搜索

[15559] 2020-07-02_安全研究车机的渗透思路与实例分析

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2020-07-02_安全研究车机的渗透思路与实例分析 安 全 研 究   |   车 机 的 渗 透 思 路 与 实 例 分 析 p 1 2 a t e   F r e e B u f   2 0 2 0 - 0 7 - 0 2 基 础 知 识 ： 什 么 是 车 机 基 础 知 识 ： 什 么 是 车 机 车 机 ， 通 俗 理 解 就 是 车 内 的 那 块 大 屏 。 在 看 各 种 p a p e r 、 文 档 的 时 候 你 会 发 现 有 各 种 叫 法 。 I V I 、 A V N 、 H M I 、 H U 等 等 ， 不 要 疑 惑 ， 指 的 都 是 同 一 个 东 西 。 I V I : I n - V e h i c l e   I n f o t a i n m e n t ， 车 载 信 息 娱 乐 系 统 。 A V N : 指 的 是 a u d i o 、 v i d e o 、 n a v i g a t i o n 。 最 初 的 几 个 车 内 的 功 能 。 后 来 代 指 车 机 。 H M I :   人 机 接 口 。 这 个 前 面 也 讲 过 了 。 H U :   h e a d u n i t ， 老 外 喜 欢 这 么 叫 。 攻 击 面 分 析 方 法 论 攻 击 面 分 析 方 法 论 攻 击 面 的 本 质 是 什 么 ？ 不 知 道 大 家 有 没 有 想 过 这 个 问 题 。 其 实 就 是 I O 。 I n p u t 和 O u t p u t 。 只 有 在 你 能 与 目 标 进 行 I O 交 互 的 时 候 ， 才 可 能 、 才 可 以 进 行 测 试 以 及 安 全 测 试 。 理 解 这 个 本 质 ， 再 去 分 析 任 何 目 标 的 攻 击 面 就 好 理 解 的 多 了 。 我 们 输 入 数 据 ( I n ) ， 根 据 反 馈 ( O u t ) 判 断 是 否 存 在 问 题 、 数 据 中 的 p o c 是 否 正 确 执 行 等 。 理 解 这 个 本 质 ， 那 么 所 有 的 攻 击 面 ， 其 实 都 可 以 归 纳 为 寻 找 I n 的 过 程 ， 从 所 有 的 I n 的 路 径 ， 筛 选 出 具 备 攻 击 可 能 的 那 一 条 ， 然 后 展 开 测 试 。 不 过 这 里 还 要 说 明 一 下 ， 攻 击 面 的 寻 找 ， 跟 漏 洞 的 确 认 ， 是 两 个 不 同 的 环 节 。 一 个 是 开 始 ， 一 个 是 结 尾 。 车 机 的 攻 击 面 研 究 车 机 的 攻 击 面 研 究 有 了 上 面 的 方 法 论 做 基 础 ， 再 去 分 析 车 机 的 攻 击 面 ， 其 实 思 路 就 很 清 楚 了 。 就 是 寻 找 能 与 车 机 进 行 数 据 交 互 的 方 法 。 根 据 交 互 距 离 ， 我 习 惯 分 成 如 下 几 个 类 别 ： 接 触 攻 击 面 H M I / 触 摸 屏 ： 你 使 用 触 摸 屏 ， 其 实 也 是 一 种 I O 的 过 程 。 硬 件 设 备 及 接 口 ： 如 u s b 、 O B D 等 。 近 场 攻 击 面 车 机 系 统 以 及 车 机 应 用 的 使 用 方 式 ， 如 w i f i 、 蓝 牙 。 远 程 攻 击 面 ， 车 机 的 远 程 攻 击 面 不 常 见 ， 移 动 A p p 大 多 情 况 下 都 是 与 T b o x 做 交 互 。 这 里 就 暂 时 不 多 说 了 。 C 车 机 破 解 过 程 研 究 车 机 破 解 过 程 研 究 关 于 如 何 获 取 实 验 室 设 备 等 等 ， 不 再 赘 述 了 。 简 言 之 就 是 实 验 室 环 境 下 我 们 拥 有 C 车 机 、 配 套 的 显 示 屏 、 C 车 机 线 束 引 出 来 的 u s b 接 口 。 识 别 系 统 识 别 系 统 车 机 点 亮 之 后 ， 看 起 来 很 酷 炫 的 界 面 。 只 看 界 面 其 实 是 比 较 难 判 断 到 底 是 什 么 系 统 的 。 不 过 ， 常 见 的 车 机 系 统 无 非 就 是 安 卓 、 Q N X 以 及 i n u x 。 不 过 黑 盒 状 态 下 如 何 具 体 判 断 系 统 版 本 呢 ？ 我 个 人 比 较 喜 欢 使 用 网 络 抓 包 分 析 的 方 法 。
搞 一 个 可 以 抓 包 的 w i f i ， 也 可 以 使 用 你 的 手 机 热 点 ， 前 提 是 能 抓 包 。 打 开 车 机 内 可 以 联 网 使 用 的 a p p 。 寻 找 需 要 联 网 的 功 能 ， 触 发 网 络 请 求 ， 最 好 是 h t t p 的 请 求 ， 如 图 片 等 。 我 一 般 喜 欢 选 版 本 检 测 更 新 ， 登 录 ， 注 册 ， 图 片 等 。 打 开 捕 获 的 数 据 包 ， 寻 找 h t t p 请 求 ， 检 查 U s e r - A g e n t 。 如 下 就 是 我 们 捕 获 到 的 一 个 h t t p 的 U A ： 这 个 U A 可 以 得 出 以 下 结 论 ： 使 用 的 A n d r o i d   4 . 4 . 2 。 X 4 x x   A U T O   是 车 型 信 息 。 M X 6 Q 是 硬 件 设 备 相 关 的 信 息 。 B u i l d / A 3 . 0 2 . 0 9 2 0 8   应 该 是 这 个 请 求 发 起 的 软 件 的 版 本 编 号 。 4 . 4 . 2   的 安 卓 漏 洞 应 该 挺 多 的 ， 但 是 前 提 是 你 需 要 有 数 据 输 入 的 通 道 ， 得 有 个 入 口 。 这 也 就 是 审 计 与 渗 透 所 不 同 的 地 方 。 审 计 是 把 所 有 的 问 题 都 找 出 来 告 诉 你 ， 很 可 能 大 部 分 都 不 能 被 直 接 利 用 。 而 渗 透 ， 是 找 出 来 能 被 利 用 的 漏 洞 并 验 证 可 用 。 不 抬 杠 ， 这 个 U A 判 断 不 一 定 完 全 准 确 ， 所 以 可 以 多 找 几 个 a p p 的 请 求 多 看 一 下 ， 毕 竟 所 有 的 h t t p 头 都 是 可 以 被 定 制 的 。 安 卓 车 机 的 渗 透 思 路 安 卓 车 机 的 渗 透 思 路 国 内 很 多 车 厂 负 责 车 机 的 T i e r 1 ， 使 用 的 系 统 都 比 较 老 旧 ， 4 . 4 的 比 较 多 ， 一 直 不 太 明 白 这 个 原 因 。 使 用 这 个 系 统 对 我 们 来 说 基 本 只 要 找 到 进 入 点 ， 提 权 啥 的 都 比 较 容 易 ， 因 为 可 用 的 漏 洞 还 是 比 较 多 的 。 但 是 如 何 寻 找 进 入 点 呢 ？ 系 统 升 级 / a p p 升 级 漏 洞 w e b v i e w 漏 洞 系 统 内 置 应 用 漏 洞 车 机 系 统 自 身 的 b u g 我 前 面 的 文 章 里 大 概 讲 过 一 下 T i e r 1   跟 T i e r 2 ， 如 果 没 有 看 过 之 前 的 文 章 也 没 关 系 ， 大 家 可 以 这 么 车 机 ： 缝 合 怪 。 攒 一 个 车 机 可 能 有 三 拨 人 ： 攒 系 统 的 ， 通 用 软 件 厂 商 ， 车 厂 自 己 的 软 件 外 包 。 这 么 一 个 缝 缝 补 补 的 怪 物 ， 出 现 3 不 管 地 带 很 常 见 。 千 万 别 把 车 厂 的 软 件 品 控 想 的 太 牛 逼 ， 尤 其 是 国 内 车 厂 ， 外 包 的 质 量 更 不 用 说 了 。 系 统 升 级 系 统 升 级 C 这 台 车 机 ， 做 的 相 对 还 算 不 错 的 。 系 统 升 级 可 以 本 地 以 及 网 络 ， 本 地 升 级 的 话 需 要 去 下 载 升 级 包 。 网 络 升 级 的 话 联 网 后 直 接 通 过 网 络 匹 配 版 本 ， 然 后 下 载 升 级 包 。 不 过 可 惜 的 是 ， 人 家 的 升 级 包 都 是 加 密 的 。 嗯 嗯 ， 搞 不 清 楚 解 密 方 法 之 前 ， 这 个 地 方 无 从 下 嘴 。 a p p 个 体 的 的 升 级 呢 ， 直 接 砍 掉 了 。 只 能 通 过 大 版 本 的 升 级 来 升 级 单 个 a p p 。 此 路 不 通 。 我 们 看 下 一 个 。 D a l v i k / 1 . 6 . 0   ( L i n u x ; U ; A n d r o i d   4 . 4 . 2 ; X 4 x x A U T O - M X 6 Q   B u i l d / A 3 . 0 2 . 0 9 2 0 8 )
w e b v i e w 通 过 前 面 的 抓 包 分 析 ， h t t p 请 求 不 少 ， 但 是 触 发 w e b v i e w 解 析 的 不 多 ， 不 少 都 是 j s o n 数 据 。 序 列 化 漏 洞 ？ 嗯 嗯 ， 想 法 不 错 。 在 一 个 隐 私 资 料 里 面 ， 发 现 一 个 u r l 可 以 点 击 ， 看 起 来 点 击 就 打 开 一 个 类 似 浏 览 器 的 东 西 。 只 不 过 域 名 写 死 的 。 这 个 肯 定 也 难 不 倒 我 们 。 d n s 劫 持 就 可 以 了 。 随 便 写 个 a l e r t 的 页 面 测 试 下 是 不 是 可 以 执 行 j s ， 失 望 了 ， 并 没 有 弹 框 。 我 们 浏 览 器 的 大 牛 研 究 了 端 时 间 发 现 没 有 可 利 用 的 漏 洞 ， 放 弃 了 。 不 过 到 这 一 步 ， 并 不 全 是 没 有 收 获 ， 我 们 自 己 改 造 了 一 个 黑 盒 流 量 分 析 的 工 具 出 来 ， 实 现 h t t p 的 自 动 保 存 、 d n s 的 劫 持 以 及 泛 域 名 的 劫 持 、 路 由 劫 持 等 。 这 条 路 也 不 通 啊 ， 再 往 下 看 呗 。 内 置 应 用 内 置 应 用 C 车 机 主 界 面 可 拉 起 的 内 置 应 用 很 少 ， 除 了 地 图 、 音 乐 这 些 常 规 的 并 没 有 太 多 可 发 挥 的 空 间 。 系 统 系 统 b u g 在 有 些 沮 丧 的 时 候 ， 有 一 个 好 玩 的 发 现 。 当 把 无 线 键 鼠 的 u s b 接 收 器 插 到 车 机 的 u s b 接 口 时 ， 系 统 会 对 键 盘 的 部 分 按 键 做 出 反 应 。 在 某 一 个 特 定 的 系 统 主 题 下 面 ， 系 统 会 对 键 盘 的 属 性 键 做 出 反 应 ， 右 下 角 弹 出 一 个 菜 单 ， 包 括 壁 纸 、 管 理 应 用 以 及 系 统 设 置 。 看 到 这 里 我 有 种 预 感 ， 这 里 应 该 可 以 搞 定 。 你 想 起 来 什 么 了 ？ w i n d o w s   3 3 8 9 的 输 入 法 绕 过 登 录 界 面 拉 起 c m d 的 利 用 ？ 还 是 早 期 安 卓 电 视 可 以 调 出 系 统 设 置 菜 单 ？ 经 过 省 略 1 w 字 的 坚 持 不 懈 的 人 肉 测 试 之 后 ， 终 于 发 现 ， 管 理 应 用 中 可 以 调 出 某 一 个 输 入 法 的 配 置 界 面 ， 注 ： 配 图 非 原 图 ， 保 密 性 的 关 系 ， 原 图 没 办 法 放 出 来 ， 帮 助 大 家 理 解 下 这 个 流 程 。
这 个 输 入 法 的 设 置 按 钮 可 以 拉 起 “ 语 音 和 输 入 法 ” 的 界 面 ， 然 后 点 击 “ 语 音 和 输 入 法 ” ， 就 返 回 了 系 统 设 置 界 面 。
到 这 里 却 被 卡 住 了 ， 应 用 程 序 界 面 并 没 有 安 装 的 按 钮 。 肯 定 不 能 在 这 里 放 弃 啊 ， 搞 来 搞 去 ， 发 现 在 设 置 界 面 有 个 主 屏 幕 的 选 项 ， 进 去 之 后 ， 看 到 几 个 启 动 器 ， 选 择 名 字 是 “ 启 动 器 ” 的 那 个 启 动 器 ， 回 到 主 界 面 ， 哈 哈 ， 主 界 面 变 空 白 了 ， 右 边 出 现 了 那 个 久 违 的 代 表 应 用 程 序 的 按 钮 。 想 象 下 ， 空 也 没 只 有 红 框 里 的 程 序 按 钮 。 点 击 ， 桃 花 源 出 来 了 。 系 统 所 有 的 安 装 的 应 用 程 序 都 在 这 里 了 。 接 触 式 接 触 式 g e t s h e l l 应 用 程 序 里 面 有 三 个 引 起 了 我 们 的 注 意 ， 一 个 叫 “ 工 程 模 式 ” ， 一 个 是 E S 文 件 管 理 器 ， 还 有 一 个 叫 “ 安 装 ” 。 E S 文 件 管 理 器 版 本 不 高 ， 存 在 漏 洞 ， 但 是 权 限 不 够 ， 无 法 安 装 应 用 。 工 程 模 式 ， 拉 起 一 看 ， 像 是 内 部 测 试 用 的 应 用 。 在 其 中 一 个 菜 单 中 发 现 连 接 A D B ， 点 击 ， 接 上 U S B ， 果 然 a d b 出 来 了 。 更 要 命 的 是 ， 居 然 是 r o o t 。 通 过 a d b ， 我 们 拉 下 来 车 机 内 的 所 有 的 a p p 进 行 分 析 ， 幸 运 的 还 找 到 了 一 个 解 密 后 的 升 级 包 。 这 下 就 可 以 进 行 静 态 分 析 了 。 到 这 里 ， 已 经 差 不 多 了 ， 还 有 一 个 “ 安 装 ” 没 有 看 。 负 责 移 动 安 全 的 同 学 看 了 下 逆 向 的 的 “ 安 装 ” a p p ， 发 现 只 要 在 u 盘 特 定 目 录 下 的 应 用 程 序 就 可 以 进 行 安 装 。 安 装 应 用 也 搞 定 了 。 近 场 攻 击 近 场 攻 击 近 场 的 攻 击 思 路 比 较 明 确 ， 车 机 没 有 蓝 牙 只 有 w i f i 。 接 入 车 机 的 W I I F 热 点 或 者 让 车 机 接 入 我 的 可 控 的 W I F I 。 然 后 进 行 端 口 扫 描 。 端 口 扫 描 只 有 有 限 的 两 个 端 口 在 开 放 。 接 触 式 g e t s h e l l 以 后 ， 才 对 开 放 了 这 两 个 端 口 的 j a r 进 行 分 析 ， 发 现 这 个 s o c k e t 协 议 可 以 写 文 件 ， 并 且 没 有 检 查 文 件 名 。 剩 下 的 套 路 就 比 较 简 单 了 ： 还 原 s o c k e t 协 议 格 式 。
编 写 p o c 。 不 过 ， 只 能 写 文 件 其 实 是 不 够 的 ， 非 接 触 式 的 情 况 下 ， 我 们 希 望 写 入 的 后 门 能 被 自 动 拉 起 运 行 。 疑 似 疑 似 0 d a y 我 们 分 析 了 安 卓 4 . 4   的 开 机 流 程 ， P M S 负 责 应 用 程 序 的 安 装 卸 载 包 管 理 等 。 其 中 ： / d a t a / s y s t e m / u s e r s / u s e r I d / P a c k a g e - r e s t r i c t i o n s . x m l 这 个 文 件 记 录 了 应 用 的 e n a b l e 或 者 d i s a b l e 的 信 息 。 然 后 经 过 分 析 相 关 的 安 卓 源 代 码 ， 发 现 了 一 个 疑 似 0 d a y 的 漏 洞 ， 通 过 写 入 / 修 改 特 定 目 录 的 文 件 ， 就 可 以 实 现 写 入 的 应 用 在 系 统 重 启 后 被 拉 起 的 目 的 。 这 里 真 的 不 能 多 说 了 。 结 尾 结 尾 其 实 C 这 台 车 机 的 安 全 在 我 们 看 过 的 车 机 里 面 还 算 一 般 的 ， 不 过 比 起 那 些 可 以 远 程 s s h 的 车 机 来 说 ， 已 经 算 很 好 了 。 不 过 关 于 “ 缝 合 怪 ” 这 个 称 呼 也 一 点 都 没 有 叫 错 。 系 统 这 块 安 卓 4 . 4   并 不 能 算 是 很 大 的 问 题 ， 问 题 在 于 做 二 次 开 发 以 及 车 厂 自 己 的 d e b u g 软 件 上 存 在 很 多 的 安 全 隐 患 。 上 层 的 负 责 导 航 等 软 件 的 厂 商 的 安 全 水 位 明 显 比 系 统 的 高 出 不 少 ， 但 是 沙 地 起 高 楼 也 没 什 么 用 处 。 所 以 还 是 那 句 话 ， 千 里 之 堤 毁 于 蚁 穴 。 永 远 不 要 小 看 任 何 一 个 b u g ， 因 为 这 个 b u g 可 能 会 导 致 你 最 后 全 军 覆 没 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理