搜索

[16436] 2021-02-13_用一条链接获取Shazam用户地理位置的漏洞分析

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2021-02-13_用一条链接获取Shazam用户地理位置的漏洞分析 用 一 条 链 接 获 取 S h a z a m 用 户 地 理 位 置 的 漏 洞 分 析 c l o u d s   F r e e B u f   2 0 2 1 - 0 2 - 1 3 本 文 中 ， 作 者 通 过 发 现 S h a z a m 应 用 A P P 深 度 链 接 （ d e e p l i n k ） 运 行 机 制 中 存 在 的 一 个 漏 洞 ， 利 用 其 中 的 开 放 重 定 向 和 j s 接 口 安 全 问 题 ， 可 实 现 对 S h a z a m 应 用 A P P 用 户 的 特 定 信 息 获 取 。 S h a z a m 是 苹 果 公 司 旗 下 软 件 ， 其 应 用 能 根 据 取 样 片 段 识 别 出 对 应 的 歌 曲 、 电 影 、 广 告 和 电 视 节 目 （ 听 音 识 曲 ） ， 该 应 用 可 支 持 W i n d o w s 、 m a c O S 和 智 能 手 机 。 漏 洞 说 明 漏 洞 说 明 2 0 1 8 年 底 ， 我 发 现 了 S h a z a m 应 用 A P P 的 一 个 漏 洞 ， 攻 击 者 可 以 构 造 一 个 U R L 链 接 让 受 害 者 执 行 点 击 ， 即 可 获 取 到 受 害 者 的 精 确 地 理 位 置 。 该 漏 洞 影 响 非 常 严 重 ， 将 近 1 亿 S h a z a m 用 户 受 此 影 响 ， 攻 击 者 利 用 漏 洞 构 造 的 一 条 链 接 ， 在 受 害 者 点 击 之 后 ， 除 可 获 取 受 害 者 的 精 确 地 理 位 置 之 外 ， 还 能 实 现 对 受 害 者 手 机 设 备 某 些 特 定 功 能 的 访 问 。 其 实 ， 经 过 进 一 步 的 精 心 设 计 ， 该 漏 洞 完 全 可 以 形 成 一 个 “ 零 点 击 漏 洞 ” （ z e r o   c l i c k   v u l n e r a b i l i t y ） ， 但 苹 果 和 谷 歌 却 根 据 他 们 的 众 测 规 定 拒 绝 了 该 漏 洞 ， 可 是 ， 漏 洞 最 终 却 被 修 复 了 。 我 当 时 给 S h a z a m 安 全 团 队 上 报 漏 洞 的 时 间 是 2 0 1 8 年 1 2 月 （ 即 S h a z a m 被 苹 果 收 购 的 三 个 月 后 ） ， 我 被 引 导 直 接 向 s e c u r i t y @ a p p l e . c o m 进 行 漏 洞 情 况 上 报 ， 经 过 一 番 协 调 反 复 ， 漏 洞 最 终 于 2 0 1 9 年 3 月 2 6 日 修 复 。 之 后 ， 又 经 过 8 个 月 ， 苹 果 才 认 定 该 漏 洞 有 效 ， 但 却 声 称 该 漏 洞 不 在 他 们 的 众 测 规 定 范 围 内 ， 不 予 支 付 漏 洞 赏 金 。 另 外 ， G o o g l e   P l a y 应 用 商 店 安 全 项 目 也 回 复 我 说 该 漏 洞 中 泄 露 的 用 户 数 据 影 响 不 大 ， 不 予 奖 励 。 该 漏 洞 最 终 给 予 的 漏 洞 编 号 为 C V E - 2 0 1 9 - 8 7 9 1 和 C V E - 2 0 1 9 - 8 7 9 2 ， 影 响 A n d r o i d   和   i O S 手 机 上 的 S h a z a m 应 用 。 C V E - 2 0 1 9 - 8 7 9 1 的 官 方 描 述 是 ： S h a z a m   A P P 在 U R L 解 析 时 存 在 问 题 ， 攻 击 者 可 以 通 过 构 造 特 定 U R L 链 接 实 现 开 放 重 定 向 （ o p e n   r e d i r e c t ） ； C V E - 2 0 1 9 - 8 7 9 2 的 官 方 描 述 是 ： 攻 击 者 可 以 通 过 构 造 特 定 U R L 链 接 实 现 任 意 J S 代 码 执 行 。 漏 洞 情 况 漏 洞 情 况 S h a z a m 在 整 个 A P P 应 用 中 用 到 了 深 层 链 接 d e e p l i n k 作 为 导 航 操 作 ， 我 发 现 了 一 个 特 殊 的 导 出 深 层 链 接 ， 它 负 责 在 w e b v i e w 控 件 中 加 载 网 站 ， 该 深 层 链 接 无 需 对 其 参 数 数 值 进 行 验 证 ， 允 许 嵌 入 外 部 资 源 。 而 且 ， 它 其 中 的 w e b v i e w 控 件 包 含 了 一 些 j s 接 口 ， 通 过 这 些 j s 接 口 可 与 A n d r o i d   或   i O S   手 机 A P I 通 信 ， 从 而 检 索 出 用 户 手 机 中 包 含 地 理 数 据 在 内 的 一 些 特 定 信 息 内 容 。 该 深 层 链 接 样 式 为 s h a z a m : / / l a u n c h u r l ? u r l = ， 其 中 的 u r l 参 数 可 以 是 一 个 网 站 或 是 一 个 j s 格 式 脚 本 。 一 旦 其 中 的 w e b v i e w 控 件 加 载 后 ， S h a z a m   A P P 将 会 附 加 运 行 一 个 名 为 W e b V i e w J a v a s c r i p t B r i d g e 的 j s 接 口 ， 该 接 口 可 通 过 窗 口 对 象 访 问 到 。 经 对 S h a z a m   A P P 反 编 译 ， 并 分 析 了 其 中 的 j s 接 口 ， 我 发 现 了 两 个 方 法 函 数 s e t M e s s a g e H a n d l e r   和   s e n d M e s s a g e 。 可 以 通 过 重 写 s e t M e s s a g e H a n d l e r 函 数 ， 捕 获 到 通 过 s e n d M e s s a g e 函 数 发 出 请 求 的 响 应 。 s e t M e s s a g e H a n d l e r 函 数 包 含 了 t y p e   和   d a t a 两 个 参 数 组 成 的 J S O N 对 象 。 经 过 一 番 研 究 测 试 ， 我 很 快 写 出 了 一 段 P O C 代 码 ： < h t m l >     < s c r i p t >                 w i n d o w . W e b V i e w J a v a s c r i p t B r i d g e . s e t M e s s a g e H a n d l e r ( f u n c t i o n ( e )   {                     a l e r t ( J S O N . s t r i n g i f y ( e ) ) ;                 } )
漏 洞 利 用 流 程 漏 洞 利 用 流 程 1 、 攻 击 者 向 受 害 者 发 送 构 造 好 的 U R L 链 接 ； 2 、 受 害 者 点 击 链 接 并 加 载 打 开 了 S h a z a m   A P P 应 用 ； 3 、 S h a z a m   A P P 应 用 加 载 w e b v i e w 控 件 并 执 行 攻 击 者 嵌 入 的 P a y l o a d ； 4 、 受 害 者 地 理 位 置 等 其 它 信 息 即 被 攻 击 者 窃 取 ， 发 送 到 攻 击 者 控 制 的 服 务 器 中 。 漏 洞 影 响 漏 洞 影 响 通 过 简 单 的 U R L 链 接 构 造 ， 攻 击 者 即 可 利 用 S h a z a m   A P P 应 用 隐 蔽 简 单 地 窃 取 受 害 者 相 关 信 息 。 对 恶 意 攻 击 者 或 正 义 执 法 者 来 说 ， 该 漏 洞 不 失 为 一 个 好 的 利 用 手 段 。 但 对 用 户 来 说 ， 这 却 是 涉 及 到 上 亿 用 户 的 隐 私 问 题 ， 因 此 ， 我 选 择 了 漏 洞 上 报 ， 但 遗 憾 的 是 最 终 却 不 符 合 他 们 所 谓 的 众 测 范 围 和 规 定 ， 无 所 谓 了 ， 修 复 就 好 ， 我 将 继 续 深 挖 研 究 。                 } ) < / s c r i p t >     < b u t t o n   o n c l i c k = " w i n d o w . W e b V i e w J a v a s c r i p t B r i d g e . s e n d M e s s a g e ( J S O N . s t r i n g i f y ( { t y p e : ' a b o u t B r i d g e ' , d a t a : { } } ) ) ; " > D e v i c e   I n f o < / b u t t o n >     < b r > < b r >     < b u t t o n   o n c l i c k = " w i n d o w . W e b V i e w J a v a s c r i p t B r i d g e . s e n d M e s s a g e ( J S O N . s t r i n g i f y ( { t y p e : ' l o c a t i o n ' , d a t a : { } } ) ) ; " > G P S < / b u t t o n > < b r > < b r > < / h t m l >
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理