搜索

[15490] 2020-06-13_雷蛇电子钱包APP漏洞分析

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2020-06-13_雷蛇电子钱包APP漏洞分析 雷 蛇 电 子 钱 包 A P P 漏 洞 分 析 c l o u d s   F r e e B u f   2 0 2 0 - 0 6 - 1 3 雷 蛇 支 付 （ 雷 蛇 支 付 （ R a z e r   P a y ） 在 新 加 坡 和 马 来 西 亚 被 广 泛 使 用 ， 在 该 篇 ） 在 新 加 坡 和 马 来 西 亚 被 广 泛 使 用 ， 在 该 篇 W r i t e u p 中 ， 作 者 通 过 中 ， 作 者 通 过 A P P 逆 向 分 析 ， 利 用 逆 向 分 析 ， 利 用 F r i d a 调 试 ， 发 现 了 雷 蛇 支 付 电 子 钱 包 （ 调 试 ， 发 现 了 雷 蛇 支 付 电 子 钱 包 （ R a z e r   P a y   E w a l l e t ） 中 的 用 户 签 名 ） 中 的 用 户 签 名 （ （ S i g n a t u r e ） 生 成 漏 洞 ， 由 此 可 读 取 雷 蛇 支 付 用 户 的 聊 天 记 录 、 删 除 用 户 绑 定 的 银 行 账 户 并 窃 取 用 户 个 人 敏 感 信 息 ， 漏 洞 最 终 获 得 了 雷 蛇 官 方 将 近 ） 生 成 漏 洞 ， 由 此 可 读 取 雷 蛇 支 付 用 户 的 聊 天 记 录 、 删 除 用 户 绑 定 的 银 行 账 户 并 窃 取 用 户 个 人 敏 感 信 息 ， 漏 洞 最 终 获 得 了 雷 蛇 官 方 将 近 $ 6 , 0 0 0 的 奖 励 。 以 下 是 作 者 的 漏 洞 发 的 奖 励 。 以 下 是 作 者 的 漏 洞 发 现 思 路 ， 仅 当 姿 势 学 习 借 鉴 ： 现 思 路 ， 仅 当 姿 势 学 习 借 鉴 ： 漏 洞 背 景 漏 洞 背 景 雷 蛇 （ R a z e r   I n c ， R Λ Z Ξ R ） 是 一 家 在 新 加 坡 创 立 的 游 戏 周 边 设 备 公 司 ， 又 被 称 为 “ 绿 光 灯 厂 ” ， 近 年 开 始 进 军 电 子 消 费 业 务 。 雷 蛇 的 两 个 总 部 分 别 设 立 在 新 加 坡 及 美 国 圣 地 亚 哥 。 2 0 1 7 年 1 1 月 在 香 港 联 交 所 上 市 ， 产 品 面 向 游 戏 玩 家 ， 其 产 品 大 多 数 都 以 肉 食 动 物 命 名 。 2 0 1 8 年 推 出 电 子 钱 包 R a z e r   P a y 。 2 0 2 0 年 5 月 ， 开 始 生 产 外 科 口 罩 。 在 雷 蛇 支 付 电 子 钱 包 （ R a z e r   P a y   E w a l l e t ） 的 请 求 防 篡 改 机 制 中 ， 除 a u t h _ t o k e n 之 外 ， 还 使 用 了 参 数 s i g n a t u r e 对 不 同 用 户 的 请 求 进 行 签 名 验 证 ， 每 一 个 对 服 务 端 的 G E T 和 P O S T 请 求 都 会 附 带 一 个 经 过 编 码 的 s i g n a t u r e 参 数 值 和 用 户 i d ， 如 下 图 所 示 ： 因 此 ， 试 图 对 任 意 请 求 参 数 的 篡 改 重 发 都 会 无 效 ， 但 经 A P K 逆 向 分 析 发 现 ， 雷 蛇 支 付 电 子 钱 包 （ R a z e r   P a y   E w a l l e t ） 存 在 用 户 签 名 （ S i g n a t u r e ） 生 成 漏 洞 ， 结 合 F r i d a 的 分 析 利 用 可 自 动 计 算 生 成 新 的 用 户 签 名 （ S i g n a t u r e ） ， 由 此 可 导 致 很 多 的 越 权 （ I D O R ） 问 题 。 我 在 使 用 B u r p 对 雷 蛇 支 付 A P P 的 网 络 请 求 进 行 抓 包 时 发 现 ， 由 于 请 求 中 用 户 签 名 （ S i g n a t u r e ） 的 保 护 ， 所 以 其 中 很 多 参 数 都 是 无 法 篡 改 的 ， 因 此 ， 我 第 一 时 间 想 到 了 注 册 另 外 一 个 雷 蛇 支 付 用 户 来 进 行 配 合 测 试 ， 但 在 两 个 用 户 的 同 一 请 求 的 场 景 下 ， 经 会 话 P a y l o a d 的 替 换 操 作 后 ， 执 行 无 效 ， 原 因 还 是 出 在 有 用 户 签 名 （ S i g n a t u r e ） 的 会 话 请 求 保 护 。 我 决 定 切 实 分 析 一 下 用 户 签 名 （ S i g n a t u r e ） 的 生 成 机 制 ， 在 a p k t o o l   和   J a d x - G u i   的 反 编 译 帮 助 下 ， 我 对 其 A P P 的 运 行 有 了 代 码 层 次 的 理 解 ， 发 现 其 中 存 在 一 个 名 为 “ M D 5 E n c o d e ” 的 方 法 函 数 ， 从 名 字 上 就 知 道 是 用 了 M D 5 加 密 算 法 。 经 过 一 些 参 数 P a y l o a d 的 组 合 ， 我 决 定 尝 试 一 下 生 成 用 户 签 名 （ S i g n a t u r e ） ， 但 怎 么 试 也 无 法 生 成 正 确 的 用 户 签 名 ， 我 猜 想 可 能 是 参 数 次 序 错 误 ， 或 它 是 一 种 非 常 规 的 M D 5 加 密 。 删 除 其 他 用 户 的 绑 定 银 行 账 户 删 除 其 他 用 户 的 绑 定 银 行 账 户 不 抛 弃 不 放 弃 ， 我 把 其 中 涉 及 用 户 签 名 生 成 的 所 有 相 关 代 码 拷 贝 出 来 ， 然 后 用 I D E 调 试 工 具 I n t e l l i J   I D E A 进 行 尝 试 生 成 ， 终 于 ， 在 “ M D 5 E n c o d e ” 方 法 运 用 中 ， 我 组 合 对 了 正 确 的 参 数 次 序 ， 不 过 由 于 有 代 码 混 淆 ， 还 需 要 做 一 些 微 调 ， 但 还 算 不 太 难 。 最 终 ， 在 之 前 生 成 的 请 求 主 体 中 ， 插 入 正 确 的 参 数 值 ， 用 上 述 代 码 即 能 生 成 正 确 的 用 户 签 名 （ S i g n a t u r e ） 字 符 串 ！ （ 小 编 分 析 ， 在 以 下 多 个 用 户 签 名 的 生 成 过 程 中 ， 用 到 了 用 户 自 己 的 t o k e n ， 其 为 参 数 之 一 ， 然 后 经 M D 5 E n c o d e 方 法 ， 可 以 生 成 与 多 个 用 户 i d 对 应 的 不 同 用 户 签 名 ， 也 就 是 可 以 成 功 生 成 雷 蛇 服 务 端 分 配 给 多 个 用 户 的 各 个 用 户 签 名 S i g n a t u r e ）
由 此 ， 我 首 先 想 到 的 就 是 测 试 越 权 漏 洞 （ I D O R ） ， 我 选 择 了 一 个 比 较 敏 感 的 A P I 接 口 / d e l e t e B a n k A c c o u n t ， 也 就 是 删 除 用 户 绑 定 的 银 行 账 户 操 作 ， 然 后 在 两 个 账 户 的 测 试 场 景 下 ， 竟 然 能 成 功 删 除 掉 另 一 雷 蛇 支 付 （ R a z e r   P a y ） 用 户 的 绑 定 银 行 账 户 ！ 加 入 其 他 用 户 创 建 的 聊 天 群 组 加 入 其 他 用 户 创 建 的 聊 天 群 组 到 这 步 ， 我 想 肯 定 还 有 其 它 受 S i g n a t u r e 保 护 的 A P I 接 口 存 在 I D O R 越 权 问 题 ， 于 是 我 尝 试 用 上 述 方 法 去 做 了 一 波 测 试 ， 但 毫 无 发 现 。 而 且 其 它 A P I 接 口 使 用 了 不 同 代 码 混 淆 方 法 ， 导 致 我 花 费 了 很 多 时 间 去 研 究 分 析 。 没 有 头 绪 之 时 ， 那 就 用 F r i d a 来 试 试 吧 ， F r i d a 是 一 个 非 常 好 用 的 调 试 工 具 ， 我 正 好 可 以 用 它 来 识 别 一 些 可 以 h o o k 利 用 的 方 法 函 数 ， 结 合 上 述 的 M D 5 E n c o d e 方 法 ， 找 到 正 确 的 电 子 钱 包 代 码 包 ， 同 样 可 以 用 这 些 方 法 函 数 生 成 新 的 正 确 的 用 户 签 名 S i g n a t u r e 。 如 以 下 f r i d a . j s 代 码 实 现 的 功 能 是 为 当 前 用 户 生 成 的 新 的 用 户 签 名 ， 以 加 入 其 他 用 户 创 建 的 聊 天 群 组 ： 但 是 要 运 行 F r i d a ， 需 要 r o o t 级 别 的 访 问 ， 好 在 我 另 外 发 现 了 一 个 服 务 端 漏 洞 可 以 让 攻 击 者 在 一 台 r o o t 过 的 移 动 设 备 中 执 行 操 作 ， 以 下 为 在 移 动 设 备 中 启 动 F r i d a 服 务 的 命 令 ： 之 后 ， 在 另 一 个 终 端 窗 口 下 ， 运 行 以 下 命 令 ： 然 后 ， 在 移 动 设 备 中 ， 我 打 开 雷 蛇 支 付 A P P ， 这 其 中 任 何 调 用 到 h o o k 方 法 “ M D 5 E n c o d e ” 的 操 作 都 将 会 执 行 上 述 的 f r i d a . j s 脚 本 ， 最 终 我 就 能 针 对 特 定 用 户 请 求 生 成 有 效 正 确 的 用 户 签 名 S i g n a t u r e 了 ， 这 里 的 测 试 用 例 是 ， 我 可 以 为 我 自 己 生 成 一 个 用 户 签 名 ， 以 它 为 验 证 凭 据 加 入 其 他 用 户 创 建 的 聊 天 群 组 中 去 ， 这 种 方 式 的 危 害 之 处 在 于 ， 可 以 神 不 知 鬼 不 觉 地 加 入 某 个 群 组 ， 然 后 获 取 别 人 的 / /   f r i d a . j s   -   U s e   t h i s   f o r   r e c a l c u l a t i n g   s i g n a t u r e   f o r   a d d i n g   u s e r   t o   o t h e r   p e o p l e ' s   c h a t g r o u p c o n s o l e . l o g ( " S t a r t i n g . . . " ) J a v a . p e r f o r m ( f u n c t i o n   ( )   {         v a r   M D 5   =   J a v a . u s e ( ' c o m . m o l . m o l w a l l e t . v i e w . M D 5 $   a d b   s h e l l #   s u d o   s u #   / d a t a / l o c a l / t m p / f r i d a - s e r v e r $   f r i d a   - l   f r i d a . j s   - U   c o m . m o l . m o l w a l l e t
聊 天 内 容 ， 或 点 击 领 取 抢 掉 别 人 发 送 的 红 包 。 导 致 的 其 它 安 全 问 题 导 致 的 其 它 安 全 问 题 利 用 上 述 方 法 ， 我 把 其 它 受 S i g n a t u r e 影 响 的 所 有 A P I 接 口 都 做 了 测 试 ， 发 现 可 以 从 这 些 A P I 接 口 获 取 用 户 群 组 聊 天 时 分 享 的 红 包 金 额 ， 另 外 还 能 修 改 并 查 看 其 他 用 户 的 转 账 记 录 和 个 人 信 息 。 * 参 考 来 源 ： 参 考 来 源 ： s a m b a l 0 x ， ， c l o u d s   编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理