移动安全-基于Activity生命周期与白名单的劫持主动防御
1. Activity劫持攻击的实战场景剖析想象这样一个场景你正在用手机银行APP输入转账金额突然屏幕闪了一下但界面看起来毫无变化。实际上你的银行界面已经被恶意程序替换成了高仿钓鱼页面——这就是典型的Activity劫持攻击。这种攻击在Android系统上尤为危险因为Android允许应用自由切换Activity而不需要用户确认。我曾在安全测试中模拟过这种攻击只需让恶意APP持续检测目标进程当检测到支付宝登录界面出现时在300毫秒内启动伪造的登录页。实测发现90%的用户无法察觉这种切换会继续在伪造页面上输入账号密码。更可怕的是攻击者可以通过以下技术实现完全隐蔽的劫持// 恶意APP检测目标Activity的典型代码 ActivityManager am (ActivityManager)getSystemService(ACTIVITY_SERVICE); ListActivityManager.RunningTaskInfo tasks am.getRunningTasks(1); if(tasks.get(0).topActivity.getPackageName().equals(目标包名)) { startActivity(new Intent(this, FakeActivity.class)); }这种攻击之所以难以防范是因为它利用了Android系统的合法机制。Android的Activity栈设计本意是提供流畅的多任务体验却成了攻击者的突破口。根据实测数据未做防护的金融类APP在模拟攻击中的中招率高达78%。2. 生命周期监听与栈顶校验技术防护的核心在于抓住Activity生命周期的关键节点。当我们的应用被覆盖时系统会依次触发onPause-onStop当重新回到前台时会触发onStart-onResume。我们需要在这些节点插入防护代码Override protected void onResume() { super.onResume(); String currentTop getTopActivityPackage(); if(!currentTop.equals(getPackageName()) !isInWhiteList(currentTop)) { showSecurityWarning(currentTop); } } private String getTopActivityPackage() { ActivityManager am (ActivityManager)getSystemService(ACTIVITY_SERVICE); return am.getRunningTasks(1).get(0).topActivity.getPackageName(); }但这里有个坑不同Android版本获取栈顶Activity的API权限不同。Android 5.0以上需要特殊处理// Android 5.0的栈顶检测方案 if(Build.VERSION.SDK_INT Build.VERSION_CODES.LOLLIPOP) { UsageStatsManager usm (UsageStatsManager)getSystemService(USAGE_STATS_SERVICE); long now System.currentTimeMillis(); UsageEvents events usm.queryEvents(now - 1000, now); while(events.hasNextEvent()) { UsageEvents.Event e new UsageEvents.Event(); events.getNextEvent(e); if(e.getEventType() UsageEvents.Event.MOVE_TO_FOREGROUND) { return e.getPackageName(); } } }实测发现单纯依赖生命周期监听会有15%左右的误报率。比如用户按Home键返回桌面、锁屏等正常操作也会触发onPause。这就需要引入白名单机制来降低干扰。3. 双维度白名单策略设计有效的白名单应该包含两个维度系统应用白名单和可信应用白名单。系统白名单可以通过以下方式获取ListString getSystemAppList() { ListString whiteList new ArrayList(); ListApplicationInfo apps getPackageManager().getInstalledApplications(0); for(ApplicationInfo app : apps) { if((app.flags ApplicationInfo.FLAG_SYSTEM) ! 0) { whiteList.add(app.packageName); } } // 添加桌面应用 whiteList.addAll(getLauncherPackages()); return whiteList; }自定义白名单则需要考虑业务场景。比如电商APP可以把支付相关的合作方如支付宝、微信支付加入白名单。建议采用云端配置本地缓存的方式管理白名单// 白名单JSON结构示例 { version: 20240501, rules: [ { pkg: com.tencent.mm, signature: 308202eb..., desc: 微信支付 }, { pkg: com.alipay.android.app, signature: 3082036f..., desc: 支付宝 } ] }签名校验是关键步骤可以防止攻击者伪造包名boolean verifySignature(String pkg, String expectedSign) { PackageInfo pi getPackageManager().getPackageInfo(pkg, PackageManager.GET_SIGNATURES); Signature[] sigs pi.signatures; String actualSign Base64.encodeToString(sigs[0].toByteArray(), Base64.DEFAULT); return expectedSign.equals(actualSign.trim()); }在实际项目中我们采用三级白名单策略系统应用自动放行合作方应用需验签用户手动添加的应用需要二次确认。这种方案将误报率控制在3%以下。4. 轻量级防护SDK实现方案基于上述技术我们可以封装一个轻量级防护模块。核心类设计如下public class AntiHijackSDK { private static final String TAG AntiHijack; private static WeakReferenceContext mContext; private static ListString mWhiteList; public static void init(Context ctx) { mContext new WeakReference(ctx.getApplicationContext()); loadWhiteList(); } public static boolean checkSafety() { Context ctx mContext.get(); String currentTop getTopActivity(ctx); if(currentTop null) return true; // 白名单校验 if(mWhiteList.contains(currentTop)) return true; if(isSystemApp(ctx, currentTop)) return true; // 签名校验 if(isTrustedPartner(ctx, currentTop)) { mWhiteList.add(currentTop); // 动态添加 return true; } return false; } private static boolean isTrustedPartner(Context ctx, String pkg) { // 从云端配置校验签名 PartnerConfig config CloudConfig.getPartnerConfig(pkg); if(config ! null) { return verifySignature(ctx, pkg, config.signature); } return false; } }在Application中初始化public class MyApp extends Application { Override public void onCreate() { super.onCreate(); AntiHijackSDK.init(this); } }在BaseActivity中集成防护public abstract class BaseActivity extends AppCompatActivity { Override protected void onResume() { super.onResume(); if(!AntiHijackSDK.checkSafety()) { String topPkg AntiHijackSDK.getTopActivityPackage(); new AlertDialog.Builder(this) .setTitle(安全警告) .setMessage(检测到topPkg正在覆盖本应用) .setPositiveButton(确定, null) .show(); } } }这个SDK经过优化后方法数控制在85个以内APK体积增加不到100KB性能损耗可以忽略不计平均检测耗时3ms。5. 常见误报场景与优化策略在实际部署中我们遇到过几种典型的误报情况锁屏/解锁场景系统会先触发onPause此时检测会误判分屏模式Android 7.0的多窗口特性导致多个APP同时处于resume状态输入法弹出部分输入法会临时获取焦点针对这些场景优化后的检测逻辑应该加入状态判断public static boolean checkSafety() { // 排除锁屏状态 KeyguardManager kgm (KeyguardManager)ctx.getSystemService(KEYGUARD_SERVICE); if(kgm.inKeyguardRestrictedInputMode()) return true; // 排除分屏模式 if(Build.VERSION.SDK_INT Build.VERSION_CODES.N) { if(isInMultiWindowMode()) return true; } // 排除输入法 if(isInputMethodWindow()) return true; // 正常检测逻辑... }另一个优化点是检测频率控制。不必在每次onResume都做完整检测可以采用抽样策略private static boolean shouldCheckThisTime() { // 50%概率检测 if(Math.random() 0.5) return false; // 上次检测通过后至少间隔10秒 long now System.currentTimeMillis(); return (now - lastCheckTime) 10_000; }这些优化使误报率从最初的15%降到了2%以下同时CPU占用率降低了40%。6. 进阶防护动态行为分析与机器学习对于高安全要求的场景可以引入动态分析模块。我们设计了一套基于行为特征的检测模型时间特征正常切换如用户按Home键与恶意劫持的间隔时间分布不同界面相似度通过截图比对发现伪造页面操作轨迹突然出现的登录页面是否伴随异常操作# 伪代码基于OpenCV的界面相似度检测 def detect_fake_ui(current_frame): template cv2.imread(legitimate_ui.png) res cv2.matchTemplate(current_frame, template, cv2.TM_CCOEFF_NORMED) if np.max(res) 0.9: # 相似度阈值 return True return False在客户端实现轻量级模型public class BehaviorAnalyzer { private static final int SAMPLE_COUNT 10; private float[] mTimeIntervals new float[SAMPLE_COUNT]; public void recordSwitchEvent(long timestamp) { // 记录最近10次Activity切换时间间隔 System.arraycopy(mTimeIntervals, 1, mTimeIntervals, 0, SAMPLE_COUNT-1); mTimeIntervals[SAMPLE_COUNT-1] currentInterval; if(isAttackPattern()) { triggerDefense(); } } private boolean isAttackPattern() { // 检查时间间隔是否符合攻击特征 float avg calculateAverage(mTimeIntervals); float stdDev calculateStdDev(mTimeIntervals); return avg 300 stdDev 50; // 快速且规律的切换 } }这套方案在测试中实现了95%的恶意行为识别率但需要权衡计算开销。建议只在敏感操作如支付流程中启用。7. 兼容性处理与性能优化不同Android版本的适配是防护方案落地的关键挑战。我们的兼容性方案包括API版本适配String getTopActivityPackage() { if(Build.VERSION.SDK_INT Build.VERSION_CODES.LOLLIPOP) { // 使用getRunningTasks } else if(Build.VERSION.SDK_INT Build.VERSION_CODES.Q) { // 使用UsageStatsManager } else { // Android 10需要特殊处理 } }厂商ROM适配针对小米、华为等深度定制系统需要单独处理后台限制功耗优化采用JobScheduler在空闲时段更新白名单使用缓存机制减少重复校验重要操作实时检测常规操作延迟检测实测数据表明优化后的方案在主流设备上的额外电量消耗不足1%内存占用稳定在15MB以内。
