搜索

[7991] 2014-04-27_从Android短信漏洞到手机钓鱼木马

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-17
2014-04-27_从Android短信漏洞到手机钓鱼木马 从 A n d r o i d 短 信 漏 洞 到 手 机 钓 鱼 木 马 三 只 小 潴   F r e e B u f   2 0 1 4 - 0 4 - 2 7 本 文 所 涉 及 的 技 术 和 代 码 仅 供 研 究 之 用 , 严 禁 将 之 用 于 非 法 用 途 , 如 有 违 反 , 所 引 发 的 一 切 后 果 与 本 人 无 关 ！ 认 识 刘 尼 玛 认 识 刘 尼 玛 　 　 在 一 个 阳 光 明 媚 的 早 晨 ， 小 职 员 刘 尼 玛 像 往 常 一 样 来 到 了 公 司 ， 从 表 面 上 看 ， 他 是 个 普 通 的 上 班 族 ， 每 天 照 常 挤 地 铁 ， 加 班 ， 但 实 际 上 ， 他 是 某 秘 密 组 织 派 到 公 司 卧 底 的 商 业 间 谍 ， 代 号 叉 叉 圈 圈 。 　 　 刘 尼 玛 不 是 高 富 帅 ， 相 反 是 典 型 的 屌 丝 ， 他 得 到 的 情 报 大 部 分 来 源 于 老 总 的 秘 书 兼 公 开 情 人 杨 尼 美 ， 挫 丑 穷 的 刘 尼 玛 之 所 以 能 吸 引 到 身 材 火 辣 的 杨 尼 美 ， 只 是 因 为 他 长 了 一 张 性 感 的 香 肠 嘴 ， 杨 尼 美 最 喜 欢 香 肠 嘴 的 男 人 ， 与 刘 尼 玛 有 着 同 样 特 征 的 还 有 老 总 ， 只 不 过 杨 尼 美 喜 欢 的 不 止 是 他 的 香 肠 嘴 ， 还 有 他 手 里 大 把 的 票 子 。 　 　 这 家 公 司 有 个 最 奇 怪 的 现 象 ， 普 通 职 员 刘 尼 玛 和 老 总 的 秘 书 杨 尼 美 当 众 调 情 ， 老 总 本 人 却 毫 不 介 意 ， 甚 至 装 作 什 么 也 不 知 道 ， 这 一 点 刘 尼 玛 自 己 也 相 当 诧 异 。 　 　 “ 或 许 老 总 只 是 把 杨 尼 美 当 作 玩 物 吧 ， 对 她 并 不 是 真 的 上 心 . ”   刘 尼 玛 一 边 想 ， 一 边 把 一 本 名 叫 《 三 只 小 猪 的 故 事 》 的 儿 童 读 物 装 进 纸 袋 子 ， 交 给 快 递 员 。 ” 这 是 我 给 小 侄 女 买 的 。 ”   刘 尼 玛 告 诉 同 事 。 其 实 这 不 是 一 本 普 通 的 书 ， 书 的 某 一 页 上 有 他 传 递 给 组 织 的 最 新 信 息 。 0 × 0 0   一 个 安 卓 漏 洞 的 原 理 一 个 安 卓 漏 洞 的 原 理 　 　 刘 尼 玛 传 来 的 信 息 说 , 他 注 意 到 老 总 经 常 在 一 个 在 线 交 易 平 台 上 进 行 操 作 , 他 需 要 一 个 短 信 木 马 来 伪 造 该 交 易 平 台 发 送 的 短 信 , 诱 使 老 总 访 问 钓 鱼 页 面 来 获 得 账 号 和 密 码 , 现 在 我 是 刘 尼 玛 的 ” Q 博 士 ” , 我 来 帮 他 造 这 个 木 马 : 　 　 我 这 里 有 一 个 2 0 1 2 年 底 发 布 的 高 危 短 信 漏 洞 , 虽 然 是 老 洞 , 但 并 不 代 表 没 有 利 用 价 值 , 因 为 移 动 平 台 的 漏 洞 生 命 力 是 相 当 强 的 , 原 因 是 没 有 P C 上 那 么 完 善 的 漏 洞 修 补 体 系 , 安 卓 系 统 漏 洞 需 要 进 行 系 统 更 新 来 修 补 , 大 部 分 时 候 是 要 重 刷 固 件 的 , 这 一 点 普 通 用 户 根 本 办 不 到 , 大 部 分 山 寨 厂 家 甚 至 根 本 不 会 推 出 更 新 固 件 , 所 以 一 个 用 户 买 到 手 机 的 时 候 系 统 是 安 卓 2 . 3 , 五 年 以 后 他 可 能 还 在 用 这 个 版 本 . 　 　 该 漏 洞 影 响 a n d r o i d 4 . 2 以 下 所 有 版 本 , 在 安 卓 系 统 的 底 层 短 信 代 码 中 , 一 个 名 为 c o m . a n d r o i d . m m s . t r a n s a c t i o n . S m s R e c e i v e r S e r v i c e 的 服 务 的 a n d r o i d : e x p o r t 属 性 被 设 置 为 了 t r u e , 也 就 是 说 , 外 部 程 序 可 以 任 意 调 用 这 个 服 务 。 　 　 在 安 卓 系 统 接 收 到 p d u 短 信 代 码 之 后 , 会 通 过 名 为 a n d r o i d . p r o v i d e r . T e l e p h o n y . S M S _ R E C E I V E D 的 a c t i o n 调 用 此 服 务 , 先 将 p d u 短 信 解 码 , 然 后 将 之 显 示 在 手 机 屏 幕 上 , 恶 意 攻 击 者 可 以 在 自 己 的 程 序 中 通 过 一 个 同 名 的 a c t i o n , 不 经 过 任 何 短 信 接 收 程 序 , 直 接 伪 造 一 条 p d u 短 信 调 用 此 服 务 , 具 体 过 程 如 下 图 所 示 :
　 　 根 据 这 个 流 程 可 以 看 出 , 这 个 漏 洞 发 送 的 短 信 并 不 经 过 G S M 网 络 , 所 以 即 使 手 机 没 有 插 s i m 卡 , 也 照 样 可 以 收 到 短 信 , 这 让 大 部 分 的 短 信 防 火 墙 完 全 失 效 。 0 × 0 1   P D U 短 信 的 结 构 短 信 的 结 构 　 　 要 利 用 此 漏 洞 , 我 们 首 先 要 清 楚 手 机 短 信 的 结 构 , 短 信 在 手 机 操 作 系 统 中 并 不 是 以 我 们 平 常 见 到 的 文 本 格 式 传 送 的 , 而 是 有 特 定 的 编 码 格 式 , 其 中 最 为 广 泛 使 用 的 就 是 P D U , 短 信 被 编 码 成 P D U 串 , 然 后 转 换 成 b y t e 传 输 , 这 其 中 发 送 短 信 和 接 收 短 信 的 P D U 串 格 式 是 不 同 的 , 由 于 这 个 漏 洞 直 接 触 发 了 接 收 流 程 , 所 以 这 里 我 们 只 介 绍 接 收 格 式 , 发 送 格 式 请 自 行 g o o g l e . 　 　 接 收 短 信 的 P D U 结 构 如 下 : S C A P D U   T Y P E O A P I D D C S S C T S U D L U D 短 信 中 心 地 址 P D U 类 型 ( 可 选 ) 发 送 短 信 的 手 机 地 址 协 议 标 志 一 般 为 0 0 编 码 标 准 短 信 接 收 的 时 间 短 信 内 容 的 长 度 短 信 内 容 长 度 短 信 中 心 类 型 ( 可 选 ) 短 信 中 心 号 码 长 度 地 址 类 型 ( 可 选 ) 发 送 号 码 看 着 晕 了 吧 看 着 晕 了 吧 , 其 实 并 不 复 杂 其 实 并 不 复 杂 , 下 面 每 部 分 分 别 叙 述 ： 下 面 每 部 分 分 别 叙 述 ： 1   S C A 短 信 中 心 地 址 实 际 上 中 间 的 短 信 中 心 类 型 大 部 分 时 候 是 不 用 的 , 我 们 只 需 构 造 号 码 的 长 度 + 号 码 即 可 。 2   P D U   T Y P E 短 信 类 型 有 七 个 值 可 选 , 一 般 写 0 4 代 表 普 通 s m s 短 信 . 3   O A   手 机 地 址 格 式 同 S C A 。 4   P I D   协 议 标 志 所 有 运 营 商 都 支 持 0 0 这 个 值 , 所 以 直 接 输 入 。 5   D C S   编 码 标 准
一 般 常 用 的 是 两 种 , 输 入 0 0 代 表 7 b i t 编 码 , 只 能 传 输 英 文 , 输 入 0 8 代 表 U C S 2 编 码 , 可 以 传 输 中 文 , 但 最 多 只 能 传 送 7 0 个 字 , 这 就 是 为 什 么 我 们 在 发 送 长 短 信 时 常 常 被 分 割 成 几 段 的 原 因 , 这 里 我 们 理 所 当 然 要 输 入 0 8 . 6   S C T S   接 收 时 间 这 个 时 间 所 用 的 格 式 与 我 们 平 常 所 见 的 不 同 , 是 一 种 倒 过 来 的 格 式 , 结 构 如 下 : 年 + 月 + 日 + 时 + 分 + 秒 + o f f s e t 其 中 每 一 项 都 是 反 着 位 数 写 的 , 且 年 份 为 两 位 数 , 比 如 2 0 1 3 年 1 1 月 2 0 日 2 1 时 3 8 分 5 1 秒 , 按 这 个 格 式 写 就 是 ： 3 1 1 1 0 2 1 2 8 3 1 5 2 3 最 后 的 2 3 是 o f f s e t , 代 表 你 现 在 所 处 时 区 和 格 林 威 治 时 间 所 偏 移 的 值 , 查 阅 资 料 得 知 北 京 时 间 的 值 就 是 2 3 . 7 和 8 没 什 么 好 解 释 的 , 就 是 短 信 的 长 度 和 内 容 . 之 所 以 费 了 这 一 大 段 讲 述 P D U 的 结 构 ， 是 因 为 不 熟 悉 这 个 , 后 面 的 内 容 根 本 无 法 看 懂 。 休 息 一 下 休 息 一 下 , 刘 尼 玛 乱 入 刘 尼 玛 乱 入 这 个 漏 洞 在 安 卓 4 . 2 以 下 才 有 效 , 那 到 底 刘 尼 玛 老 总 的 手 机 是 不 是 在 这 个 范 围 内 ？ 列 位 看 官 放 心 , 这 个 刘 尼 玛 早 就 打 听 到 了 , 老 总 的 手 机 是 2 0 1 2 年 8 月 份 买 的 , 也 就 是 在 4 . 2 发 布 之 前 , 这 个 重 要 情 报 是 在 杨 尼 美 坐 在 刘 尼 玛 大 腿 上 调 情 的 时 候 , 刘 尼 玛 好 不 容 易 套 出 来 的 , 当 时 的 刘 尼 玛 早 已 经 ” 飞 龙 在 天 ” , 他 一 边 咽 着 口 水 一 边 拼 命 把 它 记 了 下 来 , 屌 丝 情 报 员 真 不 容 易 啊 。 0 × 0 2   漏 洞 触 发 的 代 码 实 现 漏 洞 触 发 的 代 码 实 现 　 　 光 把 短 信 编 码 成 P D U 串 是 不 够 的 , 短 信 的 号 码 和 内 容 实 际 上 是 以 二 进 制 的 B C D 码 格 式 传 输 的 , g o o g l e 已 经 提 供 了 十 进 制 数 转 B C D 码 的 函 数 n e t w o r k P o r t i o n T o C a l l e d P a r t y B C D , 我 们 可 以 直 接 把 号 码 转 换 成 B C D , 至 于 短 信 内 容 , 这 个 比 较 复 杂 , 直 接 从 网 上 扒 拉 了 一 个 现 成 的 字 符 串 转 B C D 函 数 s t r 2 B c d . 新 建 一 个 工 程 , 名 为 S M S A t t a c k , 将 主 要 攻 击 代 码 写 成 一 个 名 为 s m s s e r v i c e 的 服 务 , 该 服 务 在 A n d r o i d M a n i f e s y . x m l 中 注 册 名 称 为 S M S _ S E R V I C E . ( 代 码 太 长 ， 见 下 方 “ 阅 读 原 文 ” ) 在 手 机 上 调 试 , 程 序 启 动 后 , 收 到 1 0 条 冒 充 移 动 公 司 发 来 的 短 信 :
注 意 我 这 里 测 试 用 的 手 机 上 并 没 有 插 s i m 卡 , 但 仍 然 成 功 收 到 短 信 。 0 × 0 3   从 从 E x p l o i t 到 完 善 的 木 马 到 完 善 的 木 马 　 　 上 面 这 个 程 序 虽 然 实 现 了 伪 造 短 信 的 过 程 , 但 充 其 量 只 能 算 是 个 E x p l o i t , 要 把 它 改 造 成 一 个 可 用 的 钓 鱼 木 马 , 我 们 还 有 很 多 工 作 要 做 . 　 　 安 卓 平 台 的 木 马 程 序 和 P C 上 的 有 很 大 的 不 同 , 其 原 因 主 要 有 以 下 两 个 方 面 : 　 　 一 是 网 络 的 问 题 , 手 机 和 平 板 不 可 能 时 时 都 有 稳 定 的 网 络 连 接 , 会 经 常 在 不 同 的 w i f i 和 g s m 网 络 之 间 切 换 , 而 且 有 时 网 络 会 被 人 为 关 闭 , 所 以 安 卓 木 马 注 定 是 被 动 连 接 的 , 且 不 能 使 用 s o c k e t , 只 能 基 于 h t t p 协 议 来 反 向 连 接 . 　 　 二 是 流 量 的 问 题 , 安 卓 手 机 上 都 有 流 量 监 控 软 件 , 当 处 在 g s m 网 络 时 , 控 制 端 不 可 能 发 送 大 量 的 数 据 包 , 这 样 会 引 发 流 量 报 警 的 . 　 　 基 于 以 上 考 虑 , 我 们 需 要 设 计 一 个 流 程 来 打 造 我 们 的 木 马 ： 　 　 首 先 我 们 需 要 注 册 一 个 新 的 服 务 s m s d a e m o n , 在 A n d r o i d M a n i f e s t . x m l 中 的 注 册 名 称 为 S M S _ D A E M O N , 并 把 它 设 置 为 开 机 自 动 启 动 , 当 启 动 后 , 开 始 探 测 网 络 连 接 , 如 果 有 网 络 可 用 , 则 连 接 远 程 控 制 端 的 h t t p 服 务 器 , 获 取 控 制 指 令 , 触 发 S M S _ S E R V I C E 服 务 发 送 短 信 , 如 果 没 有 网 络 可 用 , 则 在 后 台 等 待 , 注 册 网 络 状 态 监 听 广 播 B o o t B r o a d c a s t R e c e i v e r , 当 网 络 可 用 时 再 连 接 服 务 器 。 　 　 以 上 方 法 有 个 问 题 , 每 当 网 络 状 态 改 变 一 次 , S M S _ D A E M O N 就 会 从 服 务 器 获 取 指 令 触 发 短 信 接 收 , 因 为 手 机 的 网 络 状 态 经 常 改 变 , 所 以 短 信 有 可 能 被 重 复 发 送 很 多 次 , 所 以 接 下 来 我 们 要 给 S M S _ S E R V I C E 注 册 一 个 A l a r m R e c e i v e r 广 播 , 在 服 务 器 上 加 入 时 间 控 制 指 令 , S M S _ S E R V I C E 接 到 S M S _ D A E M O N 发 来 的 控 制 指 令 , 会 一 直 等 待 , 直 到 到 达 指 令 中 指 定 的 触 发 时 间 才 发 送 短 信 , 具 体 流 程 如 下 图 所 示 :
　 　 然 后 是 流 量 的 问 题 , 一 般 来 说 , 手 机 客 户 端 从 h t t p 服 务 器 获 取 数 据 有 两 种 方 式 : x m l 和 j s o n ， 显 然 后 者 要 省 流 量 的 多 , 所 以 我 们 需 要 先 搭 建 一 个 w e b 服 务 器 , 然 后 在 上 面 构 建 一 个 j s o n 控 制 页 面 。 W e b 服 务 器 地 球 人 都 知 道 如 何 搭 建 , 我 在 这 里 不 再 详 述 , 只 构 造 j s o n 的 指 令 结 构 : n u m b e r :   s t r i n g   伪 造 的 短 信 发 件 人 号 码 m e s s a g e :   s t r i n g   短 信 内 容 . c o u n t :   i n t   短 信 的 发 送 次 数 . i s s e n d :   b o o l   是 否 发 送 短 信 . d a t e :   s t r i n g   短 信 的 触 发 时 间 一 条 完 整 的 控 制 指 令 应 该 是 下 面 的 样 子 : { " c o m m a n d " : { " n u m b e r " : " 1 0 0 8 6 " , " m e s s a g e " : " 移 动 不 是 垃 圾 " , " c o u n t " : 1 , " i s s e n d " : t r u e , " d a t e " : " 2 0 1 4 _ 0 1 _ 1 0 _ 0 0 _ 0 0 _ 0 0 " } } 我 们 还 要 在 S M S _ D A E M O N 中 编 写 代 码 , 让 它 在 获 取 指 令 后 将 其 存 入 S h a r e d P r e f e r e n c e s 中 , 调 用 S M S _ S E R V I C E 后 再 由 其 从 中 读 取 . 现 在 万 事 具 备 , 我 们 来 看 如 何 用 代 码 实 现 : 注 册 一 个 B o o t B r o a d c a s t R e c e i v e r , 将 S M S _ D A E M O N 设 为 开 机 启 动 。 再 写 一 个 A l a r m R e c e i v e r 来 监 听 时 间 ， 将 所 有 的 服 务 和 广 播 在 A n d r o i d M a n i f e s t . x m l 中 注 册 S M S _ D A E M O N 的 代 码 如 下 。 （ 代 码 见 下 方 “ 阅 读 原 文 ” ）
0 × 0 4   运 行 结 果 运 行 结 果 代 码 编 写 完 成 后 , 编 译 并 上 传 到 手 机 调 试 , 在 控 制 指 令 指 定 的 时 间 , 手 机 成 功 收 到 了 短 信 : 刘 尼 玛 现 在 还 不 能 使 用 它 刘 尼 玛 现 在 还 不 能 使 用 它 木 马 是 编 写 完 成 了 , 但 还 不 能 投 入 使 用 , 因 为 我 们 要 把 它 注 入 到 一 个 正 常 的 程 序 中 , 欺 骗 刘 尼 玛 的 老 总 安 装 它 , 但 那 是 另 一 个 故 事 了 … …
预 知 后 事 如 何 , 且 听 下 回 分 解 . 本 文 的 所 有 源 代 码 和 本 文 的 本 文 的 所 有 源 代 码 和 本 文 的 P D F 版 已 打 包 提 供 下 载 版 已 打 包 提 供 下 载 : h t t p : / / p a n . b a i d u . c o m / s / 1 g d x c z D p ​ 本 文 章 为 红 客 联 盟 （ c n h o n k e r ） b 4 1 k 3 r 写 的 刘 尼 玛 系 列 的 第 一 篇 ， 经 他 本 人 同 意 发 到 F r e e b u f ， 同 时 感 谢 F r e e b u f 给 我 们 提 供 一 个 良 好 的 交 流 平 台 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理