搜索

[27720] 2019-12-11_所按非所得——聊一聊StandHogg漏洞

文档创建者：s7ckTeam
浏览次数：127
最后更新：2025-01-19
2019-12-11_所按非所得——聊一聊StandHogg漏洞 所 按 非 所 得 — — 聊 一 聊 S t a n d H o g g 漏 洞 原 创   h e e e e e n   O P P O 安 全 应 急 响 应 中 心   2 0 1 9 - 1 2 - 1 1 收 录 于 话 题   # 子 午 实 验 室 专 辑   , 1 0 个 以 上 文 章 由 来 自 O P P O 子 午 互 联 网 安 全 实 验 室 【 h e e e e e n 】 有 赏 投 稿 ， 也 欢 迎 广 大 朋 友 继 续 投 稿 ， 详 情 可 点 击 O S R C 重 金 征 集 文 稿 ！ ！ ！ 了 解 ~ ~ 关 于 关 于 S t a n d H o g g 漏 洞 漏 洞 最 近 ， 一 家 挪 威 安 全 公 司 P r o m o n 爆 料 了 一 种 A n d r o i d 点 击 劫 持 型 漏 洞 ， 并 取 了 一 个 有 趣 的 名 字 S t a n d H o g g ， 声 称 这 个 漏 洞 影 响 所 有 A n d r o i d 系 统 版 本 ， 5 0 0 个 流 行 A p p 已 在 风 险 之 中 ， 3 6 个 利 用 该 漏 洞 的 恶 意 A p p 已 被 发 现 ， 且 漏 洞 利 用 无 需 获 取 手 机 R o o t 权 限 。 S t a n d H o g g ， 一 种 维 京 海 盗 所 使 用 的 偷 袭 战 术 ， 此 词 后 来 也 在 北 欧 文 化 中 描 述 商 业 活 动 中 的 恶 意 接 管 。 怎 么 回 事 怎 么 回 事
怎 么 回 事 怎 么 回 事 根 据 P r o m o n 的 描 述 ， 这 个 漏 洞 要 求 受 害 者 的 手 机 安 装 恶 意 A p p 。 在 受 害 者 在 点 击 正 常 A p p 的 时 候 ， 却 弹 出 恶 意 A p p 的 界 面 ， 这 个 界 面 可 能 要 求 用 户 授 予 权 限 ， 或 者 展 现 与 正 常 A p p 界 面 一 样 的 输 入 框 ， 要 求 用 户 输 入 用 户 名 和 密 码 ， 然 后 再 回 到 正 常 A p p 。 这 样 ， 不 知 不 觉 中 ， 恶 意 A p p 就 悄 悄 地 被 授 予 权 限 ， 或 者 窃 取 了 用 户 的 敏 感 信 息 。 P r o m o n 介 绍 的 漏 洞 利 用 流 程 从 描 述 上 看 ， 这 个 漏 洞 属 于 U I 欺 骗 ， 要 了 解 漏 洞 原 理 ， 我 们 需 要 先 了 解 A n d r o i d   A c t i v i t y 的 任 务 栈 和 启 动 模 式 。 A c t i v i t y 任 务 栈 与 启 动 模 式 任 务 栈 与 启 动 模 式 任 务 栈 ( T a s k R e c o r d ) 是 一 种 放 置 A c t i v i t y 的 “ 后 进 先 出 ” 栈 结 构 ， 我 们 每 启 动 一 个 A c t i v i t y ， 就 会 放 在 一 个 任 务 栈 的 顶 端 。 例 如 ， 以 一 台 配 备 A n d r o i d   9 . 0 的 P i x e l 3 手 机 为 例 ， 我 们 打 开 手 机 中 的 “ 设 置 ” ， 打 开 “ 网 络 和 互 联 网 ” ， 点 击 “ W L A N ” 。 然 后 ， 我 们 可 以 查 看 手 机 中 的 任 务 栈 此 时 ， 显 示 在 最 前 面 的 S u b S e t t i n g s ， 位 于 栈 顶 。 往 栈 底 方 向 依 次 为 S e t t i n g s $ N e t w o r k D a s h b o a r d A c t i v i t y 和 S e t t i n g s 。 如 果 点 击 后 退 ， 回 到 “ 网 络 和 互 联 网 ” ， 则 任 务 栈 显 示 如 下 。 之 前 最 后 入 栈 的 S u b S e t i n g s 就 已 经 出 栈 了 。 这 样 ， 每 按 一 下 后 退 ， 就 会 有 一 个 A c t i v i t y 出 栈 ， 直 到 栈 空 为 止 ， 当 栈 中 没 有 任 何 A c t i v i t y 时 ， 系 统 就 会 回 收 这 个 任 务 栈 。 作 为 系 统 的 默 认 行 为 ， 每 次 启 动 一 个 A c t i v i t y ， 都 会 创 建 这 个 A c t i v i t y 的 实 例 ， 这 样 就 会 重 复 创 建 。 因 此 ， A n d r o i d 提 供 了 启 动 模 式 $   a d b   s h e l l   d u m p s y s   a c t i v i t y   |   g r e p   - A 6   " R u n n i n g   a c t i v i t i e s "
（ l a u n c h M o d e ） 来 改 变 系 统 的 默 认 行 为 ， 主 要 包 括 以 下 四 种 ： s t a n d a r d :   标 准 模 式 ， 也 是 系 统 默 认 模 式 。 每 启 动 一 个 A c t i v i t y 都 会 重 新 创 建 这 个 A c t i v i t y 的 实 例 ， 不 管 其 是 否 已 经 存 在 。 这 个 A c t i v i t y 的 生 命 周 期 中 的 o n C r e a t e 、 o n S t a r t 、 o n R e s u m e 都 会 被 调 用 ； s i n g l e T o p :   栈 顶 复 用 模 式 。 如 果 A c t i v i t y 已 经 位 于 任 务 栈 的 栈 顶 ， 再 启 动 时 就 不 会 重 新 创 建 ， 但 它 的 o n N e w I n t e n t 方 法 被 回 调 。 注 意 ， 如 果 A c t i v i t y 已 存 在 ， 但 不 是 位 于 栈 顶 ， 在 启 动 时 仍 然 会 重 新 创 建 一 个 实 例 。 s i n g l e T a s k :   栈 内 复 用 模 式 。 只 要 A c t i v i t y 在 一 个 栈 中 存 在 ， 那 么 多 次 启 动 此 A c t i v i t y 都 不 会 重 新 创 建 这 个 A c t i v i t y 的 新 的 实 例 ， 此 时 ， o n N e w I n t e n t 方 法 也 会 被 回 调 。 具 体 而 言 ， 当 一 个 具 有 s i n g l e T a s k 模 式 的 A c t i v i t y 被 启 动 ， 如 果 没 有 此 A c t i v i t y 的 任 务 栈 ， 系 统 就 会 重 新 创 建 一 个 任 务 栈 ， 然 后 创 建 这 个 A c t i v i t y 的 实 例 放 到 其 中 。 如 果 已 存 在 这 个 A c t i v i t y 的 任 务 栈 ， 则 把 它 调 到 任 务 栈 的 栈 顶 。 s i n g l e I n s t a n c e ： 单 实 例 模 式 。 这 是 一 种 加 强 的 s i n g l e T a s k 模 式 ， 除 了 具 有 s i n g l e T a s k 的 所 有 特 性 外 ， 还 必 须 单 独 地 位 于 一 个 任 务 栈 中 ， 具 有 独 占 任 务 栈 的 特 性 。 关 于 关 于 T a s k A f f i n i t y   和 和 T a s t R e p a r e n t i n g 上 面 谈 到 了 任 务 栈 ， 那 么 不 同 的 任 务 栈 如 何 区 分 ？ 答 案 就 是 通 过 T a s k A f f i n i t y （ 任 务 相 关 性 ） 这 个 参 数 ， 这 个 参 数 标 识 了 一 个 A c t i v i t y 进 入 的 任 务 栈 的 名 字 。 在 不 指 定 这 个 参 数 的 默 认 情 况 下 ， A c t i v i t y 进 入 任 务 栈 的 名 字 就 是 应 用 的 包 名 。 例 如 ， 打 开 G m a i l 应 用 ， 其 A c t i v i t y 的 T a s k A f f i n i t y 就 为 c o m . g o o g l e . a n d r o i d . g m 开 发 者 也 可 以 为 A c t i v i t y 单 独 指 定 T a s k A f f i n i t y ， 此 时 需 要 与 s i n g l e T a s k 或 者 a l l o w T a s k R e p a r e n t i n g 结 合 使 用 ， 这 里 我 们 只 讨 论 后 一 种 情 况 。 a l l o w T a s k R e p a r e n t i n g 属 性 的 作 用 是 A c t i v i t y 的 迁 移 ， 从 一 个 任 务 栈 迁 移 到 另 一 个 任 务 栈 。 回 到 文 章 的 主 题 ， S t a n d H o g g 漏 洞 主 要 就 是 利 用 了 T a s k A f f i n i t y 和 a l l o w T a s k R e p a r e n t i n g 结 合 使 用 的 特 性 。 P O C 让 我 们 来 做 个 实 验 ， 编 写 一 个 恶 意 A p p ， 设 置 其 a l l o w T a s k R e p a r e n t i n g = t r u e ， 同 时 把 其 t a s k A f f i n i t y 设 为 G m a i l 的 包 名 ， 也 就 是 说 把 G m a i l 作 为 S t a n d H o g g 劫 持 的 对 象 。
然 后 我 们 打 开 这 个 A c t i v i t y ： 接 着 点 击 H o m e 按 键 ， 回 到 桌 面 ， 此 时 我 们 查 看 一 下 任 务 栈 ， 发 现 其 T a s k A f f i n i t y 属 性 已 经 设 置 成 功 。 此 时 ， 我 们 打 开 G m a i l ， 却 发 现 打 开 的 仍 然 是 前 面 显 示 ” H a c k e d ” 的 那 个 我 们 所 编 写 恶 意 应 用 的 M a i n 2 A c t i v i t y 。 再 次 查 看 任 务 栈 ， 会 发 现 恶 意 的 M a i n 2 A c t i v i t y 位 于 G m a i l   A c t i v i t y 的 上 面 。 因 此 ， 这 样 就 劫 持 成 功 了 。 这 个 M a i n 2 A c t i v i t y 可 以 做 得 跟 真 的 目 标 应 用 一 样 ， 可 以 伪 造 假 的 登 录 框 、 弹 出 权 限 授 权 框 … … ， 各 种 利 用 方 式 可 以 自 由 发 挥 ， 然 后 再 用 户 操 作 后 回 到 目 标 应 用 ， 这 样 ， 悄 无 声 息 地 窃 取 用 户 信 息 。 P r o m o n 也 声 称 ， 已 经 掌 握 了 恶 意 A p p 利 用 此 漏 洞 的 证 据 。 P O C 代 码 见 h t t p s : / / g i t h u b . c o m / I v a n - M a r k o v i c / A n d r o i d - T a s k - I n j e c t i o n
评 价 评 价   S t a n d h o g g 漏 洞 利 用 了 A n d r o i d   A c t i v i t y 启 动 模 式 的 一 个 细 微 特 性 ， 对 于 普 通 用 户 而 言 ， 还 是 有 较 大 的 欺 骗 性 和 危 害 。 截 止 目 前 ， 也 没 有 任 何 补 丁 可 打 。 好 在 恶 意 A p p 的 特 征 比 较 明 显 ， 极 易 被 识 别 ， G o o g l e   P l a y 已 经 采 取 了 行 动 ， 下 架 了 采 用 这 种 攻 击 技 术 的 恶 意 A p p 。 作 为 用 户 而 言 ， 除 了 睁 大 眼 睛 仔 细 辨 别 以 外 ， 还 可 以 在 启 动 敏 感 应 用 前 ， 清 除 一 次 后 台 应 用 进 行 防 御 。 这 种 A c t i v i t y 的 U I 欺 骗 也 早 就 在 学 术 界 提 出 ， 还 有 其 他 利 用 方 法 ， 详 见 参 考 。 不 过 此 次 P r o m o n 取 名 S t a n d H o g g ， 通 过 各 大 科 技 媒 体 将 其 影 响 广 而 告 之 ， 并 找 到 了 恶 意 应 用 利 用 此 漏 洞 的 确 凿 证 据 ， 对 A n d r o i d 安 全 生 态 的 提 升 具 有 正 面 意 义 。 参 考 ： [ T o w a r d s   D i s c o v e r i n g   a n d   U n d e r s t a n d i n g   T a s k   H i j a c k i n g   i n   A n d r o i d ] ( h t t p s : / / w w w . u s e n i x . o r g / s y s t e m / f i l e s / c o n f e r e n c e / u s e n i x s e c u r i t y 1 5 / s e c 1 5 - p a p e r - r e n - c h u a n g a n g . p d f ) [ A n d r o i d   T a s k   H i j a c k i n g ] ( h t t p s : / / w w w . s l i d e s h a r e . n e t / p h d a y s / a n d r o i d - t a s k - h i j a c k i n g ) [ T h e   S t r a n d H o g g   v u l n e r a b i l i t y ] ( h t t p s : / / p r o m o n . c o / s e c u r i t y - n e w s / s t r a n d h o g g / ) [ 一 种 新 的 基 于 A P P 启 动 模 式 的 劫 持 攻 击 方 案 ] ( h t t p : / / w w w . c n k i . c o m . c n / A r t i c l e / C J F D T o t a l - W H D Y 2 0 1 8 0 2 0 0 7 . h t m )   任 玉 刚 ， 《 A n d r o i d 开 发 艺 术 探 索 》 h t t p s : / / a r s t e c h n i c a . c o m / i n f o r m a t i o n - t e c h n o l o g y / 2 0 1 9 / 1 2 / v u l n e r a b i l i t y - i n - f u l l y - p a t c h e d - a n d r o i d - p h o n e s - u n d e r - a c t i v e - a t t a c k - b y - b a n k - t h i e v e s /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理