搜索

[16542] 2021-03-12_KindleDrip：你的Kindle邮箱可能泄露了个人信息

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-03-12_KindleDrip：你的Kindle邮箱可能泄露了个人信息 K i n d l e D r i p ： 你 的 K i n d l e 邮 箱 可 能 泄 露 了 个 人 信 息 c l o u d s   F r e e B u f   2 0 2 1 - 0 3 - 1 2 在 本 漏 洞 W r i t e u p 中 ， 作 者 利 用 K i n d l e 的 电 子 书 邮 件 发 送 途 径 ， 通 过 研 究 电 子 书 文 档 注 入 、 电 子 书 J P E G   X R 解 析 漏 洞 和 K i n d l e 提 权 漏 洞 ， 经 综 合 利 用 ， 可 成 功 以 假 冒 邮 件 方 式 ， 向 受 害 者 K i n d l e 邮 箱 发 送 恶 意 电 子 书 文 档 ， 只 要 受 害 者 点 击 其 中 的 恶 意 链 接 ， 就 能 以 r o o t 级 别 在 受 害 者 K i n d l e 设 备 中 执 行 任 意 代 码 。 漏 洞 危 害 在 于 ， 可 以 此 获 取 受 害 者 K i n d l e 设 备 中 的 c r e d i t   c a r d 等 个 人 信 息 ， 变 卖 受 害 者 电 子 书 并 把 所 获 钱 款 转 到 自 己 账 户 等 。 漏 洞 最 终 收 获 了 亚 马 逊 官 方 奖 励 的 1 8 K $ 。 前 言 说 明 前 言 说 明 在 早 前 ， 我 从 R e a l m o d e   L a b s 博 文 发 现 A m a z o n   K i n d l e 发 布 了 一 个 名 为 “ 发 送 至 K i n d l e ” （ S e n d   t o   K i n d l e ） 的 功 能 ， 利 用 该 功 能 用 户 可 以 直 接 将 电 子 书 文 档 以 附 件 方 式 发 送 至 自 己 K i n d l e 中 的 图 书 内 容 库 ， 当 时 我 就 对 该 功 能 的 安 全 性 有 所 思 考 ， 能 不 能 利 用 其 向 其 他 用 户 发 送 恶 意 文 档 以 此 实 现 攻 击 或 信 息 获 取 呢 ？ 说 干 就 干 ， 经 过 一 段 时 间 的 研 究 分 析 ， 我 综 合 利 用 其 存 在 的 三 个 漏 洞 ， 可 以 实 现 对 其 他 用 户 K i n d l e 设 备 的 r o o t 层 远 程 代 码 执 行 攻 击 。 攻 击 者 只 需 知 道 受 害 者 的 K i n d l e 邮 箱 即 可 ， 攻 击 之 后 可 以 获 取 受 害 者 的 密 码 凭 据 ， 能 利 用 受 害 者 绑 定 的 c r e d i t   c a r d 在 K i n d l e 商 店 购 买 东 西 ， 还 能 把 受 害 者 的 电 子 书 变 卖 并 把 卖 后 所 得 钱 款 转 到 自 己 的 账 户 下 。 在 K i n d l e 商 店 的 购 买 过 程 中 ， 受 害 者 只 会 收 到 K i n d l e 发 来 的 确 认 邮 件 ， 有 安 全 意 识 的 用 户 也 许 才 会 从 确 认 邮 件 中 发 现 不 对 劲 。 漏 洞 介 绍 漏 洞 介 绍 在 第 一 个 漏 洞 中 ， 攻 击 者 可 以 向 受 害 者 K i n d l e 设 备 发 送 捆 绑 了 恶 意 程 序 的 电 子 书 文 档 ； 第 二 个 漏 洞 中 ， 受 害 者 K i n d l e 设 备 在 解 析 恶 意 电 子 书 文 档 时 会 触 发 任 意 代 码 执 行 ； 第 三 个 漏 洞 中 ， 攻 击 者 可 以 提 权 为 r o o t 级 别 完 全 控 制 受 害 者 K i n d l e 设 备 。 目 前 ， 亚 马 逊 已 经 针 对 该 问 题 发 布 了 软 件 更 新 包 ， 用 户 在 接 入 互 联 网 后 就 会 自 动 更 新 升 级 。 以 下 是 三 个 漏 洞 的 综 合 利 用 流 程 ： 电 子 书 文 档 恶 意 注 入 电 子 书 文 档 恶 意 注 入 在 “ 发 送 至 K i n d l e ” 的 功 能 中 ， A m a z o n 会 为 每 个 K i n d l e 生 成 一 个 特 别 的 k i n d l e . c o m 后 缀 邮 箱 ， 用 户 可 以 将 M O B I 电 子 书 文 档 以 附 件 方 式 发 送 至 该 邮 箱 ， 之 后 ， 即 可 从 K i n d l e 设 备 中 看 到 该 电 子 书 。
在 此 要 说 明 的 是 ， A m a z o n 未 做 严 格 的 身 份 验 证 ， 我 用 了 在 线 邮 件 伪 造 服 务 即 能 假 冒 一 个 正 常 用 户 ， 成 功 向 受 害 者 的 k i n d l e 后 缀 邮 箱 发 送 电 子 书 文 档 ， 之 后 ， 假 冒 发 送 的 电 子 书 文 档 还 能 以 并 以 文 档 封 面 形 式 正 常 显 示 在 受 害 者 K i n d l e 设 备 中 ， 这 里 还 可 以 用 作 钓 鱼 攻 击 。 这 里 的 邮 箱 格 式 是 ， 有 些 用 户 是 像 g m a i l 那 样 的 正 常 邮 箱 地 址 ， 只 是 把 n a m e @ g m a i l . c o m   换 作   n a m e @ k i n d l e . c o m ， 而 有 些 是 无 规 律 的 ， 如 n a m e _ @ k i n d l e . c o m 。 逆 向 逆 向 K i n d l e   F i r m w a r e 固 件 固 件 现 在 有 了 向 任 意 K i n d l e 设 备 发 送 电 子 书 文 档 的 方 法 ， 接 下 来 就 需 要 研 究 如 何 在 受 害 者 打 开 电 子 书 文 档 时 触 发 执 行 代 码 。 为 此 ， 我 在 最 新 的 K i n d l e f i r m w a r e   v e r s i o n   5 . 1 3 . 2 环 境 下 ， 逆 向 分 析 了 K i n d l e 电 子 书 解 析 代 码 。 我 先 用 K i n d l e T o o l 提 取 了 固 件 更 新 中 的 文 件 系 统 ， 并 用 g d b 和 G h i d r a 对 手 上 还 有 的 一 个 越 狱 过 的 K i n d l e   P a p e r W h i t e   3 ， 进 行 了 电 子 书 解 析 相 关 代 码 的 逆 向 测 试 。 后 经 分 析 发 现 ， 有 一 个 名 为 l i b j p e g X R . s o 的 库 负 责 了 对 j p e g X R 图 片 的 解 析 ， 这 或 许 是 一 个 不 错 的 攻 击 点 。 J P E G   X R   图 片 格 式 漏 洞 图 片 格 式 漏 洞 J P E G   X R 是 微 软 发 布 的 一 种 图 片 处 理 格 式 ，   K i n d l e 最 新 的 文 件 格 式 K F X 也 支 持 J P E G   X R ， 而 又 由 于 只 有 M O B I 电 子 书 文 档 才 存 在 上 述 漏 洞 ， 初 看 起 来 好 像 是 无 关 的 。 之 后 ， 我 尝 试 分 析 K i n d l e 中 是 否 还 有 其 它 方 式 可 以 支 持 J P E G   X R ， 发 现 集 成 W E B 浏 览 器 是 支 持 J P E G   X R 格 式 的 ， 如 果 M O B I 电 子 书 文 档 中 包 含 了 W E B 嵌 入 式 链 接 （ 在 视 觉 上 等 同 于 目 录 链 接 ） ， 点 击 了 其 中 了 W E B 嵌 入 链 接 ， 就 会 在 终 端 设 备 中 打 开 W E B 浏 览 器 。 量 化 参 数 缓 冲 区 溢 出 （ 量 化 参 数 缓 冲 区 溢 出 （ B u f f e r - O v e r f l o w ） ） 接 下 来 ， 我 就 着 手 研 究 J P E G   X R 标 准 ， 通 过 查 看 其 官 方 参 考 引 用 代 码 ， 发 现 其 中 的 j x r _ p r i v . h 文 件 定 义 了 以 下 包 含 “ 量 化 参 数 ” 的 j x r _ i m a g e 处 理 方 法 ： 在 图 片 解 析 文 件 r _ p a r s e . c 中 ， 若 图 片 中 包 含 了 相 关 数 据 ， 则 h p _ q u a n t _ c h 会 被 配 合 方 法 _ j x r _ r _ T I L E _ H E A D E R _ H I G H P A S S 执 行 解 析 操 作 ， 另 外 ， i m a g e - > n u m _ c h a n n e l s 方 法 为 解 析 图 片 文 件 中 的 数 据 长 度 。 其 中 的 缓 冲 区 大 小 始 终 不 变 为 M A X _ C H A N N E L S = 1 6 ， 所 以 这 里 可 以 尝 试 做 缓 冲 区 溢 出 测 试 。 在 J P E G   X R 的 参 考 引 用 代 码 中 ， 会 执 行 n u m _ c h a n n e l s 小 于 M A X _ C H A N N E L S 的 检 查 ， 那 K i n d l e 开 发 人 员 会 不 会 把 这 点 忘 记 了 呢 ？ 前 面 已 经 说 过 ， i b j p e g X R . s o 的 库 负 责 了 对 j p e g X R 图 片 的 解 析 ， 于 是 我 立 即 用 G h i d r a 查 看 l i b j p e g X R . s o 的 解 析 机 制 。 一 番 分 析 发 现 ， K i n d l e 电 子 文 档 的 J P E G X R 图 片 解 析 很 多 都 和 官 方 一 致 ， 但 是 上 述 n u m _ c h a n n e l s 小 于 M A X _ C H A N N E L S 的 检 查 却 是 没 有 的 ！ 可 能 是 K i n d l e 开 发 人 员 已 经 把 该 检 查 方 法 删 除 了 ， 或 是 以 其 它 方 式 来 简 单 代 替 ， 但 无 论 哪 种 方 式 ， 在 K i n d l e 解 析 J P E G   X R 文 件 时 ， 精 心 构 造 其 中 的 图 片 数 据 就 能 实 现 缓 冲 区 溢 出 攻 击 。 漏 洞 利 用 漏 洞 利 用 在 上 述 涉 及 的 j x r _ i m a g e 方 法 后 ， 存 在 一 个 指 针 s t r u c t   j x r _ t i l e _ q p   t i l e _ q u a n t ， 方 法 _ j x r _ r _ T I L E _ H E A D E R _ H I G H P A S S 负 责 把 h p _ q u a n t _ c h 中 的 量 化 参 数 复 制 到 该 指 针 中 ： m e m c p y ( i m a g e - > t i l e _ q u a n t [ t y ( i m a g e - > t i l e _ c o l u m n s )   +   t x ] . h p _ q u a n t _ c h ,   i m a g e - > h p _ q u a n t _ c h ,   M A X _ C H A N N E L S * M A X _ H P _ Q P S ) ; 因 此 ， 使 用 上 述 我 们 分 析 的 缓 冲 区 溢 出 ， 攻 击 者 只 要 在 相 应 地 址 中 写 入 操 控 数 据 就 能 覆 盖 t i l e _ q u a n t ， 这 下 就 好 办 了 。 i m a g e - > t i l e _ c o l u m n s 和 i m a g e - > t i l e _ r o w 中 定 义 了 _ j x r _ r _ T I L E _ H E A D E R _ H I G H P A S S 的 调 用 次 数 ， 这 样 的 话 ， 攻 击 者 就 能 以 此 用 同 一 张 图 片 多 次 进 行 数 据 调 用 。 接 下 来 ， 我 们 在 W E B 浏 览 器 进 程 m e s q u i t e 中 看 看 解 析 过 程 中 其 内 存 映 射 情 况 ： u n s i g n e d   c h a r   d c _ q u a n t _ c h [ M A X _ C H A N N E L S ] ; u n s i g n e d   c h a r   l p _ q u a n t _ c h [ M A X _ C H A N N E L S ] [ M A X _ L P _ Q P S ] ; u n s i g n e d   c h a r   h p _ q u a n t _ c h [ M A X _ C H A N N E L S ] [ M A X _ H P _ Q P S ] ; 0 0 0 0 8 0 0 0 – 0 0 0 a 0 0 0 0   r - x p   0 0 0 0 0 0 0 0   b 3 : 0 1   1 9 3 9   / u s r / b i n / m e s q u i t e 0 0 0 a 0 0 0 0 – 0 0 0 a 2 0 0 0   r w x p   0 0 0 9 8 0 0 0   b 3 : 0 1   1 9 3 9   / u s r / b i n / m e s q u i t e 0 0 0 a 2 0 0 0 – 0 0 2 b 8 0 0 0   r w x p   0 0 0 0 0 0 0 0   0 0 : 0 0   0   [ h e a p ] …
二 进 制 数 据 会 被 加 载 到 一 个 定 量 地 址 中 ， 其 中 具 备 了 一 个 可 执 行 可 写 的 区 域 ， 这 样 的 话 ， 攻 击 就 变 得 相 对 简 单 了 。 使 用 一 些 构 造 填 充 数 据 ， 可 以 往 可 写 区 域 中 放 入 s h e l l c o d e ， 通 过 全 局 偏 移 表 （ G l o b a l   O f f s e t   T a b l e ） 有 效 实 现 缓 冲 区 溢 出 。 上 述 m e s q u i t e 进 程 是 多 线 程 的 ， 其 中 的 某 个 线 程 在 调 用 偏 移 表 中 的 函 数 时 ， 就 会 导 致 s h e l l c o d e 执 行 。 漏 洞 提 权 漏 洞 提 权 W E B 浏 览 器 进 程 m e s q u i t e 是 在 c h r o o t 的 有 限 权 限 下 运 行 的 ， 要 使 得 漏 洞 攻 击 成 功 ， 必 须 进 行 提 权 。 因 此 ， 我 对 r o o t 进 程 中 的 本 地 s o c k e t 接 口 进 行 了 分 析 ： 其 中 的 s t a c k d u m p d 看 似 可 以 利 用 ， 我 在 G h i d r a 下 进 行 了 分 析 ， 发 现 它 是 用 来 负 责 崩 溃 进 程 的 堆 栈 转 储 ， 它 会 接 收 崩 溃 进 程 i d 、 线 程 i d ， 并 把 相 关 信 息 传 递 给 / u s r / b i n / d u m p - s t a c k 。 在 g d b 调 试 环 境 下 ， 该 过 程 中 涉 及 连 接 崩 溃 进 程 的 一 个 s h e l l 脚 本 执 行 ， 顾 名 思 义 ， 堆 栈 转 储 ， 从 以 下 s h e l l 脚 本 中 可 以 看 到 大 致 流 程 ： 其 中 的 C U R R E N T _ T I D 未 被 引 用 占 用 ， 所 以 可 用 它 来 注 入 一 些 参 数 。 由 于 g d b 环 境 下 c o m m a n d 变 量 可 以 执 行 任 意 命 令 ， 因 此 ， 可 以 利 用 它 来 实 现 r o o t 层 级 的 任 意 代 码 执 行 。 但 是 ， K i n d l e 开 发 人 员 可 能 对 此 有 所 意 识 ， 所 以 在 声 明 中 明 确 了 C U R R E N T _ T I D 是 一 个 数 字 。 其 首 次 检 查 ， 会 在 d u m p s t a c k d 进 程 中 检 查 a t o i 函 数 的 返 回 值 不 为 0 ： 第 二 次 在 d u m p - s t a c k 进 程 的 检 查 则 是 正 则 表 达 式 方 式 ： 首 次 的 a t o i 检 查 可 简 单 用 字 符 串 加 数 字 的 方 式 绕 过 ， 第 二 次 的 正 则 表 达 式 可 在 数 字 后 加 换 行 符 进 行 绕 过 ， 比 如 构 造 “ 1 n s o m e   s t r i n g ” 形 式 的 内 容 就 可 绕 过 上 述 两 种 检 查 ， 即 能 实 现 在 r o o t 级 别 下 的 任 意 代 码 执 行 。 综 合 利 用 前 述 的 两 个 漏 洞 ， 最 终 可 在 K i n d l e 设 备 上 成 型 一 个 r o o t 级 别 的 远 程 代 码 执 行 [ r o o t @ k i n d l e   r o o t ] #   n e t s t a t   - n t p l   |   t a i l   - n   + 3   |   a w k   ‘ {   p r i n t   $ 7   } ’   |   a w k   - F   /   ‘ {   p r i n t   $ 1   } ’   |   x a r g s   - I   { }   p s   - o   u n a m e = , c m d =   - p   { } 9 0 0 0   / a p p / b i n / A a M e n u A p p l i c a t i o n 9 0 0 0   w e b r e a d e r r o o t   s t a c k d u m p d 9 0 0 0   k f x r e a d e r   - l 9 0 0 0   / u s r / j a v a / b i n / c v m   - X m x 4 9 m   - X m s 4 9 m   … r o o t   f a s t m e t r i c s 9 0 0 0   k f x v i e w 9 0 0 0   / u s r / j a v a / b i n / c v m   - X m x 4 9 m   - X m s 4 9 m   … $ { G D B }   - - q u i e t   - - s e   " $ { P R O C E S S _ E X E } "   - - p i d   $ { C U R R E N T _ T I D }   - - b a t c h   - e x   " b t "   - e x   d e t a c h “ $ ( e c h o   “ $ C U R R E N T _ T I D ”   |   g r e p   ‘ ^ [ 0 – 9 ] * $ ’ ) ”   ! =   “ ”
漏 洞 （ R C E ） 。 验 证 过 程 验 证 过 程 验 证 过 程 （ P O C ） 执 行 环 境 为 K i n d l e   固 件 版 本   5 . 1 3 . 2 ： 1 、 攻 击 者 以 前 述 提 到 的 邮 件 假 冒 方 式 ， 向 受 害 者 K i n d l e 邮 箱 发 送 一 份 恶 意 电 子 书 文 档 ； 2 、 受 害 者 打 开 K i n d l e 邮 箱 并 查 看 了 其 中 发 来 的 恶 意 电 子 书 文 档 ， 若 不 小 心 点 击 了 其 中 的 一 个 目 录 链 接 ； 3 、 目 录 链 接 即 会 调 用 W E B 浏 览 器 打 开 一 个 包 含 恶 意 J P E G   X R 图 片 的 H T M L 页 面 ； 4 、 在 J P E G   X R 图 片 解 析 过 程 中 ， 其 中 的 恶 意 代 码 就 会 在 K i n d l e 系 统 中 以 r o o t 权 限 执 行 ， 漏 洞 P a y l o a d 会 更 换 启 动 背 景 内 容 执 行 设 备 重 启 ； 5 、 之 后 ， 攻 击 者 即 能 从 受 害 者 K i n d l e 设 备 中 获 取 到 一 些 个 人 隐 私 信 息 和 凭 据 ， 并 成 功 登 录 到 受 害 者 亚 马 逊 账 户 。 P O C 视 频 ： 点 击 文 末 阅 读 原 文 查 看 漏 洞 修 复 漏 洞 修 复 在 电 子 书 恶 意 注 入 漏 洞 中 ， 亚 马 逊 通 过 执 行 了 邮 件 身 份 验 证 进 行 了 修 复 ： J P E G   X R 图 片 缓 冲 区 溢 出 漏 洞 中 ， 亚 马 逊 加 入 了 一 个 不 超 过 M A X _ C H A N N E L S 的 校 验 检 查 ， 实 现 了 漏 洞 修 复 ； 在 提 权 漏 洞 中 ， 亚 马 逊 在 d u m p s t a c k d 进 程 中 做 了 如 下 修 改 ： 其 中 加 入 了 只 包 含 数 字 的 特 殊 检 查 函 数 ， 替 换 了 原 先 了 a t o i 调 用 。 在 / u s r / b i n / d u m p - s t a c k 中 ， 其 正 则 表 达 式 校 验 也 更 加 强 健 安 全 ： <   P R O C E S S _ P I D = $ 1 <   P R O C E S S = $ 2 <   C U R R E N T _ T I D = $ 3 - - - >   P R O C E S S _ P I D = $ ( e c h o   $ 1   |   h e a d   - n   1   |   g r e p   ' ^ [ [ : d i g i t : ] ] * $ ' ) >   P R O C E S S = $ ( e c h o   $ 2   |   h e a d   - n   1   |   g r e p   ' ^ [ [ : a l n u m : ] _ ] * $ ' ) >   C U R R E N T _ T I D = $ ( e c h o   $ 3   |   h e a d   - n   1   |   g r e p   ' ^ [ [ : d i g i t : ] ] * $ ' )
漏 洞 上 报 和 处 理 进 程 漏 洞 上 报 和 处 理 进 程 2 0 2 0 . 1 0 . 1 7       通 过 亚 马 逊 漏 洞 项 目 上 报 漏 洞 2 0 2 0 . 1 0 . 1 9       亚 马 逊 承 认 漏 洞 有 效 2 0 2 0 . 1 1 . 0 4       亚 马 逊 奖 励 1 2 K $ 2 0 2 0 . 1 1 . 1 1       亚 马 逊 再 次 给 出 额 外 的 6 K $ 2 0 2 0 . 1 2 . 1 0       亚 马 逊 发 布 5 . 1 3 . 4 版 本 固 件 修 复 J P E G   X R 溢 出 和 提 权 漏 洞 2 0 2 0 . 1 2 . 2 9       验 证 漏 洞 修 复 2 0 2 1 . 1 . 1 9           漏 洞 公 开 参 考 来 源 ： 参 考 来 源 ： m e d i u m 精 彩 推 荐 精 彩 推 荐 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理