搜索

[12257] 2018-01-19_挖洞经验看我如何发现“小火车托马斯”智能玩具APP聊天应用漏洞

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2018-01-19_挖洞经验看我如何发现“小火车托马斯”智能玩具APP聊天应用漏洞 挖 洞 经 验   |   看 我 如 何 发 现 “ 小 火 车 托 马 斯 ” 智 能 玩 具 A P P 聊 天 应 用 漏 洞 c l o u d s   F r e e B u f   2 0 1 8 - 0 1 - 1 9 最 近 ， 我 向 智 能 玩 具 厂 商 最 近 ， 我 向 智 能 玩 具 厂 商 T o y T a l k 提 交 了 两 个 提 交 了 两 个 A P P 相 关 的 漏 洞 并 获 得 了 相 关 的 漏 洞 并 获 得 了 $ 1 7 5 0 美 金 奖 励 ， 目 前 ， 漏 洞 已 被 成 功 修 复 ， 在 此 我 打 算 公 开 详 细 的 漏 洞 发 现 过 程 ， 以 便 其 他 美 金 奖 励 ， 目 前 ， 漏 洞 已 被 成 功 修 复 ， 在 此 我 打 算 公 开 详 细 的 漏 洞 发 现 过 程 ， 以 便 其 他 A P P 开 发 人 员 将 这 开 发 人 员 将 这 种 脆 弱 性 威 胁 纳 入 开 发 过 程 的 安 全 性 考 虑 范 围 。 种 脆 弱 性 威 胁 纳 入 开 发 过 程 的 安 全 性 考 虑 范 围 。 漏 洞 发 现 背 景 漏 洞 发 现 背 景 T o y T a l k 是 一 家 由 皮 克 斯 前 高 管 创 建 的 人 工 智 能 玩 具 初 创 公 司 ， 它 们 设 计 的 智 能 玩 具 具 备 视 觉 跟 踪 、 语 音 识 别 和 网 络 扩 展 功 能 ， 能 让 儿 童 通 过 A P P 与 玩 具 之 间 进 行 语 音 交 流 和 行 为 反 应 识 别 ， 激 发 儿 童 与 虚 拟 人 物 的 谈 话 能 力 ， 更 好 地 实 现 与 玩 具 之 间 的 互 动 乐 趣 。 T o y T a l k 于 2 0 1 5 年 7 月 推 出 了 一 款 名 为 “ 托 马 斯 和 他 的 朋 友 们 与 你 聊 天   ” （ T h o m a s   &   F r i e n d s   T a l k   T o   Y o u ） ” 的 付 费 A P P ， 能 让 儿 童 与 知 名 卡 通 人 物 “ 小 火 车 托 马 斯 ” （ T h o m a s   t h e   T a n k   E n g i n e ） 互 动 聊 天 ， 它 允 许 儿 童 在   8   次 多 多 岛 故 事 之 旅 中 ， 与 托 马 斯 及 其 朋 友 培 西 、 高 登 、 亨 利 、 詹 姆 斯 、 爱 德 华 、 托 比 、 “ 胖 总 管 ” 托 芬 海 先 生 （ S i r   T o p h a m   H a t t ） 进 行 双 向 对 话 。 为 了 测 试 T o y T a l k 玩 具 产 品 的 安 全 性 ， 以 及 接 入 家 庭 网 络 环 境 带 来 的 安 全 风 险 ， 我 决 定 对 “ 托 马 斯 和 他 的 朋 友 们 与 你 聊 天   ” A P P 进 行 一 些 分 析 研 究 。 由 于 T o y T a l k 产 品 都 使 用 相 同 的 代 码 库 ， 而 且 这 款 托 马 斯 对 话 A P P 很 容 易 安 装 和 删 除 ， 方 便 测 试 ， 也 能 有 代 表 性 。 另 外 ， T o y T a l k 的 其 它 产 品 ， 如 H e l l o   B a r b i e （ 哈 啰 芭 比 ） 和 B a r b i e   H e l l o   D r e a m h o u s e   （ 芭 比 梦 幻 之 家 ） 也 可 能 存 在 相 同 漏 洞 。 漏 洞 情 况 漏 洞 情 况 漏 洞 漏 洞 1 ： ：   -   缺 乏 身 份 验 证 机 制 ， 攻 击 者 能 很 容 易 地 假 冒 成 一 个 儿 童 与 托 马 斯 玩 具 进 行 对 话 缺 乏 身 份 验 证 机 制 ， 攻 击 者 能 很 容 易 地 假 冒 成 一 个 儿 童 与 托 马 斯 玩 具 进 行 对 话 漏 洞 漏 洞 2 ： ： -   可 假 冒 可 假 冒 s u p p o r t @ t o y t a l k . c o m 或 其 它 注 册 用 户 ， 发 送 注 入 或 其 它 注 册 用 户 ， 发 送 注 入 H T M L 恶 意 钓 鱼 链 接 的 邮 件 恶 意 钓 鱼 链 接 的 邮 件 A P P 工 作 原 理 分 析 工 作 原 理 分 析 “ 托 马 斯 和 他 的 朋 友 们 与 你 聊 天   ” 的 A P P 启 动 后 ， 要 求 输 入 提 供 一 个 家 长 的 电 子 邮 件 地 址 ， 以 确 认 使 用 A P P 提 供 的 语 音 识 别 功 能 ， 当 提 交 了 电 子 邮 件 地 址 之 后 ， A P P 进 入 运 行 界 面 。 刚 开 始 ， 你 可 能 会 觉 得 该 A P P 暴 露 的 攻 击 面 非 常 有 限 ， 因 为 它 需 要 提 供 与 玩 具 对 话 的 确 认 权 限 。 接 下 来 ， 我 要 对 该 A P P 进 行 网 络 浏 览 拦 截 分 析 。 而 且 在 分 析 中 发 现 ， 该 A P P 与 其 它 应 用 不 同 ， 它 提 供 了 一 个 与 客 户 端 进 行 认 证 的 证 书 ， 也 就 是 说 ， A P P 和 它 的 W E B 服 务 器 之 间 也 会 存 在 一 个 相 互 认 证 的 过 程 。 基 于 此 ， 我 们 要 先 来 看 看 客 户 端 证 书 和 相 关 密 码 验 证 的 工 作 机 制 。 通 过 逆 向 后 我 们 发 现 ， 以 下 两 个 函 数 比 较 有 意 思 ： p u b l i c   v o i d   s e t S s l C l i e n t C e r t i f i c a t e ( S t r i n g   f i l e n a m e ,   S t r i n g   p a s s p h r a s e )   {                 I n p u t S t r e a m   f i l e   =   n u l l ;                 t r y   {                         K e y S t o r e   s t o r e   =   K e y S t o r e . g e t I n s t a n c e ( " P K C S 1 2 " ) ;                         f i l e   =   t h i s . m C o n t e x t . g e t R e s o u r c e s ( ) . g e t A s s e t s ( ) . o p e n ( f i l e n a m e ) ;                         s t o r e . l o a d ( f i l e ,   p a s s p h r a s e . t o C h a r A r r a y ( ) ) ;                         t h i s . m C l i e n t C e r t i f i c a t e   =   K e y M a n a g e r F a c t o r y . g e t I n s t a n c e ( T r u s t M a n a g e r F a c t o r y . g e t D e f a u l t A l g o r i t h m ( ) ) ;                         t h i s . m C l i e n t C e r t i f i c a t e . i n i t ( s t o r e ,   n e w   c h a r [ 0 ] ) ;                 }   c a t c h   ( E x c e p t i o n   e )   {                         L o g . O M G ( e ) ;                   }   f i n a l l y   {                         U t i l s . c l o s e ( f i l e ) ;                 }         }
之 后 ， 我 没 有 继 续 逆 向 寻 找 密 码 传 入 函 数 ， 而 是 使 用 以 下 具 备 f r i d a   h o o k 功 能 ， 可 以 转 储 密 码 和 文 件 名 的 P y t h o n 脚 本 来 深 入 ： 高 兴 的 是 ， 可 以 从 a p k 中 提 取 出 正 确 的 认 证 证 书 文 件 ， 并 能 用 于 执 行 中 间 人 攻 击 （ M I T M ） ， 而 有 趣 的 是 ， 文 件 t o y t a l k . 1 2 没 有 使 用 任 何 密 码 保 护 。 现 在 ， 我 们 就 可 以 使 用 客 户 端 证 书 了 ， 但 仍 需 绕 过 证 书 锁 定 （ C e r t i f i c a t e   P i n n i n g ） 。 虽 然 有 几 种 方 式 可 以 实 现 ， 但 最 简 单 的 方 法 是 从 a p k 中 删 除 证 书 ， 重 建 程 序 然 后 重 新 安 装 。 把 客 户 端 证 书 导 入 B u r p s u i t e ， 实 现 了 证 书 锁 定 功 能 禁 用 ， 之 后 ， 我 们 就 可 以 进 入 大 多 数 A P P 程 序 测 试 的 第 一 步 - 流 量 拦 截 。 漏 洞 分 析 漏 洞 分 析 漏 洞 漏 洞 1   -   缺 乏 身 份 验 证 机 制 缺 乏 身 份 验 证 机 制 该 A P P 程 序 还 提 供 了 一 个 不 太 明 显 的 功 能 ， 就 是 其 捕 获 的 对 话 音 频 文 件 会 存 储 在 线 ， 可 备 家 长 后 续 进 行 重 放 收 听 ， 该 功 能 与 用 于 之 前 授 权 同 意 的 电 子 邮 箱 地 址 绑 定 ， 虽 然 该 邮 箱 地 址 只 在 父 母 执 行 密 码 重 置 时 才 用 得 到 。 当 ” s p e a k ”   按 钮 被 按 下 时 ， A P P 会 把 捕 获 的 音 频 文 件 以 以 下 P O S T 请 求 方 式 发 送 到 远 端 W e b 服 务 器 中 ： h t t p s : / / a s r . 2 . t o y t a l k . c o m / v 3 / a s r / 0 6 7 3 b c b 8 - 3 6 7 a - 4 4 b c - a e d 5 - 8 c 2 1 f b 7 0 8 6 a f / t h o m a s / 1 5 0 2 7 1 4 4 4 1 ? a c c o u n t = & p l a y _ s e s s i o n = & c l i e n t = c o m . t o y t a l k . t h o m a s & l o c a l e = e n _ G B & d e v i c e _ i d = & d e v i c e _ m o d e l = & o s = A n d r o i d & o s _ v e r s i o n = 5 . 1 & i n t e l l i g e n c e = 0 % 2 F 1 % 2 F c % 2 F 0 1 c d 4 9 6 9 4 7 2 7 b b c f 1 c 0 c e f d 7 a 4 a 2 4 f 2 e _ i n t e l l i g e n c e . t i z & r u l e s e t _ i d = r s _ b 9 2 d d 8 d 9 - c b a 9 - 4 a 7 6 - a 5 6 b - 5 1 f c 3 d 1 5 f 8 f 5 & r a t e = 1 6 0 0 0 虽 然 其 中 的 发 送 内 容 涉 及 很 多 变 量 值 ， 但 通 过 把 当 前 用 户 I D 更 改 为 其 它 用 户 I D 后 ， 就 能 把 音 频 文 件 发 送 到 指 定 的 用 户 账 户 名 下 ， 这 将 会 允 许 一 些 恶 意 攻 击 者 向 儿 童 父 母 发 送 一 些 淫 秽 音 频 信 息 。 在 这 种 情 况 下 ， 虽 然 用 户 I D 是 一 个 随 机 的 全 局 惟 一 标 识 符 （ G U I D ） ， 但 我 们 可 以 根 据 邮 箱 地 址 等 已 知 线 索 来 发 现 一 些 有 效 的 用 户 I D 信 息 。 另 外 ， 运 行 T o y T a l k 代 码 库 的 ” s t r i n g s ” 命 令 后 ， 也 有 一 点 蛛 丝 马 迹 可 循 ： 所 以 ， 根 据 上 图 信 息 ， 一 旦 客 户 端 证 书 被 安 装 到 浏 览 器 中 后 ， 通 过 访 问 地 址 ： h t t p s : / / a p i . t o y t a l k . c o m / v 3 / a c c o u n t / 就 能 下 载 到 一 个 包 含 用 户 I D 的 文 件 。 有 用 户 I D 信 息 在 手 ， 就 能 更 改 P O S T 请 求 中 的 I D 信 息 ， 将 对 话 音 频 发 送 到 任 何 注 册 了 该 A P P 的 邮 箱 地 址 中 去 。 该 漏 洞 可 以 通 过 要 求 提 供 正 确 的 设 备 I D 以 及 关 联 用 户 I D 来 修 复 解 决 。 我 们 还 没 测 试 设 备 I D 是 否 能 以 其 它 方 法 获 取 ， 但 要 向 某 个 用 户 账 号 添 加 一 个 设 备 I D ， 貌 似 需 要 访 问 到 关 联 的 邮 箱 地 址 才 行 。 漏 洞 报 送 进 程 2 0 1 7 . 8 . 1 4   -   向 T o y T a l k 报 告 漏 洞 p u b l i c   v o i d   s e t S s l C a C e r t i f i c a t e ( S t r i n g   f i l e n a m e ,   S t r i n g   p a s s p h r a s e )   {                 I n p u t S t r e a m   f i l e   =   n u l l ;                 t r y   {                         K e y S t o r e   s t o r e   =   K e y S t o r e . g e t I n s t a n c e ( " B K S " ) ;                         f i l e   =   t h i s . m C o n t e x t . g e t R e s o u r c e s ( ) . g e t A s s e t s ( ) . o p e n ( f i l e n a m e ) ;                         s t o r e . l o a d ( f i l e ,   p a s s p h r a s e . t o C h a r A r r a y ( ) ) ;                         t h i s . m C a C e r t i f i c a t e   =   T r u s t M a n a g e r F a c t o r y . g e t I n s t a n c e ( T r u s t M a n a g e r F a c t o r y . g e t D e f a u l t A l g o r i t h m ( ) ) ;                         t h i s . m C a C e r t i f i c a t e . i n i t ( s t o r e ) ;                 }   c a t c h   ( E x c e p t i o n   e )   {                         L o g . O M G ( e ) ;                 }   f i n a l l y   {                         U t i l s . c l o s e ( f i l e ) ;                 }         } i m p o r t   f r i d a i m p o r t   s y s d e f   o n _ m e s s a g e ( m e s s a g e ,   d a t a ) :         p r i n t   m e s s a g e d e v i c e   =   f r i d a . g e t _ d e v i c e _ m a n a g e r ( ) . e n u m e r a t e _ d e v i c e s ( ) [ - 1 ] p i d   =   d e v i c e . s p a w n ( [ " c o m . t o y t a l k . t h o m a s " ] ) p r i n t   ( p i d ) s e s s i o n   =   d e v i c e . a t t a c h ( p i d ) s s   =   ' ' '   J a v a . p e r f o r m ( f u n c t i o n   ( )   {         v a r   M y C l a s s   =   J a v a . u s e ( " c o m . t o y t a l k . l i b r a r y . H t t p R e q u e s t e r " ) ;         M y C l a s s . s e t S s l C a C e r t i f i c a t e . o v e r l o a d ( " j a v a . l a n g . S t r i n g " , " j a v a . l a n g . S t r i n g " ) . i m p l e m e n t a t i o n   =   f u n c t i o n ( a , b ) {                 s e n d ( a ) ;                 s e n d ( b ) ;                 r e t u r n   t h i s . s e t S s l C a C e r t i f i c a t e . o v e r l o a d ( " j a v a . l a n g . S t r i n g " , " j a v a . l a n g . S t r i n g " ) . c a l l ( t h i s , a , b ) ;         }         M y C l a s s . s e t S s l C l i e n t C e r t i f i c a t e . o v e r l o a d ( " j a v a . l a n g . S t r i n g " , " j a v a . l a n g . S t r i n g " ) . i m p l e m e n t a t i o n   =   f u n c t i o n ( a , b ) {                 s e n d ( a ) ;                 s e n d ( b ) ;                 r e t u r n   t h i s . s e t S s l C a C e r t i f i c a t e . o v e r l o a d ( " j a v a . l a n g . S t r i n g " , " j a v a . l a n g . S t r i n g " ) . c a l l ( t h i s , a , b ) ;         } } ) ' ' '         s c r i p t   =   s e s s i o n . c r e a t e _ s c r i p t ( s s ) s c r i p t . l o a d ( ) s c r i p t . o n ( ' m e s s a g e ' ,   o n _ m e s s a g e ) d e v i c e . r e s u m e ( p i d ) # s e s s i o n . d e t a c h ( ) s y s . s t d i n . r e a d ( )
2 0 1 7 . 1 1 . 1 6   -   被 分 类 为 一 般 漏 洞 并 被 初 次 修 复 ， 变 为 c l o s e d 状 态 2 0 1 7 . 1 1 . 2 9   -   T o y T a l k 再 次 测 试 发 现 漏 洞 仍 然 存 在 ， 并 重 置 为 r e o p e n 状 态 2 0 1 7 . 1 2 . 8   -   完 全 修 复 漏 洞 2 0 1 7 . 1 2 . 1 8   -   漏 洞 赏 金 发 放 并 关 闭 漏 洞 报 告 漏 洞 漏 洞 2   -   可 向 可 向 T o y T a l k 邮 件 中 注 入 恶 意 邮 件 中 注 入 恶 意 H T M L 框 架 框 架 在 以 上 漏 洞 1 提 交 过 后 没 几 天 ， 我 的 朋 友 建 议 我 可 以 研 究 一 下 T o y T a l k 的 邮 箱 注 入 机 制 。 在 使 用 诸 如 “ T h o m a s   A n d   Y o u ” 等 A P P 应 用 注 册 设 备 时 ， 它 会 将 一 封 电 子 邮 件 发 送 到 用 户 提 供 的 邮 箱 地 址 中 ，   由 于 该 电 子 邮 件 中 包 含 了 用 户 信 息 （ 设 备 名 称 ） ， 如 果 攻 击 者 利 用 漏 洞 1 方 法 获 取 到 受 害 者 的 用 户 I D 之 后 ， 那 么 ， 接 下 来 可 以 修 改 电 子 邮 件 H T M L 中 包 含 的 设 备 名 称 ， 以 该 受 害 者 用 户 I D 为 可 信 发 件 人 ， 向 其 它 受 害 者 发 送 恶 意 钓 鱼 邮 件 ， 或 任 意 更 改 过 的 邮 件 内 容 。 为 了 向 受 害 者 发 送 钓 鱼 邮 件 ， 攻 击 者 先 要 用 邮 箱 在 该 A P P 上 进 行 注 册 ， 利 用 该 注 册 邮 箱 地 址 ， 再 用 漏 洞 1 方 法 获 取 到 受 害 者 用 户 I D ， 用 以 后 续 进 行 钓 鱼 邮 件 发 送 。 也 即 ， 首 先 ， 攻 击 者 用 受 害 者 注 册 过 的 邮 箱 地 址 ， 执 行 以 下 请 求 ， 以 获 取 到 相 应 的 受 害 者 用 户 I D ： 然 后 ， 再 以 该 用 户 I D 为 可 信 发 件 人 ， 用 以 下 P O S T 方 式 ， 向 其 它 受 害 者 发 送 包 含 钓 鱼 链 接 的 恶 意 邮 件 内 容 ： 以 上 只 是 一 个 简 单 的 P o C 示 例 ， 它 利 用 标 签 将 H T M L 链 接 注 入 到 邮 件 内 容 框 架 中 ， 但 如 果 花 时 间 调 整 ， 也 可 以 精 心 制 作 出 一 个 更 具 迷 惑 性 的 钓 鱼 邮 件 来 ， 例 如 ， 某 位 家 长 可 以 假 冒 s u p p o r t @ t o y t a l k . c o m 邮 件 来 欺 骗 其 它 家 长 的 用 户 名 密 码 信 息 。 下 图 就 是 我 们 假 冒 t o y t a l k 官 方 发 送 的 包 含 钓 鱼 链 接 的 邮 件 内 容 ： 漏 洞 报 送 进 程 ： 2 0 1 7 . 1 2 . 4   -   提 交 漏 洞 2 0 1 7 . 1 2 . 1 2   -   官 方 致 谢 2 0 1 7 . 1 2 . 1 8   -   官 方 修 复 漏 洞 2 0 1 7 . 1 2 . 1 8   -   发 布 赏 金 并 关 闭 漏 洞 报 告 总 结 总 结 整 体 来 说 ， 两 个 漏 洞 的 利 用 方 式 都 存 在 一 定 的 受 限 条 件 ， 但 也 侧 面 说 明 了 大 量 A P P 在 开 发 过 程 中 忽 视 了 全 面 的 安 全 考 虑 。 * 参 考 来 源 ： 参 考 来 源 ： d i g i t a l i n t e r r u p t i o n ， ， f r e e b u f 小 编 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文 G E T   / v 3 / a c c o u n t / < e m a i l   a d d r e s s >   H T T P / 1 . 1 U s e r - A g e n t :   D a l v i k / 2 . 1 . 0   ( L i n u x ;   U ;   A n d r o i d   7 . 1 . 1 ;   O N E P L U S   A 3 0 0 3   B u i l d / N M F 2 6 F ) H o s t :   a p i . 2 . t o y t a l k . c o m C o n n e c t i o n :   c l o s e P O S T   / v 3 / a c c o u n t / < a c c o u n t i d > / e m a i l / c o n s e n t ? d e v i c e _ i d = a s d f & d e v i c e _ n a m e = T E S T % 2 0 D E V I C E " < / b r > % 2 0 < a % 2 0 h r e f = " h t t p : / / g o o g l e . c o m " > c l i c k % 2 0 h e r e < / a > & a p p l i c a t i o n = T h o m a s + A n d + Y o u & a l w a y s   H T T P / 1 . 1 C o n t e n t - T y p e :   t e x t / p l a i n C o n t e n t - L e n g t h :   0 U s e r - A g e n t :   D a l v i k / 2 . 1 . 0   ( L i n u x ;   U ;   A n d r o i d   7 . 1 . 1 ;   O N E P L U S   A 3 0 0 3   B u i l d / N M F 2 6 F ) H o s t :   a p i . 2 . t o y t a l k . c o m C o n n e c t i o n :   c l o s e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理