搜索

[12262] 2018-01-20_应用克隆，从支付宝自动领红包链接谈起

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-01-20_应用克隆，从支付宝自动领红包链接谈起 应 用 克 隆 ， 从 支 付 宝 自 动 领 红 包 链 接 谈 起 r e b e y o n d   F r e e B u f   2 0 1 8 - 0 1 - 2 0 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： r e b e y o n d ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载   前 言 前 言 2 0 1 8 年 1 月 9 号 ， 腾 讯 玄 武 实 验 室 召 开 了 一 个 新 闻 发 布 会 ， 向 公 众 公 布 并 演 示 了 “ 应 用 克 隆 ” 漏 洞 ， 并 称 ： 利 用 该 漏 洞 ， 用 户 只 需 要 点 击 一 个 链 接 ， 用 户 的 支 付 宝 、 携 程 等 利 用 该 漏 洞 ， 用 户 只 需 要 点 击 一 个 链 接 ， 用 户 的 支 付 宝 、 携 程 等 A P P 的 登 陆 状 的 登 陆 状 态 ， 就 可 以 被 克 隆 到 其 他 用 户 的 手 机 上 态 ， 就 可 以 被 克 隆 到 其 他 用 户 的 手 机 上 ， 一 时 造 成 用 户 恐 慌 。 恰 好 这 段 时 间 支 付 宝 的 “ 天 天 领 红 包 ” 活 动 进 行 的 如 火 如 荼 ， 出 现 了 通 过 点 击 一 个 链 接 就 自 动 抢 红 包 的 薅 羊 毛 方 式 。 下 面 结 合 支 付 宝 的 自 动 领 红 包 链 接 ， 对 下 面 结 合 支 付 宝 的 自 动 领 红 包 链 接 ， 对 “ 应 用 克 隆 应 用 克 隆 ” 漏 洞 从 技 术 原 理 上 作 一 下 分 析 。 漏 洞 从 技 术 原 理 上 作 一 下 分 析 。 支 付 宝 自 动 领 红 包 支 付 宝 自 动 领 红 包 简 介 简 介 在 去 年 年 底 ， 支 付 宝 推 出 了 一 个 “ 天 天 领 红 包 ” 活 动 ， 用 户 只 需 要 将 自 己 的 红 包 口 令 通 过 短 信 或 者 微 信 的 方 式 发 给 对 方 ， 对 方 复 制 该 条 信 息 然 后 打 开 支 付 宝 A P P ， 便 会 得 到 一 个 支 付 宝 红 包 ， 这 个 红 包 可 以 直 接 用 于 支 付 宝 消 费 ， 消 费 之 后 ， 推 荐 人 会 得 到 一 笔 赏 金 ， 直 接 到 账 。 当 然 也 可 以 直 接 让 对 方 用 支 付 宝 扫 描 自 己 的 推 荐 二 维 码 ， 效 果 一 样 。 这 次 活 动 持 续 时 间 长 、 活 动 力 度 大 ， 羊 毛 很 厚 ， 因 此 大 量 用 户 为 了 赚 取 赏 金 ， 开 始 各 显 神 通 ， 比 如 下 面 这 两 个 ： 然 后 聪 明 的 程 序 员 做 了 一 个 链 接 ， 对 方 只 要 点 击 一 下 这 个 链 接 就 会 自 动 打 开 支 付 宝 领 一 个 红 包 ， 免 去 了 扫 描 二 维 码 、 复 制 红 包 口 令 、 手 动 打 开 支 付 宝 A P P 这 些 繁 琐 的 操 作 。 笔 者 在 元 旦 假 期 的 时 候 ， 也 尝 试 做 了 这 么 一 个 链 接 ， 起 了 一 个 诱 人 的 标 题 发 布 到 了 微 信 朋 友 圈 ， 刚 发 布 一 会 几 十 块 钱 赏 金 就 到 账 了 ， 确 实 比 发 推 广 信 息 效 率 高 很 多 。 技 术 原 理 技 术 原 理 其 实 通 过 网 页 唤 起 第 三 方 A P P 不 是 什 么 新 鲜 的 技 术 ， 做 过 安 卓 开 发 的 应 该 都 很 熟 悉 。 支 付 宝 、 导 航 系 统 、 各 种 手 机 播 放 器 等 A P P 都 大 量 的 用 到 了 这 种 技 术 ， 比 如 通 过 网 页 打 开 一 个 视 频 播 放 界 面 ， 这 时 旁 边 会 有 个 按 钮 “ 在 A P P 中 播 放 ” ， 点 击 后 会 直 接 打 开 对 应 的 A P P 继 续 播 放 之 前 的 视 频 。 实 现 这 个 需 求 只 需 要 在 定 义 a c t i v i t y 的 时 候 ， 指 定 一 个 s c h e m e （ 协 议 ） ， 并 且 设 置 一 个 n a m e 为 a n d r o i d . i n t e n t . c a t e g o r y . B R O W S A B L E 的 c a t e g o r y 即 可 。 这 种 在 浏 览 器 中 通 过 自 定 义 协 议 打 开 第 三 方 应 用 的 方 法 我 们 可 以 称 之 为 “ 伪 协 议 ” （ 正 常 在 浏 览 器 中 打 开 的 都 是 h t t p 、 h t t p s 、 f t p 这 种 常 规 协 议 ） ， 下 图 即 为 支 付 宝 定 义 的 伪 协 议 ： 接 下 来 分 析 一 下 支 付 宝 红 包 的 推 荐 二 维 码 ， 解 析 二 维 码 得 到 U R L : h t t p s : / / q r . a l i p a y . c o m / c 1 x 0 5 3 0 9 e 4 t t z 2 v 7 x r w r z c d ， 访 问 该 U R L 并 抓 包 分 析 发 现 ： h t t p s : / / q r . a l i p a y . c o m / c 1 x 0 5 3 0 9 e 4 t t z 2 v 7 x r w r z c d
返 回 3 0 2 跳 转 到 了 h t t p s : / / m o b i l e c o d e c . a l i p a y . c o m / c l i e n t _ d o w n l o a d . h t m ? q r c o d e = c 1 x 0 5 3 0 9 e 4 t t z 2 v 7 x r w r z c d ， h t t p s : / / m o b i l e c o d e c . a l i p a y . c o m / c l i e n t _ d o w n l o a d . h t m ? q r c o d e = c 1 x 0 5 3 0 9 e 4 t t z 2 v 7 x r w r z c d 返 回 3 0 2 跳 转 到 了 h t t p s : / / d s . a l i p a y . c o m / ? f r o m = m o b i l e c o d e c & s c h e m e = a l i p a y s % 3 A % 2 F % 2 F p l a t f o r m a p i % 2 F s t a r t a p p % 3 F s a I d % 3 D 1 0 0 0 0 0 0 7 % 2 6 c l i e n t V e r s i o n % 3 D 3 . 7 . 0 . 0 7 1 8 % 2 6 q r c o d e % 3 D h t t p s % 2 5 3 A % 2 5 2 F % 2 5 2 F q r . a l i p a y . c o m % 2 5 2 F c 1 x 0 5 3 0 9 e 4 t t z 2 v 7 x r w r z c d % 2 5 3 F _ s % 2 5 3 D w e b - o t h e r 分 析 最 后 这 个 U R L 发 现 其 s c h e m e 参 数 即 为 拉 起 支 付 宝 的 关 键 ， U R L 解 码 : 通 过 上 面 这 个 参 数 我 们 可 以 清 晰 的 看 到 这 是 一 个 启 动 支 付 宝 的 伪 协 议 ， 在 启 动 的 时 候 向 支 付 宝 传 递 了 3 个 参 数 ： s a I d 、 c l i e n t V e r s i o n 、 q r c o d e ， 其 中 q r c o d e 即 为 我 们 的 红 包 推 荐 二 维 码 链 接 。 所 以 猜 测 这 个 a c t i v i t y 的 功 能 就 是 打 开 我 们 通 过 q r c o d e 指 定 的 U R L 。 接 下 来 写 一 个 简 单 的 a l i p a y . h t m 页 面 来 测 试 打 开 效 果 如 下 （ 大 家 可 以 将 以 下 链 接 复 制 到 手 机 浏 览 器 测 试 h t t p : / / 1 1 4 . 1 1 5 . 1 3 9 . 1 7 6 / a l i p a y . h t m ） 浏 览 器 成 功 唤 起 了 支 付 宝 A P P ， 并 跳 到 了 领 红 包 的 界 面 。 到 此 ， 支 付 宝 自 动 抢 红 包 的 链 接 就 分 析 完 成 了 。 扩 展 扩 展 在 上 面 支 付 宝 自 动 抢 红 包 的 伪 协 议 中 ， 可 以 看 到 我 们 可 以 通 过 控 制 q r c o d e 参 数 来 控 制 支 付 宝 打 开 我 们 指 定 的 一 个 链 接 ， 这 里 q r c o d e 是 不 是 只 能 打 开 支 付 宝 的 页 面 呢 ？ 下 面 我 们 用 百 度 测 试 一 下 ， 构 造 如 下 U R L 发 现 可 以 成 功 打 开 ， 效 果 如 下 ：
像 这 种 通 过 接 收 外 部 传 入 的 U R L 参 数 ， 然 后 在 A P P 内 进 行 加 载 的 特 性 ， 是 导 致 下 面 所 介 绍 的 “ 应 用 克 隆 ” 漏 洞 的 元 凶 。   应 用 克 隆 应 用 克 隆 简 介 简 介 2 0 1 7 年 1 2 月 7 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 接 收 到 腾 讯 玄 武 实 验 室 报 送 的 A n d r o i d   W e b V i e w 存 在 跨 域 访 问 漏 洞 ( C N V D - 2 0 1 7 - 3 6 6 8 2 ) 。 攻 击 者 利 用 该 漏 洞 ， 可 远 程 获 取 用 户 隐 私 数 据 （ 包 括 手 机 应 用 数 据 、 照 片 、 文 档 等 敏 感 信 息 ） ， 还 可 窃 取 用 户 登 录 凭 证 ， 在 受 害 者 毫 无 察 觉 的 情 况 下 实 现 对 A P P 用 户 账 户 的 完 全 控 制 。 由 于 该 组 件 广 泛 应 用 于 A n d r o i d 平 台 ， 导 致 大 量 A P P 受 影 响 ， 构 成 较 为 严 重 的 攻 击 威 胁 。 跨 域 跨 域 C N V D 将 应 用 克 隆 漏 洞 ( C N V D - 2 0 1 7 - 3 6 6 8 2 ) 描 述 为 “ A n d r o i d W e b V i e w 存 在 跨 域 访 问 漏 洞 ” ， 那 么 我 们 就 先 来 看 看 什 么 是 跨 域 。 讨 论 跨 域 ， 自 然 要 从 浏 览 器 的 安 全 机 制 “ 同 源 策 略 ” 谈 起 ， 同 源 策 略 是 由 N e t s c a p e 提 出 的 一 个 著 名 的 安 全 策 略 ， 其 限 制 从 一 个 源 加 载 的 文 档 或 脚 本 与 来 自 另 一 个 源 的 资 源 进 行 交 互 。 这 是 一 个 用 于 隔 离 潜 在 恶 意 文 件 的 关 键 的 安 全 机 制 。 如 果 两 个 U R L 的 协 议 、 端 口 、 域 名 是 相 同 的 ， 则 认 为 这 两 个 U R L 是 同 源 的 ， 互 相 访 问 资 源 不 受 限 制 ， 比 如   h t t p : / / a . c o m / a . h t m l 中 的 脚 本 可 以 向 h t t p : / / a . c o m / b . h t m 发 起 a j a x 请 求 ， 并 获 取 响 应 内 容 。 但 是 如 果 h t t p : / / a . c o m / a . h t m l 中 的 脚 本 向 h t t p : / / b . c o m / b . h t m 发 起 请 求 就 会 被 禁 止 ， 因 为 此 时 两 者 属 于 不 同 的 源 ， 而 这 个 被 禁 止 的 请 求 就 叫 跨 域 请 求 。 同 源 策 略 为 很 多 正 常 的 w e b 业 务 场 景 带 来 了 不 便 ， 因 此 出 现 了 C O R S 和 J S O N P 等 合 法 的 跨 域 机 制 。 F i l e 协 议 协 议 F i l e 协 议 主 要 用 于 访 问 本 地 计 算 机 中 的 文 件 ， 就 如 同 在 W i n d o w s 资 源 治 理 器 中 打 开 文 件 一 样 ， 比 如 我 想 查 看 本 地 / e t c / h o s t s 文 件 的 内 容 ， 我 就 可 以 直 接 在 浏 览 器 输 入 f i l e : / / / e t c / h o s t s 来 访 问 。 当 然 我 们 也 可 以 通 过 浏 览 器 访 问 本 地 的 h t m l 文 件 ， 文 件 中 也 可 以 内 嵌 J a v a S c r i p t 脚 本 ， 脚 本 里 面 可 以 继 续 访 问 F i l e 协 议 ， 这 样 可 以 读 取 w e b v i e w 所 在 进 程 具 有 读 取 权 限 的 所 有 本 地 文 件 的 内 容 。 这 样 似 乎 也 没 什 么 问 题 ， 毕 竟 所 有 的 数 据 操 作 都 是 发 生 在 本 地 的 。 但 是 A n d r o i d 的 w e b v i e w 有 个 A P I 叫 做   s e t A l l o w U n i v e r s a l A c c e s s F r o m F i l e U R L s ， 当 该 A P I 的 设 置 值 为 T r u e 时 ， 其 实 就 是 开 启 了 F i l e 协 议 的 跨 域 机 制 ， F i l e 协 议 中 的 脚 本 可 以 跨 域 访 问 其 他 协 议 ， 比 如 h t t p ， 这 样 就 存 在 问 题 了 ： 攻 击 者 通 过 让 攻 击 者 通 过 让 w e b v i e w 加 载 一 个 本 地 恶 意 的 加 载 一 个 本 地 恶 意 的 h t m 文 件 ， 这 个 文 件 ， 这 个 h t m 文 件 会 读 取 本 文 件 会 读 取 本 地 的 敏 感 文 件 内 容 ， 并 把 内 容 通 过 地 的 敏 感 文 件 内 容 ， 并 把 内 容 通 过 h t t p 请 求 发 送 至 远 程 服 务 器 请 求 发 送 至 远 程 服 务 器 。 这 也 便 是 “ 应 用 克 隆 ” 漏 洞 发 生 的 根 源 。 通 过 上 面 的 描 述 可 以 总 结 得 知 ， 如 果 想 要 成 功 利 用 应 用 克 隆 漏 洞 ， 至 少 需 要 满 足 如 下 几 个 要 求 ： 1 攻 击 者 可 以 外 部 调 用 被 攻 击 A P P ， 指 令 其 加 载 一 个 本 地 的 h t m l 文 件 。 从 前 文 得 知 通 过 向 支 付 宝 传 递 q r c o d e 参 数 可 以 指 令 其 访 问 指 定 的 U R L ， 不 过 经 过 实 测 ， 这 个 U R L 不 能 是 F i l e 协 议 的 ， 因 此 不 能 指 定 支 付 宝 访 问 本 地 的 h t m l 文 件 。 2 被 攻 击 A P P 的 s e t A l l o w U n i v e r s a l A c c e s s F r o m F i l e   U R L s 值 为 t r u e 。 这 个 条 件 就 比 较 苛 刻 了 ， 在 A n d r o i d 4 . 1 （   2 0 1 2 年 发 布 ） 之 前 的 版 本 ， 该 选 项 默 认 为 T r u e ， 之 后 的 版 本 默 认 值 为 F a l s e 。 所 以 除 非   A P P 是 很 老 的 版 本 ， 或 者 是 新 版 本 有 着 很 特 殊 的 业 务 需 求 ， 否 则 的 话 是 不 会 将 s e t A l l o w U n i v e r s a l A c c e s s F r o m   F i l e U R L s 设 置 为 T r u e 的 。 3 攻 击 者 需 要 在 被 攻 击 的 手 机 上 下 载 一 个 h t m l 文 件 并 保 存 在 一 个 可 被 F i l e 协 议 访 问 到 的 位 置 。 在 A n d r o i d 老 版 本 曾 经 出 现 过 几 个 漏 洞 ， 可 以 让 A n d r o i d 系 统 自 带 浏 览 器 静 默 下 载 h t m l 文 件 到 默 认 的 下 载 目 录 下 ， 过 程 不 需 要 与 用 户 交 互 。 即 使 现 在 ， c h r o m e 的 最 新 版 仍 然 可 以 通 过 访 问 一 个 链 接 直 接 静 默 下 载 h t m l 文 件 到 默 认 下 载 目 录 下 ： 将 上 面 的 代 码 保 存 为 d o w n . j s p ， 然 后 通 过 c h r o m e   f o r   A n d r o i d 访 问 ， 可 以 自 动 下 载 a u t o d o w n . h t m 文 件 至 / s t o r a g e / s d c a r d 0 / D o w n l o a d 目 录 下 。 同 时 满 足 以 上 三 个 条 件 ， 就 可 以 达 到 “ 应 用 克 隆 ” 的 效 果 了 。 实 例 演 示 实 例 演 示 由 于 支 付 宝 最 新 版 不 同 时 满 足 前 面 提 到 的 三 个 条 件 ， 甚 至 支 付 宝 在 “ 应 用 克 隆 ” 漏 洞 发 布 会 举 行 前 的 多 个 历 史 版 本 也 不 能 同 时 满 足 “ 应 用 克 隆 ” 的 条 件 。 这 里 就 以 我 自 己 编 写 的 一 个 A P P 来 作 为 案 例 演 示 。
该 A P P 实 现 了 以 下 功 能 ： 1 .   跟 支 付 宝 类 似 ， 该 A P P 可 以 被 浏 览 器 通 过 伪 协 议 唤 起 ， 且 可 以 接 受 浏 览 器 传 递 的 u r l 参 数 ， 并 在 A P P 内 部 调 用 w e b v i e w 组 件 加 载 该 U R L 。 2 .   提 供 本 地 登 录 功 能 ， 登 录 成 功 后 ， 将 t o k e n 持 久 化 在 s h a r e d p r e f e r e n c e s 中 ， 下 次 打 开 A P P 会 自 动 读 取 s h a r e d p r e f e r e n c e s 中 的 t o k e n 用 于 身 份 验 证 ， 不 需 要 每 次 打 开 A P P 都 要 重 新 登 录 。 正 常 情 况 下 ， A P P 首 次 打 开 会 要 求 用 户 输 入 用 户 名 密 码 ： 登 陆 成 功 之 后 ， 主 页 面 会 显 示 当 然 登 陆 的 用 户 名 及 t o k e n 信 息 ：
下 面 构 造 一 个 准 备 下 载 到 手 机 上 的 恶 意 h t m 文 件 ， 内 容 如 下 ：  
然 后 在 服 务 器 测 准 备 一 个 g e t d a t a . j s p 文 件 用 来 接 收 被 攻 击 手 机 发 来 的 数 据 ， 接 下 来 我 准 备 了 两 台 手 机 A 和 B ， 在 A 手 机 上 登 陆 了 a @ a . c o m 用 户 ， 在 B 手 机 上 登 陆 了 b @ b . c o m 用 户 ， 然 后 在 a @ a . c o m 用 户 的 手 机 上 打 开 一 个 恶 意 链 接 ， 之 后 B 手 机 上 登 陆 的 用 户 由 b @ b . c o m 变 成 a @ a . c o m ， 通 过 对 方 点 击 一 个 链 接 ， 我 们 成 功 获 取 了 对 方 的 t o k e n ， 实 现 了 “ 克 隆 ” 。 演 示 视 频 演 示 视 频 ： 防 御 建 议 防 御 建 议 1 .   如 果 A P P 支 持 A n d r o i d 4 . 1 （ A P I   l e v e l   1 6 ） 之 前 的 版 本 ， 请 将 s e t A l l o w F i l e A c c e s s F r o m F i l e U R L s   或 s e t A l l o w U n i v e r s a l A c c e s s F r o m F i l e U R L s 显 示 设 置 为 F a l s e 。 如 前 文 所 述 ， “ 应 用
克 隆 ” 应 用 克 隆 的 漏 洞 本 质 是 f i l e 协 议 中 的 j s 读 取 本 地 文 件 内 容 并 跨 域 通 过 h t t p 、 h t t p s 、 f t p 等 协 议 发 送 出 去 ， 所 以 通 过 s e t A l l o w U n i v e r s a l A c c e s s F r o m F i l e U R L s 为 F a l s e 阻 断 f i l e 协 议 跨 域 ， 通 过 设 置 s e t A l l o w F i l e A c c e s s F r o m F i l e U R L s 阻 止 f i l e 协 议 中 的 j s 读 取 本 地 文 件 的 内 容 。 2 .   如 果 业 务 需 要 不 能 将 上 述 两 个 选 项 设 置 为 F a l s e ， 可 以 对 w e b v i e w 加 载 的 U R L 进 行 白 名 单 限 制 。 总 结 总 结 其 实 这 个 漏 洞 并 不 是 什 么 新 漏 洞 ， s e t A l l o w F i l e A c c e s s F r o m F i l e U R L s 、 s e t A l l o w U n i v e r s a l A c c e s s F r o m F i l e U R L s 这 两 个 A P I 早 就 是 w e b v i e w 常 规 安 全 加 固 项 的 排 查 目 标 之 一 了 。 发 布 会 中 提 到 的 “ 新 攻 击 模 型 ” ， 也 只 是 f i l e 跨 域 的 众 多 攻 击 向 量 中 的 一 个 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： r e b e y o n d ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载   阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理