搜索

[14525] 2019-08-29_发现Outlook安卓版本APP跨站漏洞CVE-2019-1105

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2019-08-29_发现Outlook安卓版本APP跨站漏洞CVE-2019-1105 发 现 O u t l o o k 安 卓 版 本 A P P 跨 站 漏 洞 C V E - 2 0 1 9 - 1 1 0 5 c l o u d s   F r e e B u f   2 0 1 9 - 0 8 - 2 9 O u t l o o k 可 能 算 是 目 前 比 较 流 行 的 邮 箱 可 能 算 是 目 前 比 较 流 行 的 邮 箱 A P P 之 一 了 ， 近 期 ， 之 一 了 ， 近 期 ， C y b e r A r k 公 司 研 究 团 队 就 发 现 了 公 司 研 究 团 队 就 发 现 了 O u t l o o k 安 卓 版 本 安 卓 版 本 A P P 的 一 个 跨 站 漏 洞 （ 的 一 个 跨 站 漏 洞 （ X S S ） ） -   C V E - 2 0 1 9 - 1 1 0 5 ， 利 用 该 漏 洞 可 以 在 ， 利 用 该 漏 洞 可 以 在 E - m a i l 电 子 邮 件 中 实 现 任 意 电 子 邮 件 中 实 现 任 意   J a v a S c r i p t   代 代 码 执 行 。 本 文 我 们 就 一 起 来 看 看 该 漏 洞 的 具 体 成 因 。 码 执 行 。 本 文 我 们 就 一 起 来 看 看 该 漏 洞 的 具 体 成 因 。 漏 洞 利 用 漏 洞 利 用 大 概 的 漏 洞 利 用 是 这 样 的 ， 如 果 我 们 向 受 害 者 邮 箱 发 送 包 含 P a y l o a d 的 邮 件 ， 当 受 害 者 打 开 邮 件 之 后 ， 就 会 跳 出 形 如 以 下 的 X S S 窗 口 ：
漏 洞 成 因 漏 洞 成 因 我 们 可 以 把 O u t l o o k   f o r   A n d r i o d 的 A P K 程 序 进 行 一 个 逆 向 分 析 ， 在 a s s e t s 资 源 目 录 下 ， 我 们 发 现 了 一 个 名 为 “ e m a i l R e n d e r e r - a n d r o i d . j s ” 的 J a v a S c r i p t 文 件 ， 顾 名 思 义 ， 它 是 一 个 把 邮 件 消 息 加 载 显 示 给 用 户 查 看 的 。 在 该 J a v a S c r i p t 文 件 中 ， 存 在 一 个 名 为 “ l a y o u t ” 的 函 数 ， 在 其 中 它 调 用 了 名 为 “ _ l i n k i f y P h o n e N u m b e r s ” 的 方 法 。 如 下 ：
在 这 里 ， 我 们 来 谈 谈 L i n k i f y 类 ， a n d r o i d . t e x t . u t i l . L i n k i f y 是 一 个 辅 助 类 ， 通 过 R e g E x 样 式 匹 配 ， 自 动 地 在 T e x t V i e w 类 （ 和 继 承 的 类 ） 中 创 建 超 链 接 。 符 合 特 定 的 R e g E x 样 式 的 文 本 会 被 转 变 成 可 点 击 的 超 链 接 ， 这 些 超 链 接 隐 式 地 调 用 s t a r t A c t i v i t y ( n e w   I n t e n t ( I n t e n t . A C T I O N _ V I E W ,   u r i ) ) ， 符 合 的 文 本 会 作 为 目 标 U R I 。 你 可 以 指 定 任 意 的 字 符 串 样 式 为 链 接 。 为 了 方 便 ， L i n k i f y 类 提 供 了 4 种 预 置 的 通 用 内 容 类 型 （ 电 子 邮 箱 地 址 、 电 话 号 码 、 w e b 地 址 和 住 所 地 址 ） 。 _ l i n k i f y P h o n e N u m b e r s 方 法 的 第 一 步 是 创 建 一 个 正 则 表 达 式 对 象 ， 其 中 包 含 可 能 的 手 机 号 码 模 式 ， 如 下 ： 上 图 可 示 ， 与 _ l i n k i f y P h o n e N u m b e r s 正 则 表 达 式 匹 配 的 是 一 个 7 位 数 序 列 。 之 后 ， l i n k i f y P h o n e N u m b e r s 函 数 定 义 了 第 二 个 内 层 函 数 “ r e p l a c e r ” ， 该 函 数 首 先 会 去 解 析 手 机 号 码 ， 如 下 ： 如 果 解 析 成 功 ， 内 层 函 数   “ r e p l a c e r ” 会 把 号 码 数 字 转 化 生 成 一 个 对 应 链 接 ， 然 后 计 数 器 加 1 并 返 回 数 据 ：
回 到 _ l i n k i f y P h o n e N u m b e r s 的 外 层 函 数 中 来 ， 这 时 _ l i n k i f y P h o n e N u m b e r s 会 测 试 它 定 义 的 正 则 表 达 式 和 消 息 中 每 个 H T M L 元 素 之 间 是 否 匹 配 ， 如 果 匹 配 成 功 ， 外 层 函 数 会 调 用 内 层 函 数 r e p l a c e r 并 返 回 数 据 ， 这 样 ， 就 能 用 一 些 未 转 义 的 文 本 内 容 来 替 代 消 息 内 容 了 ， 漏 洞 也 就 如 此 产 生 了 ： 这 样 一 来 ， 把 数 字 转 化 为 链 接 之 后 ， 从 内 容 上 来 说 就 不 存 在 转 义 了 ， 攻 击 者 可 以 发 送 包 含 匹 配 正 则 表 达 式 的 一 串 数 字 ，   r e p l a c e r 函 数 中 的 计 数 器 加 1 ， 然 后 替 代 掉 原 先 的 消 息 内 容 ， 也 就 是 说 ， 把 用 正 则 表 达 式 电 话 号 码 的 消 息 换 成 一 些 不 可 转 义 的 X S S   P a y l o a d 就 可 以 了 。 用 用 H T M L   5   A P I   来 实 现 来 实 现 X S S H T M L   5   A P I   具 备 了 多 种 新 的 功 能 特 性 ， 所 以 ， 我 们 可 以 利 用 它 来 对 上 述 漏 洞 进 行 一 个 利 用 测 试 。 这 里 ， 我 们 来 看 看 N a v i g a t o r 的 界 面 功 能 ， 它 代 表 了 一 种 当 前 状 态 和 用 户 端 身 份 信 息 ， 可 以 使 用 脚 本 进 行 查 询 并 注 册 成 为 某 种 操 作 。 我 们 以 N a v i g a t o r . v i b r a t e ( ) 震 动 方 法 为 例 说 明 ， 当 恶 意 邮 件 被 受 害 者 打 开 之 后 ， 该 方 法 就 会 使 手 机 设 备 产 生 震 动 脉 冲 。 可 用 以 下 P a y l o a d 来 结 合 利 用 ： 但 只 是 产 生 震 动 还 是 不 够 的 ， 我 们 可 以 在 其 中 插 入 一 段 远 程 脚 本 ， 成 为 ： 我 们 可 用 X M L H t t p R e q u e s t 对 象 来 创 建 一 个 复 杂 脚 本 ， 它 负 责 受 害 者 用 户 浏 览 器 和 我 们 控 制 的 重 定 向 w e b 服 务 器 之 间 的 通 信 。 如 下 ， 使 用 X M L H t t p R e q u e s t 来 重 定 向 受 害 者 ：
上 述 代 码 会 验 证 H T T P 响 应 码 状 态 并 把 链 接 转 化 为 o u t l o o k 特 有 的 o l m 格 式 链 接 窗 口 跳 出 ， 如 下 ： 但 其 中 接 收 到 的 状 态 码 为 0 ， 根 据 M D N   X M L H t t p R e q u e s t . s t a t u s 来 看 ， 说 明 存 在 错 误 。 经 过 一 番 分 析 研 究 ， 我 们 发 现 其 中 存 在 一 个 跨 站 资 源 共 享 C O R S 防 护 措 施 ， 所 以 ， 需 要 对 它 进 行 绕 过 ， 在 此 我 们 使 用 c o r s - a n y w h e r e 代 理 方 式 对 上 述 代 码 作 了 以 下 修 改 ： 这 样 一 来 ， 我 们 的 C O R S   b y p a s s 就 能 成 功 了 ， 通 过 用 b u r p   c o l l a b o r a t o r 作 为 拦 截 代 理 ， 就 能 有 效 地 从 X S S 受 害 者 的 U s e r - a g e n t 信 息 中 查 看 到 我 们 构 造 的 恶 意 消 息 参 数 情 况 了 ：
总 结 总 结 很 多 移 动 A P P 中 都 嵌 入 了 W e b 应 用 功 能 ， 这 种 架 构 一 旦 其 中 的 W e b 应 用 出 现 类 似 X S S 的 问 题 ， 难 免 会 涉 及 本 身 的 移 动 应 用 程 序 。 漏 洞 上 报 进 程 漏 洞 上 报 进 程 2 0 1 9 . 1 . 2 4   漏 洞 上 报 M S R C 2 0 1 9 . 1 . 2 4   M S R C 声 称 会 进 行 检 查 2 0 1 9 . 1 . 2 9   M S R C 成 功 复 现 漏 洞 并 表 示 会 在 之 后 进 行 修 复 2 0 1 9 . 2 . 2 0   M S R C 回 复 称 检 查 还 在 内 部 进 行 2 0 1 9 . 6 . 2 0   M S R C 发 布 补 丁 并 分 配 漏 洞 编 号 C V E - 2 0 1 9 - 1 1 0 5 * 参 考 来 源 ： 参 考 来 源 ： c y b e r a r k ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理