安卓应用漏洞学习case8–CVE-2020-6828
2023-2-6 20:13:9 Author: 安全狗的自我修养(查看原文) 阅读量:16 收藏

安卓应用漏洞学习case8–CVE-2020-6828

前期回顾

漏洞免费实战部分-安卓应用层getLastPathSegment函数问题

漏洞实战部分2-安卓应用ZipEntry对象问题实战

漏洞实战部分3-ContentProvider组件的openFile接口问题

漏洞学习之PWN-easyheap分析

漏洞学习之PWN-HITCON_CTF_2016:Secret Holder

漏洞学习之PWN-绿城杯uaf_pwn 分析

漏洞学习之PWN-ASIS_CTF_2016_b00ks

漏洞学习之PWN-lctf2016:pwn200 堆利用

安卓应用漏洞学习-Content Provider组件的自定义权限

漏洞免费实战部分-安卓应用漏洞学习case5

漏洞免费实战部分-安卓应用漏洞学习case6

漏洞免费实战部分-安卓应用漏洞学习case7

安卓应用漏洞学习case8–CVE-2020-6828

CVE-2020-6828 Firefox Android 任意文件写漏洞,我们模拟学习这个漏洞原理。首先创建case8应用代替Firefox应用,case8需要能被外部调用,且为隐式调用。

为了方便区分,这里创建一个名为 MainActivity2的组件,要满足隐式调用和MIME需要增加intent-filter标签和data数据标签。如下:

image1

Intent 的显式(explicitly)和隐式(implicitly)

显式:

在构造Intent对象时就指定接收者

Intent intent = new Intent(MainActivity.this,targetActivity.class);

startActivity(intent);

隐式:

在构造Intent对象时,不知道接收对象。这种有利于降低开发的耦合度。

Intent intent = new Intent();

intent.setAction(Intent.ACTION_VIEW);

intent.setPackage(“com.targetname”);

startActivity(intent);

隐式的匹配规则:

主要是查找已注册在AndroidManifest.xml 文件中所有的IntentFilter,来找到匹配的Intent。通过action、type、category三个属性标签判断。隐式调用至少有一个category(“android.intent.category.DEFAULT”),不然Intent的匹配就会失败,报错说找不到匹配的组件。

  • action的匹配

隐式调用必须设置action标签,调用者构造Intent时必须指定action变量,且值必须与被调用组件声明的一直。如:

<intent-filter>
<action android:name="android.intent.action.VIEW"/>
</intent-filter>

调用者:

Intent intent = new Intent();
intent.setAction("android.intent.action.VIEW");
startActivity(intent);

  • data的匹配

和action一样,只要Intent的data和目标组件在IntentFilter中声明data完全相同,则data匹配成功。

data有两部分:mimetype、URI

mimeType是指类型例如:image/jpeg,auto/*,text/html.等。可表图片、文本、媒体等格式。

URI是指协议和地址如:scheme、host、port、path、pathPattern、pathPrefix等组成。

<scheme>://<host>:<port>/[path|pathPattern|pathPrefix]

具体在xml中:

<intent-filter>
<data android:scheme="http"
android:host="case8"
android:port="xxxx"
android:path="xxxx"
android:pathPattern="xxxx"
android:pathPrefix="xxxx"
android:mimeType="text/html"
/>
</intent-filter>

  • category的匹配规则

这个特殊,构造Intent时不设置category的话,系统会默认带上”android.intent.category.DEFAULT”,它必须保证和过滤规则中的一个category相同。不强制要求Intent设置category。

配置好隐式调用后,MainActivity2组件实现接收外部传入的Intent,并将intent中的uri提取出来使用。模拟Firefox 的逻辑,Firefox使用接收的uri调用query获取文件名,代码如下:

image2

查数据得到文件名后,没有判断文件是否包含”../“特殊符号,直接与contentUri目录拼接写入文件。

image3

FileUtils.copy是读取uri指向的文件,写入到file2创建的新文件中。

image4

File 对象本身不检查带特殊符号”../“的路径。

case8模拟这个逻辑,代码如下:

image5

MainActivity2组件接收外部传入的Intent并取出uri,使用query读取uri指向的poc8提供的Content Provider组件。

image6

这里会返回poc8提供的文件名,文件名可控能携带’../’特殊字符。没有做任何校验,直接返回与this.getCacheDir()拼接并创建文件,随后调用copy函数将uri指向的文件拷贝到新创建的文件中。

image8

this.getContentResolver().openInputStream(uri)会调用poc8中的openFile重载函数,也可被控制。

poc8只需要实现query函数和openFile函数,即可对cae8沙箱内任意文件写入。

image9

MatrixCursor 是一种虚表,父类继承Cursor 所以可以当返回值用。

image10

image11

image

openFile实现:

image13

这里读取创建好的poc8.txt文件。文件是在poc8启动时创建,写入”hello poc8”字符串。创建路径为:“/storage/emulated/0/Android/data/com.test.poc8/cache/poc8.txt”

image14

准备好所有调用函数之后,执行poc调用case8进行文件写入,poc代码:

image15

添加包名、隐式启动需要action进行匹配,不设置category系统会默认增加”android.intent.category.DEFAULT”,addFlags增加临时读写权限,在Intent中要同时设置Data和Type属性就只能调用setDataAndType函数,如果是单独setData、setType会互相抵消。

image16

image17

完成所有代码后运行查看效果。

image18

image19

poc8执行之前当前case8沙箱内文件:

image20

poc8执行之后当前case8沙箱内文件:

image21

打破了安卓沙箱隔离机制,poc8的文件写入到了case8内,当然如果case8内有加载的插件,那么poc8提供插件覆盖这个case8的插件,重启case8应用执行加载这个插件就可以在case8中执行代码了。原漏洞CVE-2020-6828是覆写了profile.ini文件和增加user.js文件,profile.ini文件指向加载js的路径,poc修改为指向同目录下文件也就是user.js。user.js内部执行设置代理的逻辑,将所有流量转向攻击者提供的ip地址和端口。

CVE-2020-6828演示视频:

https://drive.google.com/open?id=1q6IQP8SCcpqtUTZ-Wb6z73Y8vWcFdLzM

CVE-2020-6828补丁修复也简单,在 query查询完之后,只获取文件名。:

--- a/mobile/android/geckoview/src/main/java/org/mozilla/gecko/util/FileUtils.java
+++ b/mobile/android/geckoview/src/main/java/org/mozilla/gecko/util/FileUtils.java
@@ -319,17 +319,17 @@ public class FileUtils {
try (Cursor metaCursor = cr.query(uri, projection, null, null, null);) {
if (metaCursor.moveToFirst()) {
fileName = metaCursor.getString(0);
}
} catch (Exception e) {
e.printStackTrace();
}

- return fileName;
+ return canonicalizeFilename(fileName);
}

关注微信公众号或者可以直接加作者微信:

 


文章来源: http://mp.weixin.qq.com/s?__biz=MzkwOTE5MDY5NA==&mid=2247487499&idx=1&sn=f4db86399d6834c7715c6e9e4ce18e0c&chksm=c13f2342f648aa54de07efc9388ef5f19d3ec02da29422c7cdeca0fad6159ca8f03048709cc3#rd
如有侵权请联系:admin#unsafe.sh