WooYun.org

0x01 漏洞定位
检测发现手机经常有应用会打开7777端口，并且在任意地址监听，于是便一探究竟。

原来是百度手机助手（当前最新版）。然而直接在apk逆向后的代码中搜索7777或其16进制表示0x1e61却一无所获。最后发现手机助手apk是在运行的时候动态加载的plugin-deploy.dex打开了该端口。根据线索，

发现com.baidu.frontia.FrontiaApplication类对安装包中的plugin.dex解密后动态加载。

安装百度手机助手，对应用目录下的plugin.dex进行分析，该文件实际是一个odex文件，需要按如下步骤转换为dex

adb pull /data/data/com.baidu.appsearch/app_push_dex/plugin-deploy.dex
adb pull /system/framework/
java -jar ~/tools/smali/baksmali-2.0.6.jar -d framework -x plugin-deploy.dex
java -jar ~/tools/smali/smali-2.0.6.jar out

最后生成的out.dex就可以使用JEB打开了。
0x02 漏洞分析
简单搜索可发现out.dex打开了7777端口进行监听，会对发往该端口的HTTP请求进行响应，见com.baidu.frontia.module.deeplink下的各类及方法，如图所示。

也就是说，可以通过访问http://IP:7777/command?callback=xyz&...的形式本地或者远程获取手机的敏感信息、或者执行命令。
对百度手机助手而言，对应于上图左边红框中的类，实际支持的command包括

*****rkType、getPu*****

，以及LightApi或RuntimeApi类支持的一些命令。
上图右边位于com.baidu.frontia.module.deeplink.a中，反映了SDK可以支持的远程传入的命令以及对这个命令进行处理的类。使用SDK的应用可以根据情况进行配置，例如我们发现许多使用该SDK的应用还支持geolocation命令，可以通过访问 http://IP:7777/geo***?callback=xyz 的形式远程获取手机的地理位置信息。下面是另一个使用百度SDK应用（熊猫驾信，当前最新版）支持的命令

与百度手机助手相比，增加了对

*****e、geo*****

等command的支持。而且还对HTTP请求的Referer进行了判断。

查了下百度的frontia，介绍见<http://developer.baidu.com/wiki/index.php?title=docs/frontia>，确实是百度的SDK，下载安卓版本的Demo后，按照0x01中的方法生成dex，发现支持geolocation、getcuid和getapn三个命令。
至此，我们可以得出这样的结论，由于百度frontia SDK设计缺陷，导致使用该SDK的应用开放7777端口，本地或者远程攻击者至少可以通过该端口获取手机的地址位置、IMEI、APN等信息，进一步可以通过LightApi或者RuntimeApi执行命令（尚未验证）。由于不同应用对该SDK的配置和使用不同，支持的命令有所不同，危害的表现形式也不同。