搜索

[6637] 2020-04-13_BlueBorne之CVE-2017-0785原理分析

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-17
2020-04-13_BlueBorne之CVE-2017-0785原理分析 B l u e B o r n e   之   C V E - 2 0 1 7 - 0 7 8 5   原 理 分 析 E 安 全   2 0 2 0 - 0 4 - 1 3 以 下 文 章 来 源 于 安 恒 信 息 安 全 研 究 院   ， 作 者 海 特 实 验 室 S o u r c e l l @ 海 特 实 验 室 C V E - 2 0 1 7 - 0 7 8 5   属 于   B l u e B o r n e   漏 洞 集 。 导 致 该 漏 洞 的 原 因 是   A n d r o i d   B l u e D r o i d   和   F l u o r i d e   蓝 牙 协 议 栈 实 现 的   S D P   s e r v e r   没 有 正 确 处 理 c o n t i n u a t i o n   s t a t e 。 攻 击 者 可 以 利 用 它 泄 露   A n d r o i d   栈 上 的 内 存 信 息 ， 然 后 绕 过   A S L R 。 本 文 将 基 于 标 签 为   a n d r o i d - 8 . 0 . 0 _ r 1   的   A O S P   F l u o r i d e   蓝 牙 协 议 栈 分 析 该 漏 洞 。 背 景 知 识 背 景 知 识 S D P   简 介 简 介 S D P   ( S e r v i c e   D i s c o v e r y   P r o t o c o l )   是 经 典 蓝 牙 中 的 高 层 协 议 ， 使 用   C / S   架 构 。 它 定 义 了   c l i e n t   如 何 发 现   s e r v e r   提 供 的 服 务 ： 上 图 中 的 关 键 点 是 ， c l i e n t   必 须 等 待   s e r v e r   响 应 当 前 的   r e q u e s t   P D U   后 ， 才 能 发 送 下 一 个   r e q u e s t   P D U 。 R e q u e s t   P D U   会 携 带 限 制   r e s p o n s e P D U   返 回 数 据 大 小 的 字 段 ， 比 如 ： 安 恒 信 息 安 全 研 究 院 安 恒 信 息 安 全 研 究 院   . 一 群 技 术 宅 M a x i m u m A t t r i b u t e B y t e C o u n t B l u e t o o t h   S D P   P r o t o c o l         P D U :   S e r v i c e   S e a r c h   A t t r i b u t e   R e q u e s t   ( 0 x 0 6 )
R e s p o n s e   P D U   也 会 携 带 相 应 的 字 段 表 示 自 己 返 回 数 据 的 长 度 ， 比 如 ： C o n t i n u a t i o n   S t a t e   简 介 简 介 上 一 节 提 到 的 不 能 比 大 。 一 旦   s e r v e r   发 现   c l i e n t   请 求 的 数 据 在 一 个   r e s p o n s e   P D U   中 放 不 下 ， 就 会 把 数 据 分 段 ， 并 使 用   S D P   定 义 的   c o n t i n u a t i o n   s t a t e   完 成 所 有 分 段 的 传 输 。 每 个 数 据 段 的 大 小 不 一 定 把 用 完 ， s e r v e r   可 自 行 决 定 分 段 大 小 。 比 如 在 上 面 的   r e s p o n s e   P D U   中 分 段 大 小 为   6 6 2   字 节 ， 远 小 于 定 义 的 最 大 值   6 5 5 3 5 。 传 输 分 段 数 据 的   r e s p o n s e   P D U   必 须 携 带 字 段 。 该 字 段 由 两 部 分 组 成 。 其 中 表 示   c o n t i n u a t i o n   i n f o r m a t i o n   的 长 度 ， 且 最 大 值 为   0 x 1 0 ： T r a n s a c t i o n   I d :   0 x 0 0 0 0 P a r a m e t e r   L e n g t h :   1 5 S e r v i c e   S e a r c h   P a t t e r n :   P u b l i c   B r o w s e   G r o u p M a x i m u m   A t t r i b u t e   B y t e   C o u n t :   6 5 5 3 5 A t t r i b u t e   I D   L i s t C o n t i n u a t i o n   S t a t e :   n o   ( 0 0 ) A t t r i b u t e L i s t s B y t e C o u n t B l u e t o o t h   S D P   P r o t o c o l         P D U :   S e r v i c e   S e a r c h   A t t r i b u t e   R e s p o n s e   ( 0 x 0 7 ) T r a n s a c t i o n   I d :   0 x 0 0 0 0 P a r a m e t e r   L e n g t h :   6 6 7 A t t r i b u t e   L i s t   B y t e   C o u n t :   6 6 2 D a t a   F r a g m e n t C o n t i n u a t i o n   S t a t e :   y e s   ( 0 2   9 6 ) C o n t i n u a t i o n   S t a t e   L e n g t h :   2 C o n t i n u a t i o n   S t a t e   V a l u e A t t r i b u t e L i s t s B y t e C o u n t M a x i m u m A t t r i b u t e B y t e C o u n t M a x i m u m A t t r i b u t e B y t e C o u n t M a x i m u m A t t r i b u t e B y t e C o u n t C o n t i n u a t i o n S t a t e I n f o L e n g t h + - - - - - - - - - - - - + - - - - - - - - - - - - - - - - - - - - - - - - - - + |   I n f o L e n g t h   |   C o n t i n u a t i o n   I n f o r m a t i o n   | + - - - - - - - - - - - - + - - - - - - - - - - - - - - - - - - - - - - - - - - +
C o n t i n u a t i o n   i n f o r m a t i o n   则 是 一 个 很 神 奇 的 字 段 ， 因 为 蓝 牙 核 心 规 范 并 没 有 为 它 定 义 具 体 的 含 义 ， 只 要 求 该 字 段 能 解 决 分 段 传 输 的 问 题 即 可 。 具 体 的 情 形 是 ， c l i e n t   收 到 携 带 分 段 数 据 的   r e s p o n s e   P D U   后 ， 会 把 其 中 的 拿 出 来 ， 放 到 下 一 个   r e q u e s t   P D U   中 发 回 给   s e r v e r 。 然 后   s e r v e r   根 据 收 到 的 确 定 下 一 个 应 传 输 的 数 据 分 段 （ 这 与   c o o k i e   有 异 曲 同 工 之 妙 ） ， 如 此 往 复 直 到 所 有 分 段 都 传 输 完 毕 （ 传 输 最 后 一 个 分 段 的   r e s p o n s e   P D U   不 使 能   c o n t i n u a t i o n   s t a t e ） 。 L 2 C A P   导 致 的 数 据 分 段 导 致 的 数 据 分 段 在 大 多 数 实 际 场 景 中 ， 并 不 是 上 一 节 阐 述 的 原 因 导 致 了 数 据 分 段 。 比 如 当   S D P   s e r v e r   返 回 的 数 据 总 和   ( 1 3 4 3   b y t e s )   远 小 于 设 置 的   6 5 5 3 5   时 ， 也 会 有 数 据 分 段 ： 这 是 因 为   L 2 C A P   ( L o g i c a l   L i n k   C o n t r o l   a n d   A d a p t a t i o n   P r o t o c o l )   的 限 制 。 L 2 C A P   承 载 了   S D P   P D U   的 传 输 ， 在   L 2 C A P   连 接 建 立 后 ， 两 端 的 设 备 会 交 换 各 自 接 收 数 据 时 支 持 的   M T U   ( M a x i m u m   T r a n s m i s s i o n   U n i t ) ： + - - - - - - - - - - - - + - - - - - - - - - - - - - - - - - - - - - - - - - - + C o n t i n u a t i o n S t a t e C o n t i n u a t i o n S t a t e M a x i m u m A t t r i b u t e B y t e C o u n t D e v i c e   A   - >   D e v i c e   B B l u e t o o t h   L 2 C A P   P r o t o c o l L e n g t h :   1 2         C I D :   L 2 C A P   S i g n a l i n g   C h a n n e l   ( 0 x 0 0 0 1 ) C o m m a n d :   C o n f i g u r e   R e q u e s t C o m m a n d   C o d e :   C o n f i g u r e   R e q u e s t   ( 0 x 0 4 ) C o m m a n d   I d e n t i f i e r :   0 x 0 4 C o m m a n d   L e n g t h :   8 D e s t i n a t i o n   C I D :   D y n a m i c a l l y   A l l o c a t e d   C h a n n e l   ( 0 x 0 0 4 0 ) 0 0 0 0   0 0 0 0   0 0 0 0   0 0 0 .   =   R e s e r v e d :   0 x 0 0 0 0 . . . .   . . . .   . . . .   . . . 0   =   C o n t i n u a t i o n   F l a g :   F a l s e O p t i o n :   M T U T y p e :   M a x i m u m   T r a n s m i s s i o n   U n i t   ( 0 x 0 1 )
当   S D P   s e r v e r   发 现 填 入   S D P   r e s p o n s e   P D U   的 数 据 长 度 超 过 远 端 设 备   L 2 C A P   设 置 的   M T U   时 ， 就 会 使 能   c o n t i n u a t i o n   s t a t e   把 数 据 分 段 传 输 。 A n d r o i d 定 义 的 定 义 的 C o n t i n u a t i o n   I n f o r m a t i o n 前 面 说 明 了 蓝 牙 核 心 规 范 并 没 有 定 义   c o n t i n u a t i o n   i n f o r m a t i o n   的 具 体 含 义 是 什 么 ， 于 是   A n d r o i d   对 该 字 段 的 定 义 如 下 ： p l a t f o r m / s y s t e m / b t / s t a c k / s d p / s d p i n t . h # 2 0 0 的 具 体 含 义 有 两 种 ： 当 使 用 P D U   时 ， 表 示 下 一 个 分 段 中 起 始 数 据 项 相 对 不 分 段 完 整 数 据 项 的 偏 移 。 L e n g t h :   2 M T U :   1 0 2 4 D e v i c e   B   - >   D e v i c e   A B l u e t o o t h   L 2 C A P   P r o t o c o l L e n g t h :   1 4         C I D :   L 2 C A P   S i g n a l i n g   C h a n n e l   ( 0 x 0 0 0 1 ) C o m m a n d :   C o n f i g u r e   R e s p o n s e C o m m a n d   C o d e :   C o n f i g u r e   R e s p o n s e   ( 0 x 0 5 ) C o m m a n d   I d e n t i f i e r :   0 x 0 4 C o m m a n d   L e n g t h :   1 0 S o u r c e   C I D :   D y n a m i c a l l y   A l l o c a t e d   C h a n n e l   ( 0 x 0 0 4 0 ) 0 0 0 0   0 0 0 0   0 0 0 0   0 0 0 .   =   R e s e r v e d :   0 x 0 0 0 0 . . . .   . . . .   . . . .   . . . 0   =   C o n t i n u a t i o n   F l a g :   F a l s e R e s u l t :   S u c c e s s   ( 0 x 0 0 0 0 ) O p t i o n :   M T U T y p e :   M a x i m u m   T r a n s m i s s i o n   U n i t   ( 0 x 0 1 ) L e n g t h :   2 M T U :   1 0 2 4 c o n t _ o f f s e t S D P _ S E R V I C E _ S E A R C H _ R E Q / R S P c o n t _ o f f s e t
这 里 的 数 据 项 具 体 指 的 是   s e r v i c e   r e c o r d   h a n d l e 。 比 如   s e r v e r   总 共 要 返 回   1 0 0   个   s e r v i c e   r e c o r d   h a n d l e ， 第 一 次 返 回 了   1 0   个 ， 那 么 就 为   1 0 。 也 可 以 把 这 个 偏 移 理 解 为 当 前 已 经 传 输 的 数 据 项 总 和 或 是 后 续 传 输 的 第 一 个 数 据 项 在 完 整 数 据 项 中 的 索 引 。 当 使 用 或 时 ， 表 示 下 一 个 分 段 的 数 据 相 对 不 分 段 完 整 数 据 的 偏 移 。 这 和 上 面 一 种 情 况 类 似 ， 只 不 过   o f f s e t   的 单 位 由 一 条 数 据 项 变 为 了 字 节 。 当 然 也 可 以 理 解 为 已 经 传 输 的 分 段 数 据 大 小 总 和 。 比 如 下 面 传 输 第 一 个 分 段 数 据 的   r e s p o n s e   P D U ， 其 中 为 ， 即   6 6 2 ， 正 好 等 于 中 的   6 6 2 。 c o n t _ o f f s e t S D P _ S E R V I C E _ A T T R _ R E Q / R S P S D P _ S E R V I C E _ S E A R C H _ A T T R _ R E Q / R S P c o n t _ o f f s e t c o n t _ o f f s e t 0 2   9 6 A t t r i b u t e L i s t s B y t e C o u n t
C l i e n t   只 要 在 后 续 的   r e q u e s t   P D U   中 回 传 ， s e r v e r   就 能 找 到 对 应   r e s p o n s e   P D U   应 携 带 分 段 数 据 的 起 始 位 置 ， 从 而 继 续 传 输 分 段 数 据 。 这 满 足 了 蓝 牙 核 心 规 范 解 决 分 段 传 输 问 题 的 要 求 。 漏 洞 分 析 漏 洞 分 析 A n d r o i d   实 现 的   S D P   s e r v e r   在 处 理   r e q u e s t   P D U   时 会 进 入 ： p l a t f o r m / s y s t e m / b t / s t a c k / s d p / s d p _ s e r v e r . c c # 1 1 6 c o n t _ o f f s e t s d p _ s e r v e r _ h a n d l e _ c l i e n t _ r e q ( )
该 函 数 会 根 据   P D U   I D   判 断 当 前   r e q u e s t   P D U   的 类 型 。 当   r e q u e s t   P D U   为 P D U   时 ， 进 入 做 进 一 步 处 理 ： p l a t f o r m / s y s t e m / b t / s t a c k / s d p / s d p _ s e r v e r . c c # 1 4 1 S D P _ S E R V I C E _ S E A R C H _ R E Q p r o c e s s _ s e r v i c e _ s e a r c h ( )
处 理 函 数 会 依 次 提 取 P D U   携 带 的 三 个 参 数 ： 1 、 提 取 至 p l a t f o r m / s y s t e m / b t / s t a c k / s d p / s d p _ s e r v e r . c c # 1 8 3 2 、 提 取 至 p l a t f o r m / s y s t e m / b t / s t a c k / s d p / s d p _ s e r v e r . c c # 1 9 2 S D P _ S E R V I C E _ S E A R C H _ R E Q S e r v i c e S e a r c h P a t t e r n u i d _ s e q M a x i m u m S e r v i c e R e c o r d C o u n t m a x _ r e p l i e s
3 、 提 取 至 p l a t f o r m / s y s t e m / b t / s t a c k / s d p / s d p _ s e r v e r . c c # 2 1 9 若 当 前 处 理 的   r e q u e s t   P D U   使 能 了   c o n t i n u a t i o n   s t a t e ， S D P   s e r v e r   就 会 提 取 其 中 的   c o n t i n u a t i o n   i n f o r m a t i o n   字 段 ， 并 存 入 。 紧 接 着   A n d r o i d   还 会 对 做 安 全 检 查 ， 比 较 它 与 先 前 传 给   S D P   c l i e n t   的 值 是 否 相 等 ， 防 止 攻 击 者 恶 意 设 置   o f f s e t   导 致 数 组 越 界 ： p l a t f o r m / s y s t e m / b t / s t a c k / s d p / s d p _ s e r v e r . c c # 2 2 1 在 得 到 与 后 ， S D P   s e r v e r   会 找 到 所 有 与 匹 配 的   s e r v i c e   r e c o r d   h a n d l e ， 并 把 它 们 存 储 在 C o n t i n u a t i o n S t a t e c o n t _ o f f s e t c o n t _ o f f s e t c o n t _ o f f s e t u i d _ s e q m a x _ r e p l i e s u i d _ s e q r s p _ h a n d l e s
数 组 中 。 这 些   h a n d l e   就 是   c l i e n t   请 求 的 数 据 。 则 用 于 限 制 这 些   h a n d l e   的 总 数 （ 漏 洞 点 漏 洞 点 ） ， 避 免 返 回 的   h a n d l e   数 量 超 过 的 限 制 ： p l a t f o r m / s y s t e m / b t / s t a c k / s d p / s d p _ s e r v e r . c c # 2 0 7 对 于 每 一 个 请 求 ， 都 会 被 重 新 计 算 一 次 。 这 种 做 法 对 不 使 用   c o n t i n u a t i o n   s t a t e   的 请 求 是 合 理 的 ， 因 为 若 和 不 同 ， 也 可 能 不 同 。 但 是 当 请 求 使 用   c o n t i n u a t i o n   s t a t e   时 ， 所 有 上 下 文 相 同 的 请 求 都 应 使 用 同 样 的 和 ， 那 么 不 会 改 变 ， 因 此 没 必 要 再 重 新 计 算 。 如 果 重 新 计 算 ， 就 应 检 查 每 次 计 算 得 到 的 是 否 相 同 。 若 不 相 同 ， 则 说 明 出 现 了 异 常 流 量 ， 需 要 报 错 处 理 。 但   A O S P   并 没 有 做 这 种 检 查 。 于 是 攻 击 者 可 以 利 用 m a x _ r e p l i e s n u m _ r s p _ h a n d l e s M a x i m u m S e r v i c e R e c o r d C o u n t n u m _ r s p _ h a n d l e s u i d _ s e q m a x _ r e p l i e s n u m _ r s p _ h a n d l e s u i d _ s e q m a x _ r e p l i e s n u m _ r s p _ h a n d l e s n u m _ r s p _ h a n d l e s m a x _ r e p l i e s
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理