当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0155003

漏洞标题：360手机浏览器wormhole漏洞可导致任意命令执行

相关厂商：奇虎360

漏洞作者： ilovewuyun

提交时间：2015-11-23 11:16

修复时间：2015-12-17 14:48

公开时间：2015-12-17 14:48

漏洞类型：远程代码执行

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-11-23： 细节已通知厂商并且等待厂商处理中
2015-11-23： 厂商已经确认，细节仅向厂商公开
2015-11-26： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航）
2016-01-17： 细节向核心白帽子及相关领域专家公开
2016-01-27： 细节向普通白帽子公开
2016-02-06： 细节向实习白帽子公开
2015-12-17： 细节向公众公开

简要描述：

360手机浏览器（包括最新版）存在远程控制漏洞。任何来源的攻击者均可远程大规模控制受害者手机并执行任意命令。命令执行可以享有360手机浏览器的所有权限（拍照、录像、录音等），如果360手机浏览器有root，问题会更严重。

详细说明：

此分析基于360手机浏览器的最新版：

1.png


MD5= 675d2679790bf16476840f61314bd3cb
Package Name: com.qihoo.browser
点开运行后发现静默监听端口6587，且远程可连，也没有对连接来源做任何限制：

2.png


从/proc/net/tcp可以看出app uid是10092，且从netstat的返回结果看，是进程8235在监听该端口，通过ps可以找到该进程及其命令：

3.png



找到该文件（um.3）发现，这是个ELF文件。通过逆向证实它的确打开了6587端口并监听。
进一步的检查发现，它通过http request接收两个参数，t和u。t的取值可以是0或1。
当t为0时，功能为查询app版本信息，如下图所示（**.**.**.**为受害者IP，下文同）：

4.png


当t为1时，功能为打开u参数所指定的任意URL，如下图所示：

5.png


进一步逆向发现打开URL对应如下代码：

6.png



可以看出实际上是调用com.google.android.apps.chrome.Main这个activity来打开URL ，并且会尝试用root权限打开。虽然最新版里并不存在这个activity，所以不能完成打开URL操作，其他渠道发布的版本以及历史版本中是否有该acitivity仍待确认。
这里要强调的是，不管360手机浏览器的各个版本是否实现了com.google.android.apps.chrome.Main来打开URL，这部分逻辑是可以被任意来源的攻击者远程exploit执行任意命令的。原因是该逻辑并没有对http request来的内容做任何检查就送进了system()执行，攻击者可以将那条am start命令截断（例如用分号）然后插入自己想执行的命令。以360强大的安全能力，我们不多加猜测他们这个用法是漏洞还是后门。例如，攻击者可以调用:

curl -X GET 'http://**.**.**.**:6587/t=1&u=**.**.**.**;echo haha > /sdcard/xixi;'


执行该命令后可以看到sdcard里出现了xixi文件，内容是haha。
所以，攻击者能 用360手机浏览器的权限大规模控制受害者手机。360手机助手的部分权限列举如下：
android.permission.ACCESS_FINE_LOCATION
android.permission.CAMERA
android.permission.RECORD_AUDIO
android.permission.GET_ACCOUNTS
android.permission.MANAGE_ACCOUNTS
android.permission.USE_CREDENTIALS
android.permission.SEND_SMS
android.permission.RECEIVE_SMS
android.permission.WRITE_SETTINGS
com.android.browser.permission.READ_HISTORY_BOOKMARKS
com.android.launcher.permission.WRITE_SETTINGS
基本上控制受害者手机录像、拍照、录音、窃取隐私、发起高级钓鱼攻击等都不成问题。而如果360手机浏览器拥有root权限，情况将会更严重。

漏洞证明：

假设要执行的攻击命令为CMD，受害者IP为**.**.**.**，则在运行360手机浏览器后执行如下命令即可。其中**.**.**.**并不重要，可以换成任何url。

curl -X GET 'http://**.**.**.**:6587/t=1&u=**.**.**.**;CMD;'

修复方案：

版权声明：转载请注明来源 ilovewuyun@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2015-11-23 14:13

厂商回复：

非常感谢白帽子对360产品安全的帮助。我们已紧急修复此漏洞，并会全网推送升级，提示用户尽快更新版本。

最新状态：

暂无

漏洞评价：

评价

  1. 2015-11-23 11:20 | 瘦蛟舞 认证白帽子 ( 普通白帽子 | Rank:765 漏洞数:83 | 铁甲依然在)

    这个屌....上周已经监控到这个 cmd...去忙别的就被洞主先发..囧

  2. 2015-11-23 11:30 | Nicky ( 普通白帽子 | Rank:493 漏洞数:71 | http://www.droidsec.cn 安卓安全中文站)

    厉害啊 我洞主在这：http://blog.trustlook.com/2015/11/21/请别揣着明白装糊涂-关于360手机助手回应虫洞/

  3. 2015-11-23 11:36 | rayh4c ( 普通白帽子 | Rank:240 漏洞数:23 )

    @瘦蛟舞 我已经让组里的伙子跟进中

  4. 2015-11-23 11:36 | rayh4c ( 普通白帽子 | Rank:240 漏洞数:23 )

    @Nicky 腾讯的吧。呵呵

  5. 2015-11-23 12:33 | 青空 ( 路人 | Rank:9 漏洞数:1 | 向各位学习、致敬。)

    抢个位置。。。。

  6. 2015-11-23 12:44 | phith0n 认证白帽子 ( 普通白帽子 | Rank:751 漏洞数:118 | 一个想当文人的黑客~)

    前排围观撕逼

  7. 2015-11-23 12:46 | hqdvista ( 普通白帽子 | Rank:154 漏洞数:31 | N/A)

    前排围观撕逼

  8. 2015-11-23 12:51 | qingxp9 ( 路人 | Rank:6 漏洞数:4 | ~~~)

    占位

  9. 2015-11-23 12:54 | 疯子 ( 普通白帽子 | Rank:252 漏洞数:43 | 世人笑我太疯癫，我笑世人看不穿~)

    前排围观撕逼

  10. 2015-11-23 13:03 | 青空 ( 路人 | Rank:9 漏洞数:1 | 向各位学习、致敬。)

    真强悍 请别揣着明白装糊涂 — 关于360手机助手回应虫洞漏洞“Dimension Door（异次元之门）”的回应 http://blog.trustlook.com/2015/11/21/

  11. 2015-11-23 13:33 | 大师兄 ( 实习白帽子 | Rank:31 漏洞数:8 | 每日必关注乌云)

    围观撕开

  12. 2015-11-23 13:55 | 小荷才露尖尖角 ( 普通白帽子 | Rank:111 漏洞数:14 | less is more)

    凑个热闹

  13. 2015-11-23 14:02 | PiaCa ( 普通白帽子 | Rank:137 漏洞数:11 | 简单点!啪......嚓~~)

    这个漏洞略……

  14. 2015-11-23 15:14 | hecate ( 普通白帽子 | Rank:754 漏洞数:116 | ®高级安全工程师 | WooYun认证√)

    非常感谢白帽子对360产品后门的帮助。我们已紧急隐藏该后门，并会全网推送种马，提示用户尽快更新版本。

  15. 2015-11-23 15:46 | Watermelon ( 实习白帽子 | Rank:37 漏洞数:9 | Watermelon)

    哈哈 欢迎推送

  16. 2015-11-24 11:07 | lgarc0ne ( 路人 | Rank:8 漏洞数:1 | 新入行安全狗)

    围观

  17. 2015-11-25 14:34 | amethyst ( 路人 | Rank:2 漏洞数:1 | surprise！)

    http://v.qq.com/page/v/o/y/v0174xaijoy.html PoC视频亮点自寻（静默卸载、静默安装，大家发挥下想象力，嗯）

  18. 2015-11-25 15:26 | amethyst ( 路人 | Rank:2 漏洞数:1 | surprise！)

    @amethyst 旧的url失效了，新的点点点这儿:http://v.qq.com/page/i/3/8/i0174pddb38.html

  19. 2015-11-26 10:53 | 青空 ( 路人 | Rank:9 漏洞数:1 | 向各位学习、致敬。)

    看这里http://blog.trustlook.com/

  20. 2015-11-30 11:23 | Winck ( 路人 | Rank:12 漏洞数:3 | 华人安全网 www.systemsec.cn 719811394)

    前排围观 跟我一起吃饺子

  21. 2015-12-11 12:28 | amethyst ( 路人 | Rank:2 漏洞数:1 | surprise！)

    yo!yo!看这里：http://blog.trustlook.com/2015/12/10/360_browser_wormhole/

  22. 2016-01-27 22:01 | 小红猪 ( 普通白帽子 | Rank:285 漏洞数:54 | little red pig!)

    赞一个