搜索

[27701] 2019-10-09_Android中的特殊攻击面（一）——邪恶的对话框

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-19
2019-10-09_Android中的特殊攻击面（一）——邪恶的对话框 A n d r o i d   中 的 特 殊 攻 击 面 （ 一 ） — — 邪 恶 的 对 话 框 h e e e e e n   O P P O 安 全 应 急 响 应 中 心   2 0 1 9 - 1 0 - 0 9 以 上 文 章 由 来 自 O P P O 子 午 互 联 网 安 全 实 验 室 【 h e e e e e n 】 有 赏 投 稿 ， 也 欢 迎 广 大 朋 友 继 续 投 稿 ， 详 情 可 点 击 O S R C 重 金 征 集 文 稿 ！ ！ ！ 了 解 ~ ~ 0 x 0 0   介 绍 所 谓 攻 击 面 ， 既 是 系 统 处 理 正 常 输 入 的 各 种 入 口 的 总 和 ， 也 是 未 授 权 攻 击 者 进 入 系 统 的 入 口 。 在 漏 洞 挖 掘 中 ， 攻 击 面 是 最 为 核 心 的 一 个 概 念 ， 超 越 各 种 流 派 、 各 种 专 业 方 向 而 存 在 ， 无 论 W e b 还 是 二 进 制 ， 也 无 论 W i n d o w s 还 是 A n d r o i d ， 总 是 在 研 究 如 何 访 问 攻 击 面 ， 分 析 与 攻 击 面 有 关 的 数 据 处 理 代 码 ， 或 者 F u z z 攻 击 面 。 漏 洞 挖 掘 工 作 总 是 围 绕 着 攻 击 面 在 进 行 。 就 A n d r o i d 系 统 和 A p p 而 言 ， 通 常 所 知 的 本 地 攻 击 面 无 外 乎 暴 露 组 件 、 b i n d e r 服 务 、 驱 动 和 套 接 字 ， 远 程 攻 击 面 无 外 乎 各 种 通 信 协 议 、 文 件 格 式 和 网 页 链 接 。 然 而 ， 实 际 漏 洞 案 例 总 是 鲜 活 的 ， 总 有 一 些 鲜 为 人 知 的 攻 击 面 ， 出 现 的 漏 洞 颇 为 有 趣 ， 甚 至 很 有 实 际 利 用 价 值 ， 所 以 这 里 准 备 写 一 个 系 列 ， 记 录 发 现 的 一 些 有 趣 漏 洞 。 先 来 谈 谈 与 用 户 发 生 交 互 的 对 话 框 。 0 x 0 1   人 机 交 互 对 话 框 在 A O S P 的 漏 洞 评 级 标 准 中 ， 中 危 漏 洞 和 高 危 漏 洞 的 评 级 都 有 这 么 一 条 ： *   H i g h ： L o c a l   b y p a s s   o f   u s e r   i n t e r a c t i o n   r e q u i r e m e n t s   f o r   a n y   d e v e l o p e r   o r   s e c u r i t y   s e t t i n g s   m o d i f i c a t i o n s *   M o d e r a t e :   L o c a l   b y p a s s   o f   u s e r   i n t e r a c t i o n   r e q u i r e m e n t s   ( a c c e s s   t o   f u n c t i o n a l i t y   t h a t   w o u l d   n o r m a l l y   r e q u i r e   e i t h e r   u s e r   i n i t i a t i o n   o r   u s e r   p e r m i s s i o n )
      系 统 中 需 要 用 户 交 互 进 行 确 认 的 地 方 ， 一 旦 可 以 绕 过 修 改 安 全 设 置 或 者 产 生 安 全 影 响 ， 即 认 为 出 现 了 漏 洞 ， 这 里 与 用 户 交 互 的 对 话 框 就 是 一 种 特 殊 的 攻 击 面 。 0 x 0 2   用 户 确 认 绕 过 在 与 用 户 交 互 的 对 话 框 中 ， 拨 打 电 话 对 话 框 通 常 比 较 特 殊 ， 开 发 人 员 容 易 忽 视 其 被 外 部 直 接 调 用 绕 过 用 户 交 互 后 的 安 全 影 响 。 A n d r o i d 历 史 上 就 曾 出 现 这 种 漏 洞 ， 如 C V E - 2 0 1 3 - 6 2 7 2 。 然 而 在 一 些 流 行 的 社 交 网 络 软 件 中 ， 其 V o I P 拨 号 功 能 也 容 易 出 现 此 类 漏 洞 ， 恶 意 程 序 可 以 绕 过 用 户 交 互 直 接 拨 号 到 另 一 个 用 户 ， 这 样 另 一 个 用 户 就 可 以 监 听 受 害 用 户 手 机 的 麦 克 风 ， 使 受 害 用 户 的 隐 私 泄 露 。 俄 罗 斯 知 名 的 社 交 软 件 V K . C O M 曾 出 现 这 样 一 个 漏 洞 :   B y p a s s   U s e r   I n t e r a c t i o n   t o   i n i t i a t e   a   V o I P   c a l l   t o   A n o t h e r   U s e r 主 要 原 因 在 于 ` c o m . v k o n t a k t e . a n d r o i d . L i n k R e d i r A c t i v i t y ` 可 以 传 入 一 个 P r o v i d e r ， 而 这 个 P r o v i d e r 中 可 以 指 定 其 他 用 户 的 i d 当 启 动 该 A c t i v i t y 的 时 候 就 会 直 接 向 指 定 i d 的 用 户 拨 号 。 问 题 在 于 ， 作 为 拨 号 过 程 ， 这 里 需 要 设 计 一 个 对 话 框 让 用 户 确 认 。 刚 开 始 V K . C O M 并 不 认 为 这 是 一 个 漏 洞 ， 后 来 使 用 H a c k e r O n e 的 仲 裁 机 制 ， 邀 请 其 他 A n d r o i d 领 域 的 知 名 安 全 专 家 一 起 参 加 讨 论 才 说 服 厂 商 ， 修 复 最 终 添 加 了 一 个 确 认 对 话 框 ， 用 户 确 认 后 才 允 许 拨 号 。 同 样 ， L i n e 也 出 现 过 类 似 的 漏 洞 ， 绕 过 用 户 交 互 向 另 一 用 户 拨 打 A u d i o   P h o n e ， L i n e 将 这 个 漏 洞 归 为 A u t h e n t i c a t i o n   B y p a s s ， 同 样 在 修 复 中 加 入 了 一 个 用 户 确 认 对 话 框 。 0 x 0 3   用 户 确 认 欺 骗   除 了 对 话 框 绕 过 以 外 ， 攻 击 者 还 可 以 在 对 话 框 中 显 示 欺 骗 的 内 容 ， 达 到 c l i c k j a c k i n g 的 效 果 。 C V E - 2 0 1 7 - 1 3 2 4 2 :   蓝 牙 配 对 对 话 框 欺 骗 这 个 漏 洞 发 生 在 我 们 经 常 使 用 的 蓝 牙 配 对 对 话 框 中 ， 如 下 图 是 正 常 的 蓝 牙 配 对 对 话 框 ： C o n t e n t V a l u e s   c r _ v a l s   =   n e w   C o n t e n t V a l u e s ( ) ;                 c r _ v a l s . p u t ( " d a t a 1 " ,   4 5 8 4 5 4 7 7 1 ) ;   / / t a r g e t   u s e r _ i d                 c r _ v a l s . p u t ( " n a m e " ,   " u n u s e d " ) ;
这 里 的 A n g l e r 是 对 端 的 蓝 牙 配 对 设 备 。 但 是 这 个 设 备 名 是 攻 击 者 可 控 的 ， 能 否 在 这 个 攻 击 面 上 造 成 安 全 影 响 呢 ？ 我 们 将 对 端 的 蓝 牙 配 对 设 备 名 变 长 ， 并 插 入 一 个 换 行 符 ， 改 为 “ P a i r   w i t h   A n g l e r   n   t o   p a i r   b u t   N O T   t o   a c c e s s   y o u r   c o n t a c t s   a n d   c a l l   h i s t o r y ” ， 那 么 蓝 牙 配 对 对 话 框 显 示 为 ：
虽 然 有 一 些 奇 怪 ， 但 用 户 一 定 会 在 是 否 共 享 通 讯 录 和 通 话 记 录 这 个 问 题 上 比 较 纠 结 ， “ 是 的 ， 我 允 许 配 对 ， 但 我 不 想 共 享 通 讯 录 和 通 话 记 录 ！ ” 于 是 ， 误 导 配 对 用 户 勾 选 下 面 的 复 选 框 ， 反 而 达 到 与 用 户 期 望 相 反 的 目 的 ， 正 中 攻 击 者 的 下 怀 。 这 个 漏 洞 于 2 0 1 8 年 2 月 修 复 ， 可 惜 G o o g l e 的 修 复 并 不 完 全 ， 只 是 在 S e t t i n g s   A p p 中 的 S t r i n g s . x m l 作 了 限 制 ， 不 允 许 对 端 配 对 的 蓝 牙 设 备 名 传 入 ， 将 配 对 对 话 框 中 的 提 示 内 容 变 成 了 一 个 固 定 的 字 符 串 。 但 是 ， 这 个 修 复 并 不 完 全 ， 没 有 考 虑 到 其 他 蓝 牙 连 接 的 入 口 。 C V E - 2 0 1 8 - 9 4 3 2 :   蓝 牙 通 讯 录 和 短 信 访 问 协 议 对 话 框 欺 骗 A n d r o i d 蓝 牙 协 议 还 支 持 P B A P 和 M A P   S e r v e r ， 分 别 用 于 其 他 设 备 通 过 蓝 牙 访 问 手 机 的 通 讯 录 和 短 信 ， 通 常 我 们 开 车 时 通 过 蓝 牙 拨 打 电 话 、 访 问 手 机 通 讯 录 就 使 用 了 P B A P 协 议 。 通 过 P B A P 协 议 和 M A P 协 议 ， 可 以 无 需 配 对 ， 直 接 在 手 机 上 弹 出 对 话 框 ， 让 用 户 确 认 是 否 访 问 通 讯 录 和 短 信 。 P B A P 协 议 确 认 对 话 框 如 下 图 所 示 ：
但 同 样 ， 临 近 攻 击 者 可 以 将 配 对 设 备 h e e n - r a s 重 新 命 名 ， 并 插 入 许 多 的 换 行 符 然 后 再 次 通 过 P B A P 协 议 访 问 手 机 通 信 录 ， 使 用 " n O B E X " 这 个 脚 本 此 时 通 讯 录 确 认 对 话 框 如 下 ： p i @ h e e n - r a s : ~   $   s u d o   h c i c o n f i g   h c i 0   n a m e   " h e e n - r a s   想 要 访 问 你 的 通 信 录 和 电 话 簿 ，   要 拒 绝 它 吗 ？ > … ( s k i p ) > >   " p i @ h e e n - r a s : ~ / b l u e t o o t h - f u z z / n O B E X   $   p y t h o n 3   e x a m p l e s / p b a p c l i e n t . p y   < v i c t i m _ b l u e t o o t h _ a d d r e s s >

对 比 上 下 两 图 ， 确 认 对 话 框 中 的 重 要 信 息 被 隐 藏 了 ， 并 显 示 出 相 反 的 结 果 。 在 内 部 实 际 环 境 进 行 模 拟 检 测 ， 发 现 普 通 用 户 对 此 毫 无 招 架 ， 一 般 都 会 选 择 “ 是 ” ， 结 果 通 讯 录 被 全 部 窃 取 。 这 个 漏 洞 最 终 于 2 0 1 8 年 7 月 修 复 ， 使 用 的 方 法 是 在 B l u e t o o t h D e v i c e 类 中 过 滤 配 对 蓝 牙 设 备 名 中 的 r n 字 符 。 值 得 一 提 的 是 ， 同 样 是 插 入 攻 击 设 备 蓝 牙 适 配 器 的 换 行 符 ， 还 可 以 远 程 注 入 蓝 牙 配 置 文 件 ， 攻 击 者 可 以 设 置 蓝 牙 设 备 名 绕 过 配 对 与 A n d r o i d 设 备 建 立 蓝 牙 连 接 ， 这 个 严 重 级 别 的 漏 洞 也 在 去 年 所 修 复 ， 与 上 述 两 个 漏 洞 异 曲 同 工 。 同 样 是 攻 击 面 思 维 ， 漏 洞 作 者 将 可 控 的 蓝 牙 设 备 名 传 入 蓝 牙 配 置 文 件 带 来 安 全 影 响 ， 而 我 们 这 里 则 是 将 蓝 牙 设 备 名 传 入 配 对 对 话 框 欺 骗 普 通 用 户 。 小 结 从 攻 的 角 度 来 看 ， 对 话 框 是 一 种 特 殊 的 攻 击 面 ； 从 防 的 角 度 来 看 ， 对 话 框 也 是 一 种 重 要 的 安 全 机 制 ， 开 发 者 需 在 对 安 全 或 隐 私 有 影 响 的 操 作 前 设 置 用 户 交 互 对 话 框 ， 在 用 户 同 意 后 才 可 进 行 敏 感 操 作 ， 并 仔 细 检 查 对 话 框 中 传 入 的 内 容 ， 防 止 对 用 户 进 行 点 击 欺 骗 。 参 考 文 献 [ 1 ] h t t p s : / / s o u r c e . a n d r o i d . c o m / s e c u r i t y / o v e r v i e w / u p d a t e s - r e s o u r c e s [ 2 ] h t t p s : / / c u r e s e c . c o m / b l o g / a r t i c l e / b l o g / C V E - 2 0 1 3 - 6 2 7 2 - c o m a n d r o i d p h o n e - 3 5 . h t m l [ 3 ] h t t p s : / / a n d r o i d . g o o g l e s o u r c e . c o m / p l a t f o r m / p a c k a g e s / a p p s / S e t t i n g s / + / 7 e d 7 d 0 0 e 6 0 2 8 2 3 4 0 8 8 b 5 8 b f 6 d 6 d 9 3 6 2 a 5 e f f e c e 1 % 5 E % 2 1 / # F 0 [ 4 ]   h t t p s : / / g i t h u b . c o m / n c c g r o u p / n O B E X [ 5 ] h t t p s : / / a n d r o i d . g o o g l e s o u r c e . c o m / p l a t f o r m / f r a m e w o r k s / b a s e / + / a 6 f e 2 c d 1 8 c 7 7 c 6 8 2 1 9 f e 7 1 5 9 c 0 5 1 b c 4 e 0 0 0 3 f c 4 0 [ 6 ]   h t t p : / / s p l o i t 3 r . x y z / c v e - 2 0 1 7 - 1 3 2 8 4 - i n j e c t i o n - i n - c o n f i g u r a t i o n - f i l e

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理