当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0113325

漏洞标题：以爱奇艺为例说明如何利用安卓程序更新导致远程木马植入(其它应用普遍存在)

相关厂商：奇艺

漏洞作者： 小手冰凉

提交时间：2015-05-11 10:22

修复时间：2015-08-09 10:40

公开时间：2015-08-09 10:40

漏洞类型：远程代码执行

危害等级：高

自评Rank：18

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-05-11： 细节已通知厂商并且等待厂商处理中
2015-05-11： 厂商已经确认，细节仅向厂商公开
2015-05-14： 细节向第三方安全合作伙伴开放
2015-07-05： 细节向核心白帽子及相关领域专家公开
2015-07-15： 细节向普通白帽子公开
2015-07-25： 细节向实习白帽子公开
2015-08-09： 细节向公众公开

简要描述：

安卓程序更新导致远程木马植入(普遍存在)

详细说明：

当我们一手机为入侵目标时，最大的问题就是木马植入。如果我们已经进入内网，控制了wifi，那么就想办法将我们的程序植入到目标手机，之前出现过webview的执行漏洞可以做到，但是现在那个漏洞已经基本不存在了，我们在此处发下的漏洞是利用目标手机上已存在的程序做我们的“下载者”帮助我们下载安装木马。这个漏洞普遍存在手机程序中，这里以爱奇艺手机端为例子。当我们手机上使用较旧版本的程序时，在启动时都会查询服务器发现新版本并提示用户更新。如下图

Screenshot_2015-05-10-22-39-36.png


抓取更新数据包如下

GET /api/initLogin?id=35236905141543&key=3179f25bc69e815ad828327ccf10c539&version=5.4&os=4.3&ua=SHV-E210L&access_type=1&network=1&login=0&resolution=720*1280&include_all=1&init_type=0&getvr=1&vip=1&softc=2013-02-18-16-15-22&gps=&type=json&udid=64164dd1b5e44bc7&ppid=&openudid=64164dd1b5e44bc7&uniqid=b87e74572edd4d0cd468dcc8b1815d8d&vip=0&auth=&usertype=-1&adappid=1&cpu=1400000&gpu=&scdensity=2.0&size=4.6&sign=975d772c7538f0e7882f52086e331612&isCrash=0&baiduid=&idfv=974E0404DD801989199A3DFE12696881&p_type=8&client_type=gphone&player_id=qc_100001_100086&s_ids=1000000000322&new_ad=1&platform=GPhone&adpic2=1&reddot=1&predown=1&msg=2&types=2 HTTP/1.1
Accept-Encoding: gzip
Host: iface.iqiyi.com
Connection: Keep-Alive


其中有“version=5.4”就是带着目前版本号就行查询，然后返回新版本的介绍和下载地址。我们使用arp攻击替换返回后的数据中的APK网址为我们的木马网址，就能让爱奇艺帮我们安装木马了。这里我们使用burpsuite来模拟攻击，木马假设为“百度手机助手”，添加替换如图，

捕获.PNG

点击更新后，效果如图

Screenshot_2015-05-10-19-32-43.png


当时这样还有个问题，如果别人手机上都是最新版本的怎么办，那根本就不会返回更新地址。为了解决这个问题我们可以这样做，以关键字检测或者是事先收集好字典来找到version字段，然后把版本的数值降低一个，对于本例子来说假设最新版和手机上都是version=5.4，那我们就把请求包中的5.4改成5.3 这样服务器端就会以为程序版本低了然后提示更新。
过程如图

新建 Microsoft Visio 绘图.jpg


这个还有很多可以打磨的细节，例如可以事先维护一个库来保存常用程序的请求包格式，并把木马图标和名字伪装成目标程序，然后根据程序下载木马，这样效果应该会好
ps:爱奇艺这里的请求包中的校验字段似乎没有效，更改版本号之后请求依然有效。

漏洞证明：

新建 Microsoft Visio 绘图.jpg

修复方案：

使用自有方法对发送的数据包进行校验，防止篡改请求数据包
对返回的数据包添加校验，防止篡改返回数据包

版权声明：转载请注明来源 小手冰凉@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：5

确认时间：2015-05-11 10:38

厂商回复：

感谢关注爱奇艺PPS，链路劫持攻击成本较高，大范围利用的可能性低。 我们后续会考虑增加签名校验和SHA1校验。 感谢支持

最新状态：

暂无

漏洞评价：

评论

  1. 2015-05-11 10:47 | 瘦蛟舞 认证白帽子 ( 普通白帽子 | Rank:687 漏洞数:78 | 铁甲依然在)

    厂商速度贼快...

  2. 2015-05-11 12:00 | Ton7BrEak ( 普通白帽子 | Rank:211 漏洞数:43 | 吃苦耐劳，我只会第一个！)

    坐等详情

  3. 2015-05-11 14:42 | 美囤妈妈(乌云厂商)

    新厂商入住，欢迎各位白帽子光临！奖品多多！

  4. 2015-05-15 19:55 | 这只猪 ( 路人 | Rank:5 漏洞数:2 | 南无阿弥陀佛！)

    新人求关照！

  5. 2015-07-15 13:10 | qhwlpg ( 普通白帽子 | Rank:226 漏洞数:54 | 潜心代码审计。)

    这个有点。。。

  6. 2015-07-16 21:20 | 小手冰凉 ( 普通白帽子 | Rank:174 漏洞数:18 | 幸福你我他)

    @qhwlpg 咋嘞

  7. 2015-07-16 22:32 | qhwlpg ( 普通白帽子 | Rank:226 漏洞数:54 | 潜心代码审计。)

    @小手冰凉 实际利用起来很麻烦啊，价值不大吧

  8. 2015-07-17 09:40 | 小手冰凉 ( 普通白帽子 | Rank:174 漏洞数:18 | 幸福你我他)

    @qhwlpg 恩