谈谈安卓中的Intent注入-neobyte.pptx

Size: px

Start display at page:

Download "谈谈安卓中的Intent注入-neobyte.pptx"

知牧
5 years ago
Views:

1 汪涛

2 汪涛 of BaiduX- Team,ID neobyte 多年安全评估经验, 涉及方向较杂,web 安全 java 安全 android 安全前端安全

3 Intent 注入的概念 Intent 转换与复制 Action/Component/Data 注入 PendingIntent 误用 parseuri 注入 3

4 Android 提供的一种 java 环境下 IPC 的形式 Intent 是一种 IPC 消息对象, 用于向 APP 的组件请求一次操作发送与接收组件可能运行在同一个 APP 或不同的 APP( 进程 ) 中请求的操作可以是启动一个 Activity,Service 或处理 Broadcast Intent 中通常有 Action( 行动 ) 或 Component( 目标组件名 ), 系统据此决定接收 Intent 的目标组件 Intent 中还通常包含额外的数据 (Extras,Data), 供目标组件处理 Action Compo Intent Data Extras

5 Intent 是安卓 app 的重要本地攻击界面 :APP 公开组件接收外部 Intent 数据处理时可能存在安全漏洞实例 : Webview JsInterface SQL injection Path Traversal 权限泄漏, 网络权限, 读写短信的权限 Action Intent Extras Compo Data 目标数据

6 dv- data- validation/oasam- dv intent- injection If user s input is loaded in a dynamic manner in the Intent data, a malicious user could manipulate such data in order to execute code through it. In particular, the existence of dynamic data must be checked while including such data in an Intent, especially through the following Intent methods: addcategory(), setaction(), setclass(), setclassname(), setcomponent(), setdata() and setdataandtype(). App Activity 外部输入 Intent startservice Service Receiver

7 本地 Intent 注入的风险本地权限提升访问私有组件等场景某 APP 存在本地 Intent 注入漏洞, 因此注入的 Intent 可以攻击其敏感的私有组件 System 权限的 APP 若存在 Intent 注入漏洞, 可以绕过 IPC 权限, 启动一些敏感的组件, 例如 launchanywhere, BroadcastAnyWhere

8 远程 Intent 注入的风险等同于有限的远程命令执行本地暴露组件的漏洞可从远程攻击场景来自网页中的 JS, 可以发起 intent, 播打电话来自通信网络中的短信, 可以发起 intent

9 Intent 转换与复制 n 完整接收 intent 后转发 n Intent 代理 n getparcelable() n new Intent(intent) Action/Compo/Data 注入 n 构造 intent 的元素来自外部 n Action 注入 n Component 注入 n Data 注入 PendingIntent 误用 parseuri 注入 n 泄漏 pendingintent 可能使其他进程修改 intent 并以 APP 的身份发出 n Intent.parseUri 可解析 String 为 Intent, 如果未进行校验, 可能被攻击者篡改 Intent

10 一个开源的 java bytecode 缺陷分析工具分析一个目录下的所有 class 文件编译安卓 4.4.4, 得到所有中间过程的 class 文件 ( 这样就无需 dex2jar), 共约 3 万个 class

11 Intent 注入的概念 Intent 转换与复制 Action/Component/Data 注入 PendingIntent 误用 parseuri 注入 11

12 最早由申迪分析,AccountManager 存在缺陷, 恶意 APP 可以发出任意 intent 来启动 activity( 绕过 IPC 权限限制 ) ( google- bug / ) 本质上就是一个 intent 注入 android.accounts.accountmanager$amstask$response.onresult(bundle)

13 Intent 本身可以传递数据如果在 intent 中传递一个 intent, 往往代表需要用这个 intent 发起一个新的 IPCà intent 注入为了寻找这种 Intent 转换的特征, 可以看看 Bytecode android.accounts.accountmanager$amstask$response.onresult(bundle)

14 在 findbugs 中扫描所有 Bytecode 指令, 如果是 checkcast, 进一步检查是否是 cast 为 intent 类型

15 对 Android 4.4 全系统扫描后发现 106 例 Intent 的 checkcast, 根据是否在同方法中发送了该 intent 调整优先级, 结果第一个就是 launchanywhere 漏洞, 另外还发现一个 0day

16 ChooserActivity 存在 Intent 注入漏洞, 恶意无权限 APP 可以 System 权限启动任意 Activity( 类似 launchanywhere) 安卓 Framework 层有一个导出的 Activity 组件 :ChooserActivity com.android.internal.app.chooseractivity (4.4.4 版截图 )

17 启动该 activity 会从输入 intent 中读取 EXTRA_INTENT 与 EXTRA_INITIAL_INTENTS, 分别是一个 intent 以及一个 intent 数组, 然后传递给 super.oncreate

18 super 类为 com.android.internal.app.resolveractivity, 将启动用户选择的 intent

19 2012 年 (4.1) 的一个补丁中增加了对是否有权限启动 EXTRA_INTENT 的检查, 但依然遗漏了对 EXTRA_INITIAL_INTENTS 的检查, 所以可以利用 EXTRA_INITIAL_INTENTS 来 launchanywhere c f7f842a0a97bbc190a4%5E%21/#F4

但当我们去 launch 时, 发现权限错误 http://developer.android.com/guide/topics/manifest/activity- element.

20 但当我们去 launch 时, 发现权限错误 element.html#multi Whether an instance of the activity can be launched into the process of the component that started it - "true" if it can be, and "false" if not. The default value is "false. Normally, a new instance of an activity is launched into the process of the application that defined it

21 com.android.server.am.activityrecord com.android.server.am.pendingintentrecord

22 com.android.server.am.activitymanagerservice com.android.server.am.activitystacksupervisor

23 com.android.server.am.activitystacksupervisor

24 通过 pendingintent,chooseractivity 将在 system 进程启动并 launch 我们的 intent

25 因为是 system 进程, 可以启动需要权限的 Activity, 或者是私有的 Activity Demo 演示弹出两个图标让用户选择, 如果选择了手机, 将开始拨打电话

26 报告给 Android, 但是 Thanks for the report. This issue was previously reported to us by another researcher. We're testing a fix for the next release of Android. We ask that you keep this issue confidential until our fix is released. 补丁 com.android.internal.app.resolveractivity,startactivityascaller Fix issue # : Apps can gain access to any ContentProvider with granturipermissions (no user interaction required) bcfa5844fc89ed0da

27 _r8/packages/Shell/src/com/android/shell/BugreportWarningActivity.java

28 _r8/src/com/android/camera/ProxyLauncher.java

29 _r8/src/com/android/settings/users/AppRestrictionsFragment.java

30 _r8/src/com/android/browser/widget/BookmarkWidgetProxy.java

31 Intent 注入的概念 Intent 转换与复制 Action/Component/Data 注入 PendingIntent 误用 parseuri 注入 31

32 Action/Component/Data 仅仅是狭义的举例, 实际范畴是所有构成 Intent 的元素均可被注入攻击者可以控制发送 intent 的目标或数据, 或者是全部 Action Compo Intent Data Extras

33 curesec 发现的安卓拨打电话权限绕过漏洞 CVE (<4.4.2, com.android.phone.phoneglobals$notificationbroadcastreceiver

34 用数据流分析方法, 分析 java 对象的数据污染扩散 source:binder 接口为数据入口 sink: setaction(), setclass(), setclassname(), setcomponent(), setdata() setdataandtype() 这些为目标跨过程的数据流分析缺陷 : 误报率较高 (>1k), 但依然发现了一个 0dayJ

35 WapPushManager 中存在的 SQL 注入, 也是 Intent 注入, 攻击者可以远程发送恶意 wappush 指令, 让手机启动组件我们在报告安卓, 确认 com.android.smspush.wappushmanager

通过模拟端口发送 wappush sms 手机收到后, 触发 SQL 注入, 查询出 settings 的 component 并启动 4.

36 通过模拟端口发送 wappush sms 手机收到后, 触发 SQL 注入, 查询出 settings 的 component 并启动的 POC 如下 f04408a B b8423f00A065603B081EAAF e696f6e c c27636f6d2e616e64726f6964 2e e c27636f6 d2e616e64726f69642e e67732e e c 302c302c302d2d A D6F62696C E 67732E636F6D2F0001

37 Intent 注入的概念 Intent 转换与复制 Action/Component/Data 注入 PendingIntent 误用 parseuri 注入 37

38 PendingIntent, 经常用于通知 Pending: 延时的包裹着真实的 intent 创建者的 context A 把将来要发送的 intent 打包, 然后交给 B, 让 B 在将来代表 A 发出这个 intent 即使 A 已经不存在,B 也能以 A 的 context 来发出这个 intent B 篡改这个 intent = intent 注入

39 安卓也意识到 PendingIntent 的风险, 设置了限制, 详见 android.content.intent.fillin() 默认情况下 ( 除非开发者设置特殊标记 ) B 无法修改 Component 仅当 A 的原始 Intent 中 action 为空,B 才可以修改 action 但是, 如果 A 的原始 Intent 中 component 与 action 都为空,B 就可以控制 Intent 的目标,B 填入Extras 部分的数据直接合并覆盖 A 的 - > 目标与数据均被 B 控制 - >Intent 注入 ( 注 : 这里描述的是大部分情况, 忽视了 pkg, data, type, category 这些数据在 intent 解析中的影响 ) Intent Action Compo Data Extras 目标数据

40 By giving a PendingIntent to another application, you are granting it the right to perform the operation you have specified as if the other application was yourself (with the same permissions and identity). As such, you should be careful about how you build the PendingIntent: almost always, for example, the base Intent you supply should have the component name explicitly set to one of your own components, to ensure it is ultimately sent there and nowhere else.

41 扫描每个 method, 根据情况调整告警级别发现有构造 PendingIntent 的方法, 例如 getactivity,getbroadcast,getservice, creatependingresult,getactivities, 若有报告并设定告警级别为低在同一个 method 中, 扫描是否调用 Intent 的设置 Component 方法, 例如特定 intent 构造函数,setClass,setClassName,setComponent 等, 若没有, 调高告警级别为中在同一个 method 中, 扫描是否调用 Intent 的设置 action 方法, 例如特定 intent 构造函数, setaction 等, 若没有, 调高告警级别为高其他一些细节调整 : 例如开发人员主动设置了相关的特殊标记, 同一个 method 中用 putextra 将 PendingIntent 打包到 intent 中

42 对 Android 4.4 全系统扫描后发现 152 例告警, 其中高优先级 35 例, 发现一个 0day

43 安卓 Settings 中存在 PendingIntent 权限泄漏漏洞, 恶意无权限 app 可以 system 权限发送一个含 action 与数据的广播我们在报告安卓, 确认 com.android.settings.accounts.addaccountsettings.addaccount(string)

44 安装时提示无需任何权限启动后自动伪造来自任意手机号的一条短信另外一个严重的 Demo 中, 启动后自动重启用户手机并清除包括短信, 通信录等数据

45 _r8/keystore/java/android/security/KeyChain.java

46 _r8/src/java/com/android/internal/telephony/gsm/GsmServiceStateTracker.java

47 Intent 注入的概念 Intent 转换与复制 Action/Component/Data 注入 PendingIntent 误用 parseuri 注入 47

48 A little known feature in Android lets you launch apps directly from a web page via an Android Intent. Only activities that have the category filter, android.intent.category.browsable are able to be invoked using this method as it indicates that the application is safe to open from the Browser. 基于 intent 的 URI 语法如下 : ( 可参考安卓源码 android.content.intent.parseuri() intent: HOST/URI- path // Optional host #Intent; package=[string]; action=[string]; category=[string]; component=[string]; scheme=[string]; end; 参考 : [1] [2]

49 com.android.webview.chromium.webviewcontentsclientadapter.java

50 直接查找 intent.parseuri 方法的调用即可对 Android 4.4 全系统扫描后发现 9 例告警, 并未发现明显的安全问题于是我们去看 Chrome, 于是发现一个 0day

51 检查 Intent 的 action 是否等于某个常量字符串, 符合条件的 intent 被启动 activity 但可以直接在 uri 中指定 component, 无视 action, 启动任意 activity, 即使未声明 BROWSABLE 我们在报告 Chrome, 确认

访问页面自动触发 (Chrome Android <=37.0.2062.117) <script> var url = "intent:#intent;action=com.google.android.apps.auth enticator.authenticate;s.

52 访问页面自动触发 (Chrome Android <= ) <script> var url = "intent:#intent;action=com.google.android.apps.auth enticator.authenticate;s.url=javascript:eval(decode URIComponent('location%3D%22http%3A%2F%2Fww w.baidu.com%2f%22%3bwindow.onload%3dfunction() %20%7Balert(document.cookie)%7D%3B'));SEL;compo nent=com.android.chrome/com.google.android.apps.c hrome.help.helpactivity;end"; location.href = url; </script>

53 访问网页自动触发, 详见 m/issues/detail?id= 演示视频是基于小米语音助手, 与上述链接中的 POC 略有修改

54 Intent 注入漏洞, 并非一个新的概念, 它早就存在它比较稀少, 因此容易被忽视归纳了 Intent 注入的 4 种形式 :Intent 转换与复制 Action/Component/Data 注入 PendingIntent 误用与 parseuri 注入归纳了利用自动化的工具发现这 4 类形式的方法, 通过批量的扫描, 可以轻易发现这些漏洞在每种都找到了一个安卓 OS 或 Chrome 安卓版的 0day, 达到本地提权或远程命令执行的效果, 分别得到了 Android 与 Chrome 的官方致谢 Android 官方致谢 : Chrome 官方致谢 : channel- update_18.html

55 谢谢!

59 1 CSpace 2 CSpace CSpace URL CSpace 1 CSpace URL 2 Lucene 3 ID 4 ID Web 1. 2 CSpace LireSolr 3 LireSolr 3 Web LireSolr ID

59 1 CSpace 2 CSpace CSpace URL CSpace 1 CSpace URL 2 Lucene 3 ID 4 ID Web 1. 2 CSpace LireSolr 3 LireSolr 3 Web LireSolr ID 58 2016. 14 * LireSolr LireSolr CEDD Ajax CSpace LireSolr CEDD Abstract In order to offer better image support services it is necessary to extend the image retrieval function of our institutional repository.