用于监听用户在对话框之外的点击，可用于虚假对话框的退出时机。

3. 欺骗点击

• CVE-2020-0306：蓝牙发现请求确认框覆盖

• CVE-2020-0394：蓝牙配对对话框覆盖

• CVE-2020-0015：证书安装对话框覆盖

• CVE-2021-0314：卸载确认对话框覆盖

• CVE-2021-0487 : 日历调试对话框覆盖

https://mp.weixin.qq.com/s/04pcy3V3mhyru4YCwiGJLg

除了”主动请求、主动劫持“这种恶意APP可以主动控制劫持时机的情况，恶意APP还可以监听用户确认对话框出现的其他时机，例如有特定的广播事件、特定的通知，在时机出现的时候进行劫持。例如，在重要对话框出现时，将出现一个通知，恶意APP可以监听通知该通知的出现，通过实现一个NotificationListenerService，捕捉特定的通知，并启动服务，在原有对话框之上悬浮一个欺骗的对话框 漏洞案例：CVE-2020-0394 CVE-2020-0394 即为这种情况，当蓝牙配对发生时，蓝牙APP会发送一个通知，用户点击通知以后就会出现蓝牙配对对话框，供用户确认或取消

4. 劫持记录

5. 测信道击键推断

该部分内容来源https://cloak-and-dagger.org/

• Android为了安全引入了一个标志FLAG_WINDOW_IS_OBSCURED来保护用户点击事件的安全性。每次点击时，接收点击事件的控件会收到一个MotionEvent对象，该对象存储了相关信息。在MotionEvent对象中添加了该标志（简称为“遮挡标志”）。如果点击事件在到达最终目的地（例如“确定”按钮）之前经过了一个不同的覆盖层，则该标志会被设置为true。该机制本用于确定在点击控件上层有无覆盖层，依此对用户点击事件进行安全处理。但该机制能够被用于一种测信道攻击，达到推断按键的目的。

• FLAG_WATCH_OUTSIDE_TOUCH 标志允许覆盖层接收到任何点击事件的通知，即使点击发生在应用程序之外。为了安全起见，如果点击发生在覆盖层所属的应用程序之外，点击事件的精确坐标会被设置为(0,0)。只有当点击发生在应用程序内部时，才会提供精确的坐标。这种机制防止攻击者通过坐标推断用户点击的位置，从而保护用户隐私和安全

6. 攻击时机

• 在主动的情况下，例如主动发起卸载App的请求时的情况下，攻击实施时机是可控的，不需要做其他的感知行为。

• 在被动的情况下，由多种方法实现感知，例如：
• 通过获取顶层App的信息来判断是否可以进行攻击，但是这种感知手段在高版本Android系统中显然不可行。
• 还有上文提到的NotificationListenerService ,在高版本Android中显然也不可能实现。
• context-aware 感知：创建一个全屏的不透明覆盖层，捕捉所有用户的点击。在屏幕上创建一个特定位置的“洞”，攻击者希望用户点击这个位置。或通过创建多个覆盖层来形成一个“洞”，洞周围的覆盖层捕捉所有点击，而洞上的覆盖层允许点击通过。由于只有一个“洞”，用户的点击只有一种方式情况能穿透到最底层的App。或者在设置FLAG_WATCH_OUTSIDE_TOUCH 的情况下，如果事件的坐标被设置为(0,0)，则表示用户点击了“洞”（否则，事件的坐标会被设置为实际值）。通过这些信息来判断用户是否点击了某些位置，进而确定是否实施下一步的攻击。

💡

到这里其实还有一种很危险的机制导致的攻击，就是无障碍服务。在用户授权无障碍服务后即可实现任意键盘记录和任意点击。

在恶意应用申请使用无障碍服务时会向用户声明危险性和其他信息，但是通过覆盖攻击能够覆盖其中的一些内容，神不知鬼不觉就使得用户进行了授权。如下图中的红框中的内容都能被覆盖实施攻击。在较新版本的 Android 上，如果覆盖处于活动状态，则无法配置辅助功能设置，或者 Android 在进入辅助功能设置页面时会自动禁用任何覆盖，因此不再赘述。

0x02 防护

1. 系统应用屏蔽第三方悬浮窗

2. 普通应用隐藏第三方悬浮窗

Android 12将默认开启setFilterTouchesWhenObscured为true，在有其他APP覆盖的情况下，自动阻止APP接受输入事件。除了下面的特例：

https://developer.android.google.cn/about/versions/12/behavior-changes-all?hl=zh-cn#untrusted-touch-events

• 被自己覆盖：APP被自己的窗体覆盖

• 被受信任窗体覆盖：包括辅助服务窗体、输入法窗体和Assistant窗体

• 可见度不高的窗体：安卓认为这样的窗体难以展现欺骗内容。