搜索

[13743] 2019-02-10_ES文件浏览器CVE-2019-6447漏洞分析

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-02-10_ES文件浏览器CVE-2019-6447漏洞分析 E S 文 件 浏 览 器 C V E - 2 0 1 9 - 6 4 4 7 漏 洞 分 析 x c y _ m e r l i n   F r e e B u f   2 0 1 9 - 0 2 - 1 0 漏 洞 名 称 漏 洞 名 称 E S   F i l e   E x p l o r e r   O p e n   P o r t   V u l n e r a b i l i t y   -   C V E - 2 0 1 9 - 6 4 4 7 漏 洞 简 介 漏 洞 简 介 E S 文 件 浏 览 器 在 启 动 时 创 建 了 一 个 文 件 浏 览 器 在 启 动 时 创 建 了 一 个 H T T P 服 务 器 ， 在 本 地 打 开 了 服 务 器 ， 在 本 地 打 开 了 5 9 7 7 7 端 口 。 攻 击 者 通 过 构 造 指 定 的 端 口 。 攻 击 者 通 过 构 造 指 定 的 p a y l o a d 可 可 以 获 取 用 户 手 机 文 件 ， 安 装 以 获 取 用 户 手 机 文 件 ， 安 装 a p k 等 操 作 。 等 操 作 。 影 响 范 围 影 响 范 围 4 . 1 . 9 . 7 . 4   a n d   b e l o w （ 部 分 版 本 可 能 不 支 持 ， 也 可 能 和 应 用 市 场 有 关 ） 漏 洞 分 析 漏 洞 分 析 从 f s 0 c 1 3 1 y 所 给 出 的 信 息 来 说 C V E - 2 0 1 9 - 6 4 4 7 影 响 的 E S 应 用 版 本 为 4 . 1 . 9 . 7 . 4 以 下 ， 但 是 在 某 些 版 本 的 应 用 该 漏 洞 却 无 法 利 用 ， 例 如 从 华 为 和 g o o g l e   p l a y 商 店 下 载 的 E S 就 无 法 顺 利 复 现 该 漏 洞 ， 向 5 9 7 7 7 端 口 发 送 p a y l o a d 一 直 会 回 复 5 0 0 E R R O R 报 错 ， 下 面 将 详 细 对 该 漏 洞 进 行 分 析 。 4 . 1 . 9 . 4 版 本 应 用 分 析 版 本 应 用 分 析 以 下 是 选 择 了 4 . 1 . 9 . 4 版 本 的 E S 文 件 浏 览 器 进 行 了 分 析 ， 该 版 本 E S 能 够 成 功 利 用 该 漏 洞 。
首 先 对 A P K 解 包 后 发 现 存 在 三 个 D E X 文 件 。 先 简 单 看 了 下 l i b 中 的 库 发 现 应 用 没 有 加 壳 ， 用 g r e p 筛 查 以 下 5 9 7 7 7 确 定 相 关 代 码 可 能 在 c l a s s e s 2 . d e x 中 。 把 c l a s s s e s 2 . d e x 反 编 译 后 ， 全 局 搜 索 c o m m a n d 发 现 存 在 漏 洞 的 类 在 c o m / e s t r o n g s / a n d r o i d / f / a 之 中 , 而 触 发 漏 洞 的 函 数 为 c o m / e s t r o n g s / a n d r o i d / f / a . a 。 简 单 看 下 来 a . c l a s s , b . c l a s s , c . c l a s s 可 能 都 和 该 漏 洞 的 服 务 相 关 ， 其 中 a . c l a s s 继 承 了 c . c l a s s 。
下 面 来 看 下 整 个 漏 洞 的 触 发 过 程 ， 由 于 混 淆 代 码 不 管 是 丢 进 j e b 中 还 是 s m a l i 阅 读 起 来 都 比 较 费 力 ， 为 此 我 们 可 以 先 动 态 的 将 程 序 跑 一 边 后 记 录 t r a c e ， 分 析 a n d r o i d   t r a c e 文 件 来 查 看 函 数 调 用 栈 （ 利 用 T r a c e R e a d e r 读 取 ） 。 记 录 t r a c e 的 方 法 如 下 ：
在 D D M S 上 成 功 打 开 T r a c e 之 后 ， 我 们 就 要 去 构 造 p a y l o a d 去 触 发 该 漏 洞 ， 漏 洞 具 体 利 用 p a y l o a d 见 g i t h u b （ h t t p s : / / g i t h u b . c o m / f s 0 c 1 3 1 y / E S F i l e E x p l o r e r O p e n P o r t V u l n ） 。 把 t r a c e r 文 件 丢 到 T r a c e R e a d e r 查 看 调 用 栈 ， 可 以 发 现 程 序 进 入 c o m / e s t r o n g s / a n d r o i d / f / c $ a . r u n ( ) V 来 处 理 了 我 们 的 请 求 ， 注 意 这 里 的 类 的 实 例 化 对 象 其 实 是 a . c l a s s 而 不 是 c . c l a s s 。 ： 首 先 接 受 s o c k e t 然 后 读 到 b u f f e r 中 提 取 数 据 c u r l   - - h e a d e r   " C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n "   - - r e q u e s t   P O S T   - - d a t a   " { " c o m m a n d " : g e t D e v i c e I n f o } "   h t t p : / / 1 9 2 . 1 6 8 . 1 3   7 . 1 0 : 5 9 7 7 7   - v v v
然 后 判 断 是 不 是 p o s t 数 据 ， 如 果 是 p o s t 请 求 则 对 c o n t e n t - t y p e 进 行 解 析 ， 当 所 有 的 前 置 解 析 完 成 后 最 后 程 序 会 来 到 l a b e l _ 1 8 9 处 l a b e l 1 8 9 中 ， 执 行 了 v 2 7   =   t h i s . a . a p a r s e u r l o t h e r d a t a ( v 9 ,   v 1 0 ,   v 1 1 ,   v 6 ,   v 7 ) ; 来 进 一 步 解 析 并 执 行 相 应 的 c o m m a n d 。 这 里 有 一 个 问 题 ， 如 果 J E B 直 接 双 击 来 跟 踪 函 数 会 跳 转 到 自 己 类 中 的 函 数 ， 而 实 际 真 正 调 用 的 是 a . c l a s s ( c o m / c o m / e s t r o n g s / a n d r o i d / f / a ) 中 的 函 数 a p a r s e u r l o t h e r d a t a （ 这 里 我 对 混 淆 函 数 名 重 命 名 了 实 际 上 原 本 的 函 数 名 是 a ） 。 下 图 是 J E B 错 误 跳 转 到 函 数 的 位 置 ， 实 际 上 我 们 应 该 分 析 的 是 a . c l a s s 中 的 a p a r s e u r l o t h e r d a t a ：
继 续 追 踪 下 去 来 到 就 来 到 了 我 们 一 开 始 漏 洞 触 发 的 地 方 （ c o m / e s t r o n g s / a n d r o i d / f / a . a ） ： 关 于 这 个 地 方 的 分 析 其 实 有 很 多 文 章 以 及 做 过 了 ， 这 里 就 不 再 过 多 提 及 了 。 解 析 对 应 的 c o m m a n d 调 用 对 应 的 功 能 函 数 后 返 回 j s o n ：
最 后 进 入 c o m / e s t r o n g s / a n d r o i d / f / c $ a . a ( L j a v a / l a n g / S t r i n g ; L j a v a / l a n g / S t r i n g ; L j a v a / u t i l / P r o p e r t i e s ; L j a v a / i o / I n p u t S t r e a m ; ) V 将 r e s p o n s e 写 回 。 该 函 数 将 输 出 的 结 果 写 入 到 O u t p u t S t r e a m 中 然 后 将 其 返 回 。  
该 E S 版 本 整 个 漏 洞 的 触 发 流 程 大 致 就 如 上 所 示 。 这 里 有 一 个 需 要 注 意 的 地 方 ， 如 果 是 不 存 在 漏 洞 的 E S 应 用 v 2 _ 7 是 为 n u l l 的 也 就 会 进 入 t h i s . a ( " 5 0 0   I n t e r n a l   S e r v e r   E r r o r " , " S E R V E R   I N T E R N A L   E R R O R :   S e r v e ( )   r e t u r n e d   a   n u l l   r e s p o n s e . " ) ; 中 ， 这 也 是 很 多 应 用 市 场 上 的 E S 应 用 都 会 到 报 5 0 0 错 误 的 原 因 。 4 . 1 . 6 . 6 . 1 版 本 应 用 分 析 版 本 应 用 分 析 以 下 将 对 4 . 1 . 6 . 6 . 1 版 本 E S 文 件 管 理 器 进 行 分 析 ， 该 版 本 的 E S 文 件 管 理 器 没 有 顺 利 触 发 漏 洞 。 直 接 c u r l 个 看 看 ， 5 0 0 报 错 了 。
拆 包 静 态 看 一 遍 ， 代 码 基 本 上 还 是 在 f 包 中 ， 但 是 多 了 很 多 其 他 的 类 ， a . c l a s s 依 然 是 E S H t t p S e r v e r 实 现 的 地 方 。 再 c u r l 一 个 包 抓 取 一 下 调 用 栈 。 c u r l   - - h e a d e r   " C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n "   - - r e q u e s t   P O S T   - - d a t a   " { " c o m m a n d " : g e t D e v i c e I n f o } "   h t t p : / / 1 9 2 . 1 6 8 . 0 .   1 2 2 : 5 9 7 7 7   - v v v
错 略 比 对 发 现 在 这 个 版 本 的 E S 中 多 了 一 些 函 数 ， 可 能 是 做 了 某 一 些 的 校 验 逻 辑 。 静 态 分 析 代 码 ， 发 现 前 面 的 逻 辑 和 之 前 a p p 差 不 多 ， 但 是 在 执 行 完 c o m . e s t r o n g s . a n d r o i d . f . h . a ( L j a v a / l a n g / S t r i n g ; L j a v a / u t i l / P r o p e r t i e s ; ) V 后 又 调 用 了 b J 。 跟 入 b J ， b J 验 证 了 了 u r l 并 且 a p . a ( ) 方 法 检 测 当 前 环 境 是 否 处 于 W I F I 环 境 下 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理