搜索

[7551] 2021-03-30_记一次解除某平板管理软件的限制

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2021-03-30_记一次解除某平板管理软件的限制 记 一 次 解 除 某 平 板 管 理 软 件 的 限 制 F 1 2 s e c   2 0 2 1 - 0 3 - 3 0 编 者 荐 语 ： 大 家 学 习 学 习 以 下 文 章 来 源 于 广 软 N S D A 安 全 团 队   ， 作 者 L o k i 推 文 开 头 ， 先 学 习 一 下 中 华 人 民 共 和 国 网 络 安 全 法 ， 大 家 要 做 一 名 合 法 的 白 帽 子 ， 不 要 搞 事 情 。       本 推 文 仅 用 于 信 息 防 御 技 术 教 学 ， 切 勿 用 于 其 他 用 途 ， 有 侵 权 或 者 存 在 危 害 性 ， 请 联 系 我 进 行 删 除 。 前 言 大 部 分 采 用 智 慧 课 堂 教 学 的 学 校 都 是 用 某 平 板 管 理 软 件 进 行 对 平 板 的 管 控 ， 能 实 现 限 制 网 络 连 接 ， 限 制 A P P 的 安 装 ， 实 时 获 取 设 备 信 息 等 。 这 里 将 会 介 绍 解 除 平 板 管 控 的 一 些 已 经 验 证 过 可 用 的 思 路 。 这 是 一 个 两 年 半 之 前 实 施 的 项 目 , 因 为 一 些 数 据 丢 失 的 原 因 这 里 无 法 进 行 整 个 系 统 的 环 境 复 现 ， 也 没 有 太 多 成 果 截 图 ， 这 里 只 能 根 据 好 友 共 享 的 系 统 镜 像 最 大 限 度 地 还 原 当 时 的 思 路 环 境 概 述 拿 到 平 板 之 后 ， 简 单 的 测 试 了 一 下 ， 发 现 许 多 可 以 利 用 的 点 ： • 平 板 采 用 高 度 定 制 的 安 卓 7 . 1 . 1 系 统 • 平 板 使 用 验 证 A P K 包 名 的 方 法 来 判 断 是 否 属 于 白 名 单 • 平 板 的 网 络 防 火 墙 并 未 限 制 1 9 2 . 1 6 8 . 0 . 0 / 1 6 以 及 1 7 2 . 1 6 . 0 . 0 / 1 6 • 虽 然 系 统 将 U S B 设 置 为 仅 充 电 但 是 在 系 统 开 机 加 载 时 有 短 暂 的 几 秒 能 使 用 A D B • B o o t l o a d e r 可 被 解 锁 广 软 广 软 N S D A 安 全 团 队 安 全 团 队   . 技 术 分 享 ， 感 谢 关 注 h t t p s : / / w w w . c t o . a c . c n / t h r e a d - 1 0 6 . h t m
• 存 在 一 个 “ 管 理 员 设 置 ” 并 由 密 码 保 护 ， 密 码 可 能 随 云 端 更 新 • 平 板 管 理 始 终 没 有 调 用 R O O T 权 限 准 备 工 作 为 了 更 加 透 彻 地 了 解 这 个 系 统 ， 我 利 用 短 暂 的 A D B 进 入 b o o t l o a d e r 并 解 锁 b o o t l o a d e r ， 然 后 刷 入 T W R P ， 将 系 统 的 镜 像 提 取 了 出 来 ， 检 视 应 用 列 表 后 发 现 ， 对 平 板 的 限 制 极 有 可 能 是 由 包 名 为 的 定 制 桌 面 操 控 ， 于 是 开 始 整 活 。 解 除 过 程 尝 试 卸 载 桌 面 既 然 是 有 可 能 由 桌 面 操 控 ， 那 么 卸 载 掉 桌 面 极 有 可 能 会 解 除 管 控 ， 对 桌 面 使 用 d e x 2 j a r 进 行 简 单 逆 向 ， 发 现 在 设 备 从 未 联 网 时 ， 管 理 员 默 认 密 码 为 * * * * * ， 于 是 在 b o o t l o a d e r 双 清 设 备 ， 启 动 系 统 ， 断 网 并 进 入 管 理 员 登 录 界 面 ， 输 入 默 认 密 码 成 功 进 入 管 理 员 界 面 ， 管 理 员 界 面 功 能 如 下 ： 源 码 中 的 默 认 密 码 c o m . a n d r o i d . l a u n c h e r 3
管 理 员 设 置 界 面 虽 然 那 个 解 除 限 制 十 分 诱 人 ， 但 是 后 期 的 逆 向 发 现 这 是 对 平 板 使 用 限 制 的 解 除 而 非 A p p 或 T C P / I P 的 限 制 。 回 到 正 题 ， 我 们 打 开 u s b 连 接 电 脑 ， 并 连 接 电 脑 ， 顺 利 进 入 a d b 调 试 界 面 ， 于 是 执 行 以 及 ， 完 成 后 重 启 设 备 ， 由 于 其 内 置 的 部 分 A p p 有 内 嵌 W e b 访 问 以 访 问 登 录 或 重 置 密 码 的 网 页 ， 我 们 可 以 使 用 A R P 劫 持 使 其 强 行 访 问 我 们 指 定 的 网 站 ， 测 试 结 果 发 现 卸 载 c o m . a n d r o i d . l a u n c h e r 3 后 ， 网 址 白 名 单 已 被 解 除 ， 然 而 A p p 的 安 装 限 制 仍 未 解 除 ， 这 更 加 印 证 了 c o m . a n d r o i d . l a u n c h e r 3 对 平 板 的 限 制 有 着 千 丝 万 缕 的 联 系 。 也 意 味 着 我 们 需 要 进 行 进 一 步 的 逆 向 。 a d b   u n i n s t a l l   c o m . a n d r o i d . l a u n c h e r 3 a d b   i n s t a l l   n e w d e s k . a p k
卸 载 桌 面 并 使 用 A R P 劫 持 后 成 功 访 问 白 名 单 外 的 网 页 攻 破 管 理 员 登 录 从 前 面 的 研 究 结 果 来 看 ， 管 理 员 界 面 是 一 个 极 为 关 键 的 跳 板 ， 如 果 能 绕 过 管 理 员 界 面 或 得 到 密 码 将 会 对 后 续 操 作 有 极 大 的 帮 助 ， 于 是 开 始 审 阅 源 码 。 在 逆 向 出 来 的 j a r 包 里 ， 很 容 易 发 现 一 个 名 为 的 类 控 制 着 管 理 员 登 录 界 面 ， 得 到 了 登 录 相 关 的 方 法 ： 登 录 方 法 的 J a v a 源 码 显 然 我 们 可 以 修 改 源 文 件 以 将 “ 用 户 名 且 密 码 正 确 ” 的 逻 辑 改 成 “ 用 户 名 或 密 码 正 确 ” 或 者 “ 用 户 名 正 确 且 密 码 错 误 ” 以 达 到 输 入 任 意 值 即 可 进 入 管 理 员 界 面 。 但 是 我 们 并 不 能 直 接 编 辑 d e x 2 j a r 得 到 的 j a v a 文 件 ， 我 们 需 要 更 深 一 层 ， 通 过 对 照 j a v a 源 代 码 去 编 辑 S m a l i 文 件 ， 好 在 S m a l i 语 言 不 算 特 别 难 理 解 ， 很 快 发 现 逻 辑 判 断 的 地 方 ， 如 图 ： L o g i n A c t i v i t y
判 断 逻 辑 的 S m a l i 代 码 解 析 于 是 ， 我 们 可 以 把 密 码 判 断 的 i f - e q z 替 换 成 i f - n e z ， 这 样 如 果 用 户 输 入 错 误 的 密 码 就 不 跳 转 ， 进 行 登 录 成 功 的 流 程 ， 不 仅 如 此 ， 我 们 可 以 更 进 一 步 ， 在 l i n e   1 0 4 中 调 用 s P F T o o l 来 读 取 管 理 员 密 码 时 插 入 一 个 弹 窗 ， 把 密 码 值 通 过 弹 窗 弹 出 来 ， 在 后 面 插 入 如 下 代 码 ： 即 可 在 登 录 中 程 序 调 用 密 码 时 将 密 码 弹 出 来 ， 由 于 我 使 用 的 是 早 期 版 本 的 平 板 管 理 软 件 ， 密 码 直 接 以 明 文 方 式 存 储 ， 十 分 方 便 进 行 h o o k ， 而 后 续 版 本 则 存 储 了 密 码 的 M D 5 ， 但 是 实 验 表 明 这 段 M D 5 并 没 有 使 用 任 何 数 据 加 s a l t ， 对 其 进 行 解 密 难 度 不 是 特 别 大 。 网 址 白 名 单 的 解 除 虽 然 管 理 员 界 面 有 方 法 添 加 网 址 白 名 单 ， 但 是 只 能 一 个 一 个 网 址 地 添 加 而 且 有 被 服 务 端 配 置 覆 盖 的 风 险 ， 自 然 不 可 取 ， 而 前 文 提 到 卸 载 平 板 管 理 软 件 后 重 启 系 统 网 址 白 名 单 即 解 除 ， 那 么 可 以 推 出 在 设 备 开 机 之 后 平 板 管 理 手 动 启 动 了 网 址 白 名 单 ， 至 少 有 一 个 管 理 开 机 后 的 操 作 或 者 初 始 化 的 类 包 含 了 白 名 单 的 开 关 ， 于 是 我 们 继 续 逆 向 ， 发 现 一 个 叫 “ B o o t C h e c k R e c e i v e r ” 的 类 操 控 着 开 机 启 动 后 的 操 作 ， 在 里 面 发 现 了 相 关 方 法 ， J a v a 代 码 如 下 ： m o v e - r e s u l t - o b j e c t   v 1 c o n s t / 4   v 5 ,   0 x 1 i n v o k e - s t a t i c   { p 0 ,   v 1 ,   v 5 } ,   L a n d r o i d / w i d g e t / T o a s t ; - > m a k e T e x t ( L a n d r o i d / c o n t e n t / C o n t e x t ; L j a v a / l a n g / C h a r S e q u e n c e ; I ) L a n d r o i d / w i d g e t / T o a s t ; m o v e - r e s u l t - o b j e c t   v 4 i n v o k e - v i r t u a l   { v 4 } ,   L a n d r o i d / w i d g e t / T o a s t ; - > s h o w ( ) V
这 段 代 码 十 分 好 理 解 ， 读 取 配 置 如 果 为 l i m i t 则 启 用 防 火 墙 ， 我 们 自 然 不 会 去 修 改 可 能 被 服 务 端 覆 盖 的 配 置 来 达 到 效 果 ， 而 e n a b l e F i r e W a l l 前 面 名 为 “ M D M ” 的 类 引 起 了 我 的 注 意 ， 根 据 i m p o r t 的 索 引 ， 我 跳 转 到 这 个 类 ， 发 现 是 一 个 根 据 设 备 型 号 进 行 类 索 引 的 “ 中 枢 ” ， 而 我 手 上 的 平 板 对 应 的 类 如 下 ： 于 是 我 们 前 往 这 个 类 ， 发 现 许 多 有 意 思 的 方 法 ， 这 里 列 举 一 部 分 ： D D D D 于 是 我 们 现 在 前 往 B o o t C h e c k R e c e i v e r 对 应 的 S m a l i 文 件 ， 找 到 了 对 e n a b l e F i r e w a l l 的 调 用 ： . l i n e   5 1
直 接 把 e n a b l e 修 改 成 d i s a b l e 即 可 ， 至 此 ， 网 络 访 问 限 制 已 被 解 除 。 M D M . x 的 第 三 方 调 用 我 们 已 经 大 致 了 解 了 平 板 管 控 的 原 理 ， 定 制 的 系 统 提 供 A P I ， 平 板 管 理 软 件 通 过 M D M . x 的 方 法 与 A P I 对 接 ， 而 在 调 用 A P I 时 并 未 发 现 任 何 验 证 措 施 ， 如 果 我 们 自 己 写 一 个 安 卓 A P P ， 引 入 M D M 相 关 的 类 和 方 法 ， 是 否 也 可 以 调 用 系 统 提 供 的 A P I 呢 ？ 答 案 是 肯 定 的 ， 如 果 有 安 卓 A P P 开 发 基 础 ， 我 们 可 以 直 接 将 与 M D M 调 用 A P I 有 关 联 的 类 导 入 到 自 己 的 A P P ， 做 好 索 引 后 即 可 使 用 调 用 系 统 A P I ； 如 果 不 会 开 发 相 关 A P P ， 我 们 可 以 在 平 板 管 理 里 找 到 一 个 有 交 互 性 且 调 用 了 M D M 类 的 A c t i v i t y ， 比 如 管 理 员 设 置 。 我 们 可 以 直 接 前 往 管 理 员 设 置 所 对 应 的 S m a l i 文 件 ， 将 已 存 在 的 方 法 调 用 替 换 成 对 M D M . x 的 调 用 ， 比 如 ： 管 理 员 设 置 中 的 M D M 调 用 可 以 替 换 成 e n a b l e S D C a r d 之 类 的 方 法 。 应 用 白 名 单 的 解 除 虽 然 我 从 M D M 的 类 中 挖 出 了 绝 大 部 分 的 控 制 方 法 ， 但 是 遍 历 后 并 没 有 发 现 有 解 除 a p p 白 名 单 方 法 ， 仅 有 写 入 或 读 取 ， 由 此 可 见 这 个 公 司 还 是 比 较 保 守 ， 没 有 把 如 此 关 键 的 方 法 放 出 来 ， 初 步 猜 测 这 个 方 法 位 于 P a c k a g e M a n a g e r S e r v i c e 中 但 是 目 前 没 有 办 法 逆 向 出 来 ， 于 是 逆 向 了 f r a m e w o r k 里 面 的 P a c k a g e I n s t a l l e r 和 p m ， 并 没 有 发 现 白 名 单 的 实 现 机 制 ， 只 能 通 过 逻 辑 推 测 。 s g e t - o b j e c t   v 1 ,   L c o m / * * * * / r o m / M D M ; - > x : L c o m / * * * * / r o m / I M D M ; i n v o k e - i n t e r f a c e   {   v 1   } ,   L c o m / * * * * / r o m / I M D M ; - > e n a b l e F i r e W a l l ( ) M D M . x .
首 先 回 顾 一 下 系 统 逻 辑 ， 如 果 存 在 不 在 白 名 单 内 的 非 s y s t e m 应 用 ， 会 被 平 板 管 理 卸 载 掉 ， 而 平 板 管 理 和 智 慧 课 堂 套 件 都 不 是 s y s t e m 应 用 ， 并 且 在 平 板 管 理 里 面 有 一 些 方 法 将 自 身 和 智 慧 课 堂 套 件 写 入 白 名 单 ， 于 是 可 以 推 测 当 白 名 单 为 空 的 时 候 ， 应 该 不 存 在 限 制 ， 否 则 当 白 名 单 为 空 时 ， 平 板 管 理 等 一 系 列 附 属 A P P 将 会 被 系 统 卸 载 ， 平 板 管 理 被 卸 载 后 就 无 法 从 云 端 读 取 新 的 白 名 单 写 入 系 统 ， 平 板 就 此 报 废 。 于 是 我 在 上 面 调 用 M D M A P I 的 a p p 中 新 增 了 一 个 功 能 ： 利 用 写 入 一 个 空 的 名 单 ， 然 后 利 用 修 改 包 名 将 这 个 A P P 改 成 白 名 单 内 存 在 的 a p p ， 装 入 系 统 ， 运 行 方 法 ， 限 制 顺 利 被 解 除 ， 之 后 进 一 步 修 改 源 码 ， 将 平 板 管 理 内 所 有 调 用 的 方 法 的 赋 值 替 换 为 空 值 ， 防 止 平 板 管 理 写 入 白 名 单 导 致 限 制 被 重 新 启 用 ， 至 此 应 用 白 名 单 已 被 解 除 。 把 M D M 相 关 的 类 导 入 到 自 己 的 A P P 就 能 直 接 调 用 了 解 除 云 端 监 控 之 前 有 一 部 分 的 平 板 出 现 系 统 故 障 ， 上 报 学 校 网 管 之 后 被 后 台 远 程 重 置 ， 于 是 推 测 系 统 内 有 服 务 器 远 程 操 控 的 方 法 ， 于 是 继 续 阅 读 源 码 。 在 一 个 叫 C o m m a n d M a n a g e r . c l a s s 的 类 里 面 找 到 了 一 个 服 务 器 发 送 命 令 让 本 地 执 行 的 方 法 ， 于 是 在 S m a l i 将 命 令 改 成 服 务 器 基 本 不 会 发 送 的 字 符 串 ， 这 样 就 大 致 脱 离 了 服 务 端 对 平 板 的 控 制 。 M D M . x . a p p W h i t e L i s t W r i t e ( ) M D M . x . a p p W h i t e L i s t W r i t e ( )
远 程 操 控 的 相 关 类 顺 着 上 传 应 用 列 表 的 方 法 ， 在 其 他 类 中 找 到 了 自 动 上 传 位 置 和 应 用 列 表 的 类 ， 于 是 在 S m a l i 中 将 将 要 上 传 的 返 回 值 用 空 白 变 量 劫 持 ， 这 样 就 大 致 脱 离 了 服 务 器 对 设 备 的 监 控 。 伪 装 成 客 户 端 从 服 务 器 爬 数 据 前 文 提 到 管 理 员 密 码 等 配 置 会 随 服 务 器 更 新 ， 于 是 我 找 到 了 这 个 类 ， 我 们 可 以 依 照 上 面 调 用 M D M . x 的 思 路 ， 在 第 三 方 A P P 引 入 这 个 类 及 其 依 赖 的 类 ， 在 输 入 s c h o o l i d 等 数 据 之 后 ， 即 可 直 接 获 取 管 理 员 密 码 等 关 键 信 息 。

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理