搜索

[11491] 2017-06-24_Nexus9漏洞允许黑客通过耳机接口攻击设备

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2017-06-24_Nexus9漏洞允许黑客通过耳机接口攻击设备 N e x u s   9 漏 洞 允 许 黑 客 通 过 耳 机 接 口 攻 击 设 备 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 6 - 2 4 在 在 2 0 1 7 年 年 3 月 份 ， 我 们 曾 披 露 了 有 关 漏 洞 月 份 ， 我 们 曾 披 露 了 有 关 漏 洞 C V E - 2 0 1 7 - 0 5 1 0 的 信 息 ， 这 是 一 个 存 在 于 的 信 息 ， 这 是 一 个 存 在 于 N e x u s   9 设 备 中 的 严 重 漏 洞 ， 设 备 中 的 严 重 漏 洞 ， 它 将 允 许 他 人 发 动 一 种 非 常 新 颖 的 攻 击 ， 即 通 过 恶 意 耳 机 来 攻 击 它 将 允 许 他 人 发 动 一 种 非 常 新 颖 的 攻 击 ， 即 通 过 恶 意 耳 机 来 攻 击 N e x u s   9 设 备 。 但 有 趣 的 是 ， 这 个 漏 洞 的 补 丁 设 备 。 但 有 趣 的 是 ， 这 个 漏 洞 的 补 丁 并 没 有 什 么 效 果 ， 所 以 这 就 导 致 了 并 没 有 什 么 效 果 ， 所 以 这 就 导 致 了 C V E - 2 0 1 7 - 0 6 4 8 的 出 现 。 为 此 ， 我 们 根 据 的 出 现 。 为 此 ， 我 们 根 据 G o o g l e 的 漏 洞 披 露 政 策 负 责 任 地 将 的 漏 洞 披 露 政 策 负 责 任 地 将 漏 洞 漏 洞 C V E - 2 0 1 7 - 0 6 4 8 的 相 关 信 息 上 报 给 了 的 相 关 信 息 上 报 给 了 G o o g l e ， 而 ， 而 G o o g l e 也 在 也 在 2 0 1 7 年 年 6 月 份 的 月 份 的 A n d r o i d 安 全 公 告 中 修 复 了 这 安 全 公 告 中 修 复 了 这 个 漏 洞 。 个 漏 洞 。 在 这 篇 文 章 中 ， 我 们 首 先 要 回 顾 一 下 漏 洞 C V E - 2 0 1 7 - 0 5 1 0 ， 然 后 分 析 一 下 之 前 的 补 丁 为 何 无 效 （ C V E - 2 0 1 7 - 0 6 4 8 ） ， 最 后 再 给 大 家 演 示 如 何 利 用 这 个 漏 洞 来 发 动 攻 击 。 文 章 结 尾 我 们 还 会 给 大 家 提 供 漏 洞 C V E - 2 0 1 7 - 0 6 4 8 的 修 复 方 案 ， 而 这 个 补 丁 似 乎 终 于 成 功 地 修 复 了 这 个 漏 洞 。 回 顾 漏 洞 回 顾 漏 洞 C V E - 2 0 1 7 - 0 5 1 0 对 于 G o o g l e   N e x u s 或 P i x e l 设 备 来 说 ， 当 T R R S 连 接 器 的 M I C 针 脚 上 电 压 超 过 了 一 定 的 阈 值 时 ， 手 机 的 耳 机 插 口 将 会 变 成 一 个 U A R T 调 试 接 口 。 下 图 显 示 的 是 我 们 使 用 标 准 F T D I 2 3 2 R L 电 路 板 所 组 装 的 一 个 样 本 线 缆 ： N e x u s   9 中 的 这 个 漏 洞 意 味 着 调 试 接 口 将 允 许 外 部 访 问 F I Q 调 试 器 ：
这 将 会 产 生 非 常 有 趣 的 后 果 ， 比 如 说 ： 1 . 任 意 进 程 抢 占 ， 这 将 导 致 用 户 数 据 存 在 泄 漏 的 可 能 ； 2 . S t a c k   C a n a r i e s 泄 漏 ； 3 . A S L R 解 随 机 处 理 ； 4 . 访 问 S y s R q ； 5 . 通 过 命 令 “ r e b o o t   o e m - 4 2 ” 重 启 进 入 H B O O T （ H T C 的 A n d r o i d   B o o t l o a d e r ） ， 将 导 致 设 备 内 部 S o C 芯 片 受 到 攻 击 （ C V E - 2 0 1 7 - 0 5 6 3   &   C V E - 2 0 1 7 - 0 5 8 2 ） ； 6 . 通 过 命 令 “ r e b o o t   o e m - 7 6 ” 恢 复 出 厂 设 置 。 C V E - 2 0 1 7 - 0 5 1 0 的 尝 试 修 复 的 尝 试 修 复 G o o g l e 曾 尝 试 通 过 减 少 F I Q   D e b u g g e r 的 功 能 来 修 复 漏 洞 C V E - 2 0 1 7 - 0 5 1 0 ， 在 近 期 的 版 本 中 ， 当 平 台 完 全 加 载 之 后 已 经 无 法 导 出 注 册 信 息 或 是 通 过 o e m - N 参 数 来 重 启 设 备 了 （ 防 止 设 备 重 启 进 入 H B O O T 或 恢 复 出 厂 设 置 ） ：
T e g r a 内 核 树 中 相 关 的 c o m m i t 为 a 0 7 5 f 8 a b 6 9 f 6 。 在 对 补 丁 进 行 了 分 析 之 后 ， 我 们 发 现 F I Q   D e b u g g e r 中 很 多 关 键 的 核 心 命 令 现 在 都 由 s y s r q _ o n ( ) 函 数 进 行 管 理 。 比 如 说 ， 我 们 先 测 试 一 下 f i q _ d e b u g g e r . c 中 的 f i q _ d e b u g g e r _ f i q _ e x e c 函 数 ： s y s r q _ o n 函 数 位 于 d r i v e r s / t t y / s y s r q . c 文 件 中 ， 其 实 现 方 法 如 下 ： 由 于 s y s r q _ a l w a y s _ e n a b l e d 的 值 为 0 ， 我 们 姑 且 可 以 认 定 这 个 补 丁 的 有 效 性 仅 仅 取 决 于 s y s r q _ e n a b l e d 的 值 。
针 对 F I Q   D e b u g g e r 和 S y s R q 不 受 限 制 的 临 时 访 问 （ C V E - 2 0 1 7 - 0 6 4 8 ） 不 幸 的 是 ， 正 如 我 们 之 前 的 文 章 所 解 释 的 那 样 ， s y s r q _ e n a b l e d 的 默 认 值 是 1 ： 这 个 参 数 定 义 在 文 件 i n c l u d e / l i n u x / s y s r q . h 之 中 ： 但 是 在 平 台 的 启 动 过 程 中 ， 我 们 可 以 使 用 一 个 i n i t 脚 本 向 / p r o c / s y s / k e r n e l / s y s r q 写 入 0 值 ： k e r n e l / s y s c t l . c 中 的 代 码 会 将 p r o c 文 件 / p r o c / s y s / k e r n e l / s y s r q 回 滚 到 原 始 状 态 ， 并 最 终 触 发 s y s r q _ e n a b l e d 的 值 发 生 变 化 。 因 此 ， 尽 管 存 在 C V E - 2 0 1 7 - 0 5 1 0 的 补 丁 ， 但 在 启 动 过 程 中 我 们 仍 然 有 一 段 非 常 短 的 时 间 （ 几 毫 秒 ） 来 执 行 i n i t 脚 本 ， 这 样 一 来 我 们 就 仍 然 可 以 访 问 F I Q   D e b u g g e r 和 S y s R q 命 令 了 ： T r a n s i t i o n s : ( 1 )   s y s r q _ e n a b l e d   =   S Y S R Q _ D E F A U L T _ E N A B L E   =   1 ( 2 )   i n i t :   w r i t e   0   / p r o c / s y s / k e r n e l / s y s r q   0   = >   s y s r q _ e n a b l e d   =   0 ( 3 )   a t t a c k e r   @   l i m i t e d   F I Q :             ‘ r e b o o t ’ ( 4 )   a t t a c k e r   @   u n r e s t r i c t e d   F I Q :   ‘ r e b o o t   o e m - 4 2 ’
( 5 )   a t t a c k e r   @   u n r e s t r i c t e d   F I Q :   ‘ r e b o o t   o e m - 7 6 ’ P o C 在 下 面 给 出 的 例 子 中 ， 我 们 演 示 了 如 何 绕 过 C V E - 2 0 1 7 - 0 5 1 0 的 补 丁 并 抢 占 任 意 进 程 以 及 如 何 进 入 H B O O T 模 式 。 我 们 假 设 当 平 台 完 全 加 载 完 成 之 后 攻 击 便 立 刻 开 始 ， 我 们 首 先 触 发 了 一 次 设 备 重 启 （ 正 常 重 启 ） ， 然 后 获 得 了 F I Q D e b u g g e r 的 临 时 访 问 权 。 在 这 个 过 程 中 ， 我 们 运 行 了 “ b t ” 命 令 ， 然 后 通 过 命 令 “ r e b o o t   o e m - 4 2 ” 重 启 进 入 了 H B O O T 模 式 ：
C V E - 2 0 1 7 - 0 6 4 8 的 修 复 方 案 的 修 复 方 案 G o o g l e 在 公 告 3 4 5 9 7 d 0 8 8 8 0 1 中 正 式 修 复 了 这 个 漏 洞 。 S Y S R Q _ D E F A U L T _ E N A B L E 的 值 已 经 被 设 置 为 0 了 ， 这 样 就 可 以 阻 止 外 部 对 F I Q   D e b u g g e r 和 S y s R q 接 口 不 受 限 制 的 临 时 访 问 ： * 参 考 来 源 ： a l e p h s e c u r i t y ，   F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理