摘要：前言在前三篇文章中我們詳細(xì)分析了對棧幀的修改，以及它是如何在修改之后的棧幀中實(shí)現(xiàn)變量級污點(diǎn)跟蹤方法級跟蹤?？偨Y(jié)的污點(diǎn)跟蹤粒度是變量粒度的，因此大大提高了污點(diǎn)傳播的精準(zhǔn)度。下一步繼續(xù)分析下級污點(diǎn)傳播。

在前三篇文章中我們詳細(xì)分析了TaintDroid對DVM棧幀的修改，以及它是如何在修改之后的棧幀中實(shí)現(xiàn)DVM變量級污點(diǎn)跟蹤、Native方法級跟蹤。本篇文章我們來分析下IPC級污點(diǎn)傳播。

TaintDroid深入剖析之啟動篇

TaintDroid剖析之DVM變量級污點(diǎn)跟蹤(下篇)

TaintDroid剖析之Native方法級污點(diǎn)跟蹤分析

這里我以情景為上下進(jìn)行跟進(jìn)，每個情景會涉及多個源文件，它們之間的邏輯是互相完整和獨(dú)立的。

Java層Taint的傳播是通過類Taint（libcore/dalvik/src/main/java/dalvik/Taint.java）實(shí)現(xiàn)的。

frameworks/base/cmds/servicemanager/binder.c

frameworks/native/libs/binder/Parcel.h

frameworks/native/libs/binder/Parcel.cpp

framework/base/core/java/android/os/Parcel.java

framework/base/core/jni/android_os_Parcel.cpp

為了實(shí)現(xiàn)IPC的污點(diǎn)跟蹤，taintdroid給每個Parcel多帶帶維護(hù)了一個taint_info的結(jié)構(gòu)體，其定義在Parcel.h，如下所示：

struct taint_in_parcel
{
uint32_t pos; //污點(diǎn)始址
uint32_t len; //污點(diǎn)長度
uint32_t taint; //污點(diǎn)標(biāo)記
};
struct taint_info
{
uint32_t mTaintSize; // 當(dāng)前污點(diǎn)項(xiàng)長度
uint32_t mCurPos; // 當(dāng)前項(xiàng)索引
uint32_t mCurAllocatedSize; // 當(dāng)前可用項(xiàng)長度
struct taint_in_parcel * parcelArray; //污點(diǎn)項(xiàng)數(shù)組
void* mOwnerCookie; //作用未知
};

然后提供了兩個方法對這個結(jié)構(gòu)進(jìn)行操作，分別是Parcel::updateTaint和Parcel::getTaint。

updateTaint的功能是動態(tài)添加污點(diǎn)到當(dāng)前Parcel，其實(shí)現(xiàn)如下：

而getTaint的功能是根據(jù)指定的范圍獲取對應(yīng)的tag值（因?yàn)镻arcel的數(shù)據(jù)是線性存儲的），其實(shí)現(xiàn)如下所示：

為了可以方便上層接口調(diào)用，在android_os_Parcel.cpp通過JNI對上層提供了接口。

再來看一下Parcel.java層污點(diǎn)傳遞的具體實(shí)現(xiàn)，我從四個函數(shù)分析，其他的邏輯是類似的。

Parcel.marshall是把Parcel序列化為byte[]，其實(shí)現(xiàn)如下

通過getTaint獲取當(dāng)前Parcel的污點(diǎn)集合tag，再通過Taint.addTainByteArray把tag傳遞給序列化后的data對象。

Parcel.unmarshall的作用跟Parcel.marshall是相反的，通過byte[]還原Parcel對象，其實(shí)現(xiàn)如下：

先通過Taint.getTainByArray拿到data的tag，然后再同步到還原后的Parcel對象。

Parcel.writeInt是往Parcel中寫入一個32位的整型，其實(shí)現(xiàn)如下：

先獲取被寫入的val的tag，然后再通過調(diào)用updateTaint把污點(diǎn)數(shù)據(jù)同步到當(dāng)前Parcel對象。

Parcel.readInt是執(zhí)行與Parcel.writeInt相反的動作，從Parcel中讀出一個32倍整形，其實(shí)現(xiàn)如下所示:

依據(jù)當(dāng)前的pos和len，getTaint返回對應(yīng)的tag，然后再通過Tain.addTainInt同步到最終結(jié)果val2。

TaintDroid的IPC污點(diǎn)跟蹤粒度是變量粒度的，因此大大提高了污點(diǎn)傳播的精準(zhǔn)度。下一步繼續(xù)分析下File & Memory & Socket 級污點(diǎn)傳播。

作者：簡行、走位@阿里聚安全，更多Android安全類技術(shù)文章，請?jiān)L問阿里聚安全博客