搜索

[16011] 2020-10-25_挖洞经验通过下载功能实现Facebook安卓应用任意代码执行

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-10-25_挖洞经验通过下载功能实现Facebook安卓应用任意代码执行 挖 洞 经 验   |   通 过 下 载 功 能 实 现 F a c e b o o k 安 卓 应 用 任 意 代 码 执 行 c l o u d s   F r e e B u f   2 0 2 0 - 1 0 - 2 5 近 期 ， 作 者 通 过 测 试 近 期 ， 作 者 通 过 测 试 F a c e b o o k 安 卓 应 用 安 卓 应 用 A P P ， 发 现 可 以 利 用 其 群 组 的 文 件 下 载 功 能 实 现 针 对 ， 发 现 可 以 利 用 其 群 组 的 文 件 下 载 功 能 实 现 针 对 F a c e b o o k 安 卓 应 安 卓 应 用 的 任 意 代 码 执 行 （ 用 的 任 意 代 码 执 行 （ A C E ） 。 ） 。 漏 洞 发 现 漏 洞 发 现 作 者 在 测 试 F a c e b o o k 群 组 文 件 的 下 载 功 能 时 发 现 ， 其 有 两 种 文 件 下 载 机 制 。 如 果 用 户 直 接 从 群 组 帖 子 中 下 载 文 件 ， 那 么 将 通 过 内 置 名 为 D o w n l o a d M a n a g e r 的 安 卓 服 务 下 载 ， 据 我 所 知 ， 这 是 一 种 安 全 的 文 件 下 载 方 法 。 如 果 用 户 要 从 群 组 的 文 件 标 签 （   F i l e s   T a b ） 中 下 载 文 件 ， 那 么 F a c e b o o k 安 卓 应 用 将 会 获 取 文 件 ， 然 后 将 其 无 过 滤 措 施 地 保 存 到 下 载 目 录 中 。 以 下 是 存 在 漏 洞 的 修 复 后 的 代 码 片 段 ， 修 复 前 的 代 码 没 有 以 下 灰 色 的 代 码 行 ： 路 径 遍 历 路 径 遍 历 理 所 当 然 的 是 ， 第 二 种 下 载 方 法 存 在 漏 洞 。 虽 然 F a c e b o o k 在 上 传 文 件 时 采 取 的 一 系 列 的 安 全 措 施 ， 但 却 很 容 易 被 绕 过 。 简 而 言 之 ， F a c e b o o k 安 卓 应 用 用 户 从 F a c e b o o k 群 组 文 件 标 签 中 下 载 的 文 件 会 被 存 储 到 用 户 手 机 中 的 目 录 / s d c a r d / D o w n l o a d s / F I L E _ N A M E ， 这 其 中 由 于 未 对 文 件 名 F I L E _ N A M E 做 过 滤 处 理 ， 导 致 此 处 存 在 目 录 遍 历 漏 洞 。 之 后 ， 我 马 上 想 到 的 是 ， 能 否 用 路 径 遍 历 的 方 式 重 写 覆 盖 掉 程 序 的 原 本 库 来 实 现 代 码 执 行 。 接 下 来 ， 我 用 B u r p 代 理 拦 截 了 文 件 上 传 的 请 求 包 ， 然 后 把 其 文 件 名 更 改 为   . . / . . / . . / s d c a r d / P o C ， 再 进 行 上 传 ： 不 幸 的 是 ， 由 于 F a c e b o o k 服 务 端 的 安 全 措 施 ， 我 构 造 的 这 个 路 径 遍 历 P a y l o a d 文 件 被 删 了 ， 并 且 其 它 样 式 的 P a y l o a d 也 不 奏 效 ， 不 能 实
现 往 / s d c a r d 目 录 写 文 件 的 目 的 。 绕 过 安 全 措 施 绕 过 安 全 措 施 经 过 多 次 的 P a y l o a d 构 造 ， 也 很 难 绕 过 安 全 过 滤 措 施 ， 最 后 ， 我 回 到 了 F a c e b o o k 安 卓 应 用 本 身 ， 在 添 加 文 件 处 终 有 发 现 ！ 从 这 个 添 加 文 件 功 能 处 ， 首 先 ， 我 发 现 可 以 从 F a c e b o o k 安 卓 应 用 中 上 传 文 件 。 因 此 ， 接 下 来 我 从 手 机 中 设 置 B u r p 代 理 ， 拦 截 捕 获 文 件 上 传 请 求 ， 把 其 中 的 文 件 名 f i l e n a m e 更 改 为 . . / . . / . . / s d c a r d / P o C ， 之 后 ， P a y l o a d 文 件 成 功 被 上 传 到 了 / s d c a r d 目 录 ， 且 文 件 名 处 的 路 径 构 造 也 是 有 效 的 。 然 后 ， 我 尝 试 在 群 组 发 贴 中 来 下 载 该 文 件 ， 但 是 F a c e b o o k 安 卓 应 用 的 D o w n l o a d M a n g e r 服 务 是 安 全 的 ， 无 法 找 到 破 绽 。 还 是 在 文 件 标 签 处 （ F i l e s   T a b ） 来 做 测 试 吧 ， 首 先 ， 要 明 确 我 可 以 把 文 件 上 传 到 / s d c a r d / P o C 目 录 。 那 就 像 之 前 考 虑 的 那 样 ， 先 来 个 路 径 遍 历 ， 再 来 个 对 原 生 库 的 覆 盖 重 写 试 试 。 漏 洞 利 用 漏 洞 利 用 为 此 ， 我 又 创 建 了 一 个 安 卓 原 生 库 代 码 （ N a t i v e   D e v e l o p m e n t   K i t ） 来 生 成 原 生 库 ， 我 把 我 的 恶 意 测 试 代 码 放 到 了 J N I _ O n L o a d 函 数 中 ， 以 便 加 载 库 文 件 时 可 以 对 其 进 行 调 用 。 如 下 ：
通 过 对 上 述 恶 意 原 生 库 的 生 成 构 建 ， 再 把 它 用 前 述 路 径 遍 历 + 重 写 覆 盖 的 方 法 上 传 到 F a c e b o o k 安 卓 应 用 服 务 端 中 。 / . . / . . / . . / . . / . . / d a t a / d a t a / c o m . f a c e b o o k . k a t a n a / l i b - x z s / l i b b r e a k p a d . s o 最 终 ， 以 这 种 重 写 覆 盖 的 方 式 可 成 功 实 现 任 意 代 码 执 行 。 漏 洞 上 报 和 处 理 进 程 漏 洞 上 报 和 处 理 进 程 2 0 2 0 . 4 . 2 9     漏 洞 提 交 2 0 2 0 . 4 . 2 9     F a c e b o o k 安 全 团 队 成 功 复 现 2 0 2 0 . 4 . 2 9     漏 洞 分 类 2 0 2 0 . 6 . 1 6     漏 洞 修 复 2 0 2 0 . 7 . 1 5     F a c e b o o k 奖 励 了 我 $ 1 0 , 0 0 0 关 于 赏 金 的 讨 论 关 于 赏 金 的 讨 论 当 我 公 布 该 漏 洞 之 后 ， T w i t t e r 上 有 一 些 网 友 说 F a c e b o o k 的 赏 金 给 少 了 ， 于 是 ， 我 就 试 图 和 F a c e b o o k 安 全 团 队 进 行 一 些 讨 论 。 但 他 们 说 这 个 赏 金 数 额 是 非 常 公 平 合 理 的 ， 不 管 了 ， 那 就 这 样 吧 ， 反 正 漏 洞 已 上 报 了 。 也 许 没 报 之 前 还 有 讨 价 还 价 的 余 地 。 参 考 来 源 参 考 来 源 m e d i u m 精 彩 推 荐 精 彩 推 荐 # i n c l u d e   < j n i . h > # i n c l u d e   < s t r i n g > # i n c l u d e   < s t d l i b . h > J N I E X P O R T   j i n t   J N I _ O n L o a d ( J a v a V M *   v m ,   v o i d *   r e s e r v e d )   {         s y s t e m ( “ i d   >   / d a t a / d a t a / c o m . f a c e b o o k . k a t a n a / P o C ” ) ;         r e t u r n   J N I _ V E R S I O N _ 1 _ 6 ; }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理