APK静态分析：硬编码密码泄露示例分析

常见硬编码密码位置

在APK静态分析中，硬编码密码可能出现在以下位置：

1. 源代码文件：Java/Kotlin代码中的明文密码
2. 资源文件：strings.xml、shared_prefs等配置文件中
3. Native库：so文件中的硬编码凭证
4. 数据库文件：SQLite数据库中的明文存储
5. 网络通信：URL中的认证信息

分析工具与方法

1. 使用反编译工具

# 使用apktool解包APK
apktool d target.apk -o output_dir

# 使用jadx反编译为Java代码
jadx -d output_dir target.apk

2. 字符串搜索技术

# 在解包目录中搜索关键词
grep -r "password" output_dir/
grep -r "pwd" output_dir/
grep -r "secret" output_dir/
grep -r "key" output_dir/

3. 使用专用扫描工具

# 使用MobSF进行自动化扫描
docker run -it opensecurity/mobile-security-framework-mobsf

实际案例分析

案例1：Java代码中的硬编码密码

// 反编译发现的漏洞代码示例
public class DatabaseHelper {
    private static final String DB_PASSWORD = "Admin@123";  // 硬编码密码

    public Connection getConnection() {
        return DriverManager.getConnection(
            "jdbc:mysql://localhost:3306/mydb", 
            "root", 
            DB_PASSWORD
        );
    }
}

风险：数据库凭证直接暴露在代码中，攻击者可轻易获取。

案例2：XML资源文件中的凭证

<!-- res/values/strings.xml -->
<string name="api_password">P@ssw0rd2023!</string>

风险：资源文件通常不加密，容易被提取。

案例3：Native库中的硬编码

# 在lib/armeabi-v7a/libnative.so中搜索字符串
strings libnative.so | grep -i "password"

发现：可能输出类似default_password=123456的内容。

修复建议

1. 移除硬编码凭证：

   • 使用安全的密钥管理系统
   • 实现动态凭证获取机制

2. 代码层面改进：

   // 改为从安全存储获取
   public String getDbPassword() {
      return KeyStore.get("db_password_key");
   }
   

3. 加固措施：

   • 使用ProGuard或DexGuard混淆代码
   • 对敏感字符串进行运行时解密
   • 实现证书绑定和双向TLS验证

4. 安全测试：

   • 在CI/CD流程中加入静态分析工具
   • 定期进行安全审计

自动化检测脚本示例

import os
import re
from pathlib import Path

SENSITIVE_KEYWORDS = [
    "password", "pwd", "secret", 
    "key", "credential", "token"
]

def scan_for_hardcoded_creds(apk_path):
    print(f"Scanning {apk_path} for hardcoded credentials...")

    # 1. 使用apktool解包
    os.system(f"apktool d {apk_path} -o temp_apk")

    # 2. 递归搜索敏感字符串
    vuln_files = []
    for root, _, files in os.walk("temp_apk"):
        for file in files:
            if file.endswith((".smali", ".xml", ".properties")):
                file_path = Path(root) / file
                try:
                    content = file_path.read_text()
                    for keyword in SENSITIVE_KEYWORDS:
                        if re.search(f"{keyword}[=:].*[\"']", content, re.I):
                            vuln_files.append(str(file_path))
                            break
                except:
                    continue

    # 3. 清理临时文件
    os.system("rm -rf temp_apk")

    return vuln_files

总结

硬编码密码是移动应用常见的高危漏洞，通过静态分析可以有效地发现这类问题。开发团队应当建立安全编码规范，避免在应用中直接存储敏感凭证，并定期进行安全审计以降低风险。