写在前面的话
2018年3月，Quarkslab向Google报告了android蓝牙协议栈中的一些漏洞：
漏洞1：蓝牙L2CAP L2CAP_CMD_CONN_REQ远程内存泄露
1. 简要
通过向目标设备发送特制的L2CAP数据包，蓝牙范围内的远程攻击者可利用Android蓝牙协议栈中的漏洞披露属于com.android.bluetooth守护程序堆的2个字节。
2. 漏洞详细信息
L2CAP是蓝牙协议栈中的协议， L2CAP的功能包括为更高层协议传输数据，包括通过单个链路复用多个应用程序。L2CAP是基于通道进行的，并且控制命令在预定义的L2CAP_SIGNALLING_CID (0x01)通道上被发送。L2CAP传入数据由l2c_rcv_acl_data()函数[platFORm/system/bt/stack/ L2CAP /l2c_main.cc]处理。如果传入的L2CAP数据包指定L2CAP_SIGNALLING_CID作为其目标通道，则l2c_rcv_acl_data()调用process_l2cap_cmd()函数来处理L2CAP控制命令。L2CAP_CMD_CONN_REQ控制命令在process_l2cap_cmd()函数中以以下这种方式处理：
上面的代码使用STREAM_TO_UINT16宏[platform/system/bt/stack/include/bt_types.h]从L2CAP数据包中读取2个uint16_t值(con_info.psm 和rcid)：
该漏洞在于使用STREAM_TO_UINT16宏而不检查攻击者控制的数据包中是否还有足够的数据;如果第二次使用STREAM_TO_UINT16时数据包中没有剩余字节，则从带外数据(out-of-bound)读取rcid，更精确的从堆上与包数据相邻的任何数据中读取rcid。之后，如果l2cu_find_rcb_by_psm()返回NULL并因此到达if分支，则对l2cu_reject_connection() [stack/l2cap/l2c_utils.cc]的调用会将rcid发送到远程对等体(the remote peer)，这样堆中就会有2个字节泄露出来：
这里请注意，l2cu_find_rcb_by_psm()可以完全受到攻击者的影响，通过精心设计的L2CAP数据包中提供未注册的协议或服务多路复用器(PSM)ID字段，会始终返回NULL(即始终返回到if分支)。另外，请注意，使用STREAM_TO_UINT16宏而不检查攻击控制的包中是否还有足够的数据，这种不安全的模式在process_l2cap_cmd()函数中随处可见。
下面的Python代码触发了漏洞并输出从目标蓝牙设备的com.android.bluetooth守护进程堆中泄漏的16位值。这个Python代码使用Blueborne框架中的l2cap_infra包。用法：$ sudo python l2cap01.py 样本：$ sudo python l2cap01.py hci0 00:11:22:33:44:55
漏洞#2：蓝牙L2CAP L2CAP_CMD_DISC_REQ远程内存泄露
1. 简要
蓝牙范围内的远程攻击者可以使用Android蓝牙协议栈(Bluetooth stack)中的漏洞通过向目标设备发送自定义的L2CAP数据包来自属于com.android.bluetooth守护进程堆的4个字节。
2. 漏洞详细信息
L2CAP_CMD_DISC_REQ控制命令在process_l2cap_cmd()函数中以下方式处理：
上面的代码使用STREAM_TO_UINT16 macro [platform/system/bt/stack/include/bt_types.h]从L2CAP数据包中读取2个uint16_t值(lcid和rcid)：
该漏洞存在于STREAM_TO_UINT16宏被使用两次后，而不检查攻击者控制的数据包中是否还有至少4个字节;如果数据包中没有剩余字节，那么从将从带外数据读取lcid和rcid，更准确的说是从与堆上的数据包数据相邻的任何数据中读取。之后，如果l2cu_find_ccb_by_cid()返回NULL并因此到达else分支，则对l2cu_send_peer_disc_rsp()[platform / system / bt / stack / l2cap / l2c_utils.cc]调用会将lcid和rcid发送到远程对等体，这样堆中的4个字节就会被泄漏。
请注意，l2cu_find_ccb_by_cid()可以完全受到攻击者的影响返回NULL(即始终返回到else分支)，因为该函数将始终返回NULL，除非在目标设备和攻击者的蓝牙设备之间设置一个活动通道控制块(CCB)，并设置假的lcid。
以下Python代码会触发漏洞并输出从目标蓝牙设备的com.android.bluetooth守护进程堆中泄漏的两个16位值。这个Python代码使用来自Blueborne框架中的l2cap_infra包。用法：sudo python l2cap02.py 样本：$ sudo python l2cap02.py hci0 00:11:22:33:44:55
漏洞#3：蓝牙SMP smp_sm_event() OOB数组索引
1. 简要
蓝牙范围内的远程攻击者可以使用Android蓝牙协议栈(Bluetooth stack)中的漏洞，使com.android.bluetooth守护进程访问之外的数组，方法就是通过将意外传输发送包里所含的SMP_OPCODE_PAIRING_REQ命令的SMP数据包发送到目标设备。
2. 漏洞详细信息
安全管理器协议(SMP)为运行在蓝牙低能耗堆栈上的应用程序提供服务访问，如设备身份验证、设备授权和数据隐私访问，以及对运行在蓝牙低能耗堆栈上的应用程序的访问。SMP协议位于L2CAP之上，位于预定义的L2CAP_SMP_CID (0x06)通道之上。传入的SMP数据包由smp_data_received()函数[platform/system/bt/stack/smp/smp_l2c.cc]处理。如果通过L2CAP_SMP_CID固定通道接收到一个SMP数据包，其中包含SMP_OPCODE_PAIRING_REQ (0x01)命令，则会出现以下代码:
如上面的代码所示，p_cb-> role设置为L2CA_GetBleConnRole(bd_addr)返回的值。 p_cb-> role应该包含其中一个值[platform / system / bt / stack / include / hcidefs.h]：
如果分析人员查看L2CA_GetBleConnRole()函数中[platform/system/bt/stack/l2cap/l2c_ble.cc]的代码，就可以发现它调用l2cu_find_lcb_by_bd_addr()来查找一个匹配远程BDADDR并使用低能耗传输(BT_TRANSPORT_LE)的活动链接控制块(LCB)结构;如果找不到它，则返回HCI_ROLE_UNKNOWN(0xff)。当分析人员通过在BR/EDR(基本速率/增强数据速率，也称为“classic”蓝牙)传输上发送包含SMP_OPCODE_PAIRING_REQ命令的SMP数据包来命令此代码时就是如下这种情况，它应该只用于低能耗(LE)传输：
所以，返回smp_data_received()函数，在将p_cb-> role设置为HCI_ROLE_UNKNOWN(0xff)之后，它调用smp_sm_event()[platform/system/bt/stack/smp/smp_main.cc]，得到以下代码。
在第957行，代码使用p_cb-> role作为索引从smp_entry_table静态数组中读取，而不检查p_cb-> role是否具有两个有效值中的一个，即HCI_ROLE_MASTER(0x00)或HCI_ROLE_SLAVE(0x01)。这就是漏洞：smp_entry_table静态数组只包含2个元素，而p_cb-> role的值为0xFF，在接收到包含SMP_OPCODE_PAIRING_REQ命令的SMP包后，在BR/EDR传输上，而不是在预期的低能耗传输之上。
因此，作为执行entry_table = smp_entry_table[0xff]时的OOB索引的结果，entry_table局部变量将包含一些垃圾值(位于bluetooth.default.so二进制文件的数据部分中的smp_entry_table全局变量之后的任何值)。因此，稍后在第975行，当取消对entry_table [event – 1] [curr_state]的引用时，它很可能会导致分段错误(受bluetooth.default.so二进制文件的特定版本的影响，其中包含smp_entry_table全局变量)，这将使com.android.bluetooth守护进程停止工作。
用法：$ sudo python smp01.py 样本：$ sudo python smp01.py hci0 00:11:22:33:44:55
时间线
写在最后的话
Quarkslab的分析人员已经向Google报告了三个影响Android蓝牙协议栈(Bluetooth stack)的漏洞。其中两个影响到了处理L2CAP协议的代码，它们允许远程攻击者(在蓝牙范围内)公开属于com.android.bluetooth进程的内存内容。这些内存泄露漏洞可能对攻击者在攻击过程的早期阶段有所帮助，甚至可能用于检索敏感数据。第三个漏洞是SMP协议实现中的带外数组索引错误，虽然很可能会导致com.android.bluetooth进程崩溃，但攻击者可能利用它来远程执行Android设备上的远程代码。有趣的是，与前两个L2CAP问题不同，此SMP错误不是解析格式错误的数据包的结果;实际上，它可以通过发送包含SMP_OPCODE_PAIRING_REQ的良好格式的SMP数据包来触发，但是是通过BR/EDR传输而不是预期的BLE传输。
java jdk SE只用于运行andriod模拟器要安装所有组件吗（开发工具。演示程序及样例。源代码。公共jre）
其实开发工具那块占最大，它已经包括了jre 但没有把jre写入注册表，所以浏览器用不了applet ，其它组件很小的。
如何用Fiddler对Android应用进行抓包
Tools -> Telerik Fiddler Options -> Connections
勾选Allow all computers to connect
设置端口号，只要未被占用即可。
再转到HTTPS选项，全部勾选，然后Actions -> Export Root Certificate to Desktop。 将桌面生成的cer文件导入手机安装。 这一步是设置抓https包。
点击ok。
然后获取本机的局域网ip。
然后在手机上设置代理，这里不同手机可能不同，就不详细说。
这样就行了。
有谁知道android应用性能兼容测试方法是什么吗？
1、爱内测平台兼容性测试主要通过由后台控制器INT服务器连接各手机，当收到测试请求时，会根据申请机型自动将APK传送给对应的机型，自动安装运行，卸载，并通过Monkey、UIT自动深度检测UI等测试。 2、客户端性能测试是指在运行应用过程中对CPU、内存、电量、流量、温度、启动时间、安装时间等方面进行监控，并自动生成图表。 3、专业的测试报告会详细记录兼容性测试过程的通过率、失败率以及测试不通过的有哪些机型等,方便测试定位重现。
发表评论