漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-09177
漏洞标题：人人网Android客户端可能导致劫持或恶意软件安装
相关厂商：人人网
漏洞作者： Claud
提交时间：2012-07-03 15:46
修复时间：2012-08-17 15:46
公开时间：2012-08-17 15:46
漏洞类型：设计错误/逻辑缺陷
危害等级：中
自评Rank：8
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-07-03： 积极联系厂商并且等待厂商认领中，细节不对外公开
2012-08-17： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
人人网最新版Android客户端由于一个策略，可以导致恶意软件安装或劫持攻击。
详细说明：
人人网最新版Android客户端使用了私信功能，私信采用单独的Android软件实现，在首次启用时，联网下载该软件客户端，并存储在SD卡固定目录，然后安装并使用。如果该目录已经存在这个文件，则直接安装，而不验证这个文件是否完整无误。
具体而言，该目录地址为/sdcard/Renren/downloads/Sixin.apk。
另一方面，在Android中，SD卡是任何应用软件可以随意读写的。因此，攻击者只需要先将恶意软件写入/sdcard/Renren/downloads/目录并命名为Sixin.apk，在人人网客户端中启用私信，这个恶意软件就会直接被安装。
特别的，攻击者可以投放一个篡改后的Sixin.apk（用repackaging技术），可以用于劫持用户会话或回传用户数据等。
漏洞证明：
不写利用代码了。直接说利用步骤吧：
1. 确定手机上还没装人人私信软件
2. 随便搞个apk文件，放到/sdcard/Renren/downloads/目录并命名为Sixin.apk
3. 进入人人网客户端，点击私信功能
这样就可以看到这个apk软件被安装了。
修复方案：
两种方法：
1. 把Sixin.apk的缓存地址改为人人客户端的私有目录，而不是SD卡这样的所有软件都可读写的目录；
2. 对Sixin.apk的完整性做验证后再安装。
版权声明：转载请注明来源 Claud@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝
( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)