Hacking Team Android Browser Exploit代码分析
Hacking Team Android Browser Exploit代码分析
博文作者：我有一把刷子
发布日期：2015-07-10
阅读次数：329
博文内容：
0x0 前言
Hacking Team 415G泄露资料的vector-exploit-master/src/ht-webkit-Android4-src目录中，包含一份Android Browser exploit代码。用户在浏览器中点击攻击者的链接，便会执行恶意代码。恶意代码利用漏洞获取root权限，并静默安装木马apk。影响Android4.0-4.3版本。
0x1 漏洞利用的艺术
Exploit代码利用了三个已知的libxslt漏洞，获得对内存地址的完整控制能力。
1. information leak ( CVE-2011-1202 )。
2. Arbitrary memory read ( CVE-2012-2825 )
3. Heap-buffer-overflow ( CVE-2012-2871 )
关键流程：
0x2 利用分析
1. 申请3 3 0块1M大小的内存，并给每一块内存区域打上标记（0x70747468，‘HTTP’） 。
2. 进行内存搜索，利用CVE-2012-2825可以检查任意内存地址是否为0x70747468（’HTTP’）的能力，找出第一步的标记内存，得到标记内存所在的地址 。这里查找内存的时候涉及一个技术细节。
When parsing a XSLT stylesheet containing a DTD, a structure of type xmlEntity is accessed as another type. The value of cur->ns->href is then compared with a string (“http://www.w3.org/1999/XSL/Transform"). If not equal, return null.
将 ns->href和ns->prefix的值改为addr，然后利用二分法在[0x7a703030, 0x79303030]这块内存空间遍历addr，如果找到"http://www.w3.org/1999/XSL/Transform"，会返回一个正确的documentElement。
由于这块地址在第一步中已经申请 。 这块内存我们知道地址并可以随 意 使用，这一步很关键 。 可控制的内存约4MB，称为ZoneX 。
3.精心修改ZoneX，利用CVE-2011-1202泄漏堆对象的地址和CVE-2012-2871写特定内存地址为特定值的能力，把ZoneX标记为已释放，但JS仍然有读写的能力 。
这一过程相当复杂，暂且跳过。
4. 立即申请大量新的ArrayBuffer覆盖ZoneX，由于JS仍然有读写ZoneX的能力，可以马上修改一块符合条件的ArrayBuffer的起始地址为0x00000000，结束地址为0xFFFFFFFF，即整个内存区域 。
5. 利用BufferMemoryObject对象，封装对内存地址的操作，至此JS已经得到整个RING3内存的完整读写能力。
6. 下载小马module.so
7 . 结合CVE-2011-1202信息泄漏漏洞，获得libwebcore.so的基址进而获得libc.so的基址 。
然后在libc和libwebcore中搜索可用的gadget。
8. 操作内存，覆盖JS对象的虚表 ， 构造假的vtable完成两个gadget的拼接。 并使用ROP攻击手法，通过mprotect给堆上的shellcode代码执行的权限，并将执行流程跳转到真正的shellcode 。
9 . shellcode中激活已经下载好的小马module.so；
10 . 接下来 小 马下载ROOT提权程序（exploit，ELF）获取ROOT权限； 并留下一个 shell /system/bin/rilcap，过程和rcs完全一致。
用 IDA打开 小马，发现其 使用了Obfuscator-clang对代码进行了混淆。
所涉及的两种 root方法，第一种是put_user，另一种是towel。
1 1 . 随后，小马在ROOT权限下静默安装黑客指定的木马程序。ALL DONE。
0x4 总结
从三个POC到一套完整的远程代码执行exploit，是一个复杂而艰难的过程。Hacking Team 的exploit演绎相当之精彩，不得不说是漏洞利用的艺术。从远程代码执行，到下载rcs远程控制客户端，Hacking Team构建了一条完整的黑色链条。看完之后，各位看官会不会和小编一样，背后吓出了一身冷汗。Android Browser Exploit仅仅是Hacking Team泄漏资料中的一个项目，其中的技术点便相当复杂。其所泄漏的项目，不仅包括源代码，还包括大量工程化的工具以及技术文档。仅需简单地配置和修改即可自动化生成黑客工具，很容易被不法分子利用。可想而知，这将大大降低黑产的技术门槛。黑产水平将在短时间内显著提升。守护用户安全之路将任重而道远。
（ 行文如有疏漏，敬请斧正 ）
本文专属二维码，扫一扫还能分享朋友圈
[共有 1条 评论]
正文到此结束
热门推荐
相关文章
近期评论
-
文章和留言都翻到11页了 没有OOM
-
-
朋友，翻页到11页，及以后，会出现OOM，无法访问
-
-
搞个gitee的项目
-
-
版本号是多少，你可以下载哪个代码仓库，jdk选1.8 直接跑就行
-
-
-
Loading...
![[HBLOG]公众号](https://www.liuhaihua.cn/img/qrcode_gzh.jpg)
