搜索

[12713] 2018-05-17_Janus签名漏洞(CVE-2017-13156)原理与利用分析

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-18
2018-05-17_Janus签名漏洞(CVE-2017-13156)原理与利用分析 J a n u s 签 名 漏 洞 ( C V E - 2 0 1 7 - 1 3 1 5 6 ) 原 理 与 利 用 分 析 T a s f a   F r e e B u f   2 0 1 8 - 0 5 - 1 7 * 本 文 原 创 作 者 ： T a s f a ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 0 x 0 0   简 介 简 介 前 言 ： 前 言 ： 去 年 比 较 严 重 的 洞 ， 以 比 较 浅 显 的 方 式 学 习 记 录 一 下 ， 网 上 有 很 多 其 他 深 度 分 析 文 章 ， 也 可 借 鉴 学 习 。 J a n u s 签 名 漏 洞 可 以 让 攻 击 者 绕 过 安 卓 系 统 的 s i g n a t u r e   s c h e m e   V 1 签 名 机 制 ， 进 而 直 接 对 A p p 进 行 篡 改 。 而 且 由 于 安 卓 系 统 的 其 他 安 全 机 制 也 是 建 立 在 签 名 和 校 验 基 础 之 上 ， 该 漏 洞 相 当 于 绕 过 了 安 卓 系 统 的 整 个 安 全 机 制 。 公 告 详 情 :   h t t p s : / / s o u r c e . a n d r o i d . c o m / s e c u r i t y / b u l l e t i n / 2 0 1 7 - 1 2 - 0 1 影 响 :   利 用 该 漏 洞 的 攻 击 者 可 注 入 恶 意 代 码 直 接 修 改 a p p 而 不 影 响 其 原 始 签 名 , 即 修 改 后 仍 是 官 方 签 名 影 响 范 围 :   A n d r o i d   5 . 0 - 8 . 0 且 使 用 S i g n a t u r e s c h e m e   V 1 签 名 的 A P K 文 件 , 不 影 响 S i g n a t u r e s c h e m e   V 2 自 测 : 0 x 0 1   漏 洞 原 理 漏 洞 原 理 A n d r o i d 在 4 . 4 引 入 A R T 虚 拟 机 ， 相 比 较 于 D a l v i k 虚 拟 机 仅 能 运 行 包 装 于 a p k 中 的 d e x 文 件 ， A R T 还 允 许 直 接 运 行 优 化 后 的 d e x 文 件 。 具 体 操 作 是 通 过 读 取 文 件 头 部 文 件 头 部 的 m a g i c 字 段 进 行 判 断 ， 区 别 执 行 a p k 或 者 d e x 。 Z I P 文 件 的 读 取 方 式 是 读 取 文 件 末 尾 文 件 末 尾 定 位 的 c e n t r a l   d i r e c t o r y ,   然 后 通 过 里 面 的 索 引 定 位 到 各 个 z i p   e n t r y ， 每 个 e n t r y 解 压 之 后 都 对 应 一 个 文 件 。 P a r s e Z i p A r c h i v e ( ) 函 数 在 进 行 以 上 处 理 时 候 并 没 有 判 断 文 件 头 部 的 m a g i c 字 段 是 否 为 5 0 4 B 0 3 0 4 ( 即 Z i p ) . 因 此 根 据 以 上 两 点 , 攻 击 者 可 以 通 过 将 恶 意 d e x 文 件 置 于 a p k 文 件 的 头 部 ( 如 上 图 所 示 ) , 在 系 统 安 装 a p k 文 件 时 ， 系 统 安 装 器 解 压 z i p 时 并 没 有 先 判 断 a p k 文 件 的 头 部 m a g i c 字 段 ， 直 接 默 认 是 a p k ( z i p ) 文 件 ， 从 而 直 接 从 文 件 尾 部 进 行 读 取 解 压 ， 此 时 签 名 没 有 任 何 变 化 ， 因 此 可 欺 骗 系 统 ， 从 而 进 行 安 装 。 攻 击 关 键 点 是 当 用 户 点 击 运 行 a p k 时 ， 系 统 A R T 虚 拟 机 会 去 判 断 文 件 头 部 的 m a g i c 字 段 ， 从 而 使 用 不 同 的 策 略 执 行 文 件 ， 由 于 该 a p k 文 件 头 部 被 修 改 为 恶 意 d e x ， 因 此 a r t 虚 拟 机 直 接 执 行 恶 意 d e x 文 件 。 0 x 0 2   漏 洞 利 用 漏 洞 利 用 漏 洞 利 用 P o C :
0 x 0 3   漏 洞 防 御 漏 洞 防 御 谷 歌 官 方 修 复 d i f f :
在 解 压 z i p 文 件 时 , 调 用 函 数 R e a d A t O f f s e t ( ) 读 取 o f f s e t = 0 的 m a g i c 字 段 是 否 为 L o c a l F i l e H e a d e r : : k S i g n a t u r e ( 即 0 x 0 4 0 3 4 b 5 0 ) 防 御 : 使 用 S i g n a t u r e s c h e m e   V 2 签 名 前 往 官 方 网 站 下 载 正 版 应 用 或 到 阿 里 P P 助 手 下 载 安 全 应 用 0 x 0 4   参 考 参 考 N e w   A n d r o i d   v u l n e r a b i l i t y   a l l o w s   a t t a c k e r s   t o   m o d i f y   a p p s   w i t h o u t   a f f e c t i n g   t h e i r   s i g n a t u r e s J a n u s 漏 洞 （ C V E - 2 0 1 7 - 1 3 1 5 6 ） :   修 改 安 卓 a p p 而 不 影 响 签 名 安 卓 “ J a n u s ” 漏 洞 的 产 生 原 理 及 利 用 过 程 Z I P 文 件 格 式 分 析 * 本 文 原 创 作 者 ： T a s f a ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理