TGFC Lifestyle - Powered by Discuz! Board

标题: [电脑] 百度全系APP SDK漏洞 - WormHole虫洞漏洞分析报告 [打印本页]

作者: 山楂冰 时间: 2015-11-2 18:58 标题: 百度全系APP SDK漏洞 - WormHole虫洞漏洞分析报告

比葫芦娃还可怕的百度全系APP SDK漏洞 - WormHole虫洞漏洞分析报告
瘦蛟舞 · 2015/11/02 10:50
作者：瘦蛟舞，蒸米

”You can’t have a back door in the software because you can’t have a back door that’s only for the good guys.“ - Apple CEO Tim Cook

”你不应该给软件装后门因为你不能保证这个后门只有好人能够使用。” – 苹果CEO 库克

0x00 序

最早接触网络安全的人一定还记得当年RPC冲击波，WebDav等远程攻击漏洞和由此产生的蠕虫病毒。黑客只要编写程序扫描网络中开放了特定端口的机器，随后发送对应的远程攻击代码就可以控制对方主机，在控制对方主机后，程序可以继续扫描其他机器再次进行攻击。因为漏洞出在主机本身，想要修复漏洞必须安装补丁才行，但因为很多人并不会及时升级系统或者安装补丁，所以漏洞或者蠕虫会影响大量的机器非常长的时间，甚至有的蠕虫病毒可以感染全世界上亿的服务器，对企业和用户造成非常严重的损失。

Android发布后，我们就一直幻想着能发现一个像PC上的远程攻击一样厉害的漏洞，但是Android系统默认并没有开放任何端口，开放socket端口的APP也非常稀少，似乎出现像PC那样严重的漏洞是不太可能的。但可惜的是，世界上并没有绝对的安全，就在这么几个稀少的端口中，我们真的找了一个非常严重的socket远程攻击漏洞，并且影响多个用户量过亿的APP，我们把这个漏洞称之为WormHole虫洞漏洞。

0x01 影响和危害

WormHole虫洞漏洞到底有多严重呢？请看一下我们统计的受影响的APP列表（还没有统计全）：

百度地图检测版本8.7
百度手机助手检测版本6.6.0
百度浏览器检测版本6.1.13.0
手机百度检测版本6.9
hao123 检测版本6.1
百度音乐检测版本5.6.5.0
百度贴吧检测版本6.9.2
百度云检测版本7.8
百度视频检测版本7.18.1
安卓市场检测版本6.0.86
百度新闻检测版本5.4.0.0
爱奇艺检测版本6.0
乐视视频检测版本5.9
...完整列表见附录

这个列表是2015年10月14号统计的百度系APP的最新版，理论上所有小于等于检测版本的这些百度系的APP都有被远程攻击的危险。根据易观智库的统计排行：

可以看到手机百度、百度手机助手、百度地图等百度系APP有着上亿的下载安装量和加起来超过三亿的活跃用户。

安装了百度的这些APP会有什么后果和危害呢？

无论是 wifi 无线网络或者3G/4G 蜂窝网络，只要是手机在联网状态都有可能受到攻击。攻击者事先无需接触手机，无需使用DNS欺骗。

此漏洞只与app有关，不受系统版本影响，在google最新的android 6.0上均测试成功。

漏洞可以达到如下攻击效果:

远程静默安装应用
远程启动任意应用
远程打开任意网页
远程静默添加联系人
远程获取用用户的GPS地理位置信息/获取imei信息/安装应用信息
远程发送任意intent广播
远程读取写入文件等。
下面是视频DEMO:

俺们做的视频效果太差,下面demo视频是从雷锋网上看到的：

http://www.leiphone.com/news/201510/abTSIxRjPmIibScW.html

0x02 漏洞分析

安装百度系app后，通过adb shell连接手机，随后使用netstat会发现手机打开了40310/6259端口，并且任何IP都可以进行连接。

原来这个端口是由java层的nano http实现的，并且这个http服务，百度给起名叫immortal service（不朽/不死的服务）。为什么叫不朽的呢？因为这个服务会在后台一直运行，并且如果你手机中装了多个有wormhole漏洞的app，这些app会时刻检查40310/6259端口，如果那个监听40310/6259端口的app被卸载了，另一个app会立马启动服务重新监听40310/6259端口。

我们继续分析，整个immortal service服务其实是一个http服务，但是在接受数据的函数里有一些验证,比如 http 头部remote-addr字段是否是”127.0.0.1”，但是会一点web技巧的人就知道，只要伪造一下头部信息就可把remote-addr字段变成”127.0.0.1”。

成功的和http server进行通讯后，就可以通过url给APP下达指令了。拿百度地图为例，以下是百度地图APP中存在的远程控制的指令的反汇编代码：

geolocation 获取用户手机的GPS地理位置（城市，经度，纬度）
getsearchboxinfo 获取手机百度的版本信息
getapn 获取当前的网络状况（WIFI/3G/4G运营商）
getserviceinfo 获取提供 nano http 的应用信息
getpackageinfo 获取手机应用的版本信息
sendintent 发送任意intent 可以用来打开网页或者与其他app交互
getcuid 获取imei
getlocstring 获取本地字符串信息
scandownloadfile 扫描下载文件(UCDownloads/QQDownloads/360Download...)
addcontactinfo 给手机增加联系人
getapplist获取全部安装app信息
downloadfile 下载任意文件到指定路径如果文件是apk则进行安装
uploadfile 上传任意文件到指定路径如果文件是apk则进行安装
当我们看到这些远程指令的时候吓了一跳。你说你一个百度地图好好的导航行不行？为什么要去给别人添加联系人呢？添加联系人也就算了，为什么要去别的服务器下载应用并且安装呢？更夸张的是，安装还不是弹出对话框让用户选择是否安装，而是直接申请root权限进行静默安装。下图是代码段：

可以看到下载完app后会有三个判断:

手机助手为系统应用直接使用android.permission.INSTALL_PACKAGES权限静默安装应用
手机助手获得 root 权限后使用 su 后执行 pm install 静默安装应用
非以上二种情况则弹出引用安装的确认框
一般用户是非常相信百度系APP，如果百度系APP申请了root权限的话一般都会通过，但殊不知自己已经打开了潘多拉的魔盒。

如果手机没root就没法静默安装应用了吗？不是的，downloadfile和uploadfile可以选择下载文件的位置，并且百度系app会从”/data/data/[app]/”目录下动态加载一些dex或so文件，这时我们只需要利用downloadfile或uploadfile指令覆盖原本的dex或so文件就可以执行我们想要执行的任意代码了。比如说，利用dex或者so获取一个反弹shell，然后把提权的exp传到手机上执行获得root权限，接下来就可以干所有想干的任何事情了。

0x03 POC

因为影响过大，暂不公布，会在WormHole漏洞修复完后更新。

0x04 测试

简单测试了一下WormHole这个漏洞的影响性，我们知道3G/4G下的手机其实全部处于一个巨大无比的局域网中，只要通过4G手机开个热点，就可以用电脑连接热点然后用扫描器和攻击脚本对全国甚至全世界连接了3G/4G的手机进行攻击。在家远程入侵一亿台手机不再是梦。

我们使用获取包名的脚本，对电信的下一个 C 段进行了扫描，结果如下：

Discovered open port 6259/tcp on 10.142.3.25  "com.baidu.searchbox","version":"19"
Discovered open port 6259/tcp on 10.142.3.93  "packagename":"com.baidu.appsearch"
Discovered open port 6259/tcp on 10.142.3.135  "com.hiapk.marketpho","version":"121"
Discovered open port 6259/tcp on 10.142.3.163  "packagename":"com.hiapk.marketpho"
Discovered open port 6259/tcp on 10.142.3.117  "com.baidu.browser.apps","version":"121"
Discovered open port 6259/tcp on 10.142.3.43 "com.qiyi.video","version":"20"
Discovered open port 6259/tcp on 10.142.3.148  "com.baidu.appsearch","version":"121"
Discovered open port 6259/tcp on 10.142.3.196  "com.baidu.input","version":"16"
Discovered open port 6259/tcp on 10.142.3.204  "com.baidu.BaiduMap","version":"20"
Discovered open port 6259/tcp on 10.142.3.145  "com.baidu.appsearch","version":"121"
Discovered open port 6259/tcp on 10.142.3.188  "com.hiapk.marketpho","version":"21"
Discovered open port 40310/tcp on 10.142.3.53  "com.baidu.BaiduMap","version":"122"
Discovered open port 40310/tcp on 10.142.3.162  "com.ting.mp3.android","version":"122"
Discovered open port 40310/tcp on 10.142.3.139 "com.baidu.searchbox","version":"122"
Discovered open port 40310/tcp on 10.142.3.143 "com.baidu.BaiduMap","version":"122"
Discovered open port 40310/tcp on 10.142.3.176  "packagename":"com.baidu.searchbox"
255个IP就有16手机有WormHole漏洞。

除此之外，我们发现华为，三星，联想，金立等公司的某些机型在中国出厂的时候都会预装百度系app，突然间感到整个人都不好了。。。

0x05 总结

我们已经在2015年10月14日的时候将WormHole的漏洞报告通过乌云提交给了百度，并且百度已经确认了漏洞并且开始进行修复了。但这次漏洞并不能靠服务器端进行修复，必须采用升级app的方法进行修复，希望用户得到预警后尽快升级自己的应用到最新版，以免被WormHole漏洞攻击。

0x06 受影响的app列表

足球直播
足球巨星
足彩网
卓易彩票
助手贴吧
中国足彩网
中国蓝TV
中国蓝HD
珍品网
掌上百度
悦动圈跑步
优米课堂
音悦台
移动91桌面
央视影音
修车易
小红书海外购物神器
侠侣周边游
物色
万达电影
贴吧看片
贴吧饭团
视频直播
生活小工具
上网导航
全民探索
穷游
汽车之家
拇指医生(医生版)
萌萌聊天
美西时尚
么么哒
蚂蚁短租
旅游攻略
乐视视频
酷音铃声
口袋理财
经理人分享
购车族
歌勇赛
凤凰视频
风云直播Pro
多米音乐
都市激情飙车
懂球帝
蛋蛋理财
穿越古代
彩票到家
彩票365
爆猛料
百姓网
百度桌面Plus
百度云
百度游戏大全
百度音乐2014
百度新闻
百度团购
百度图片
百度贴吧青春版
百度贴吧简版
百度贴吧HD
百度输入法
百度手机助手
百度手机游戏
百度视频HD
百度视频
百度浏览器
百度翻译
百度地图DuWear版
百度地图
百度HD
百度
安卓市场
爱奇艺视频
VidNow
Video Now
T2F话友
Selfie Wonder
PPS影音
PhotoWonder
hao123特价
CCTV手机电视
91桌面
91助手
91爱桌面
91 Launcher
365彩票
PS:

1.文章是提前编辑好打算漏洞公开后再发布,趋势已经发文所以跟进.

http://blog.trendmicro.com/trendlabs-security-intelligence/setting-the-record-straight-on-moplus-sdk-and-the-wormhole-vulnerability/

2.网上公布的一些 app 列表大多是根据百度 moplus SDK 的特征指令静态扫描得来这样会有一定误报导致无辜 app 躺枪,比如漫画岛app 虽然集成了此 SDK 但是因为代码混淆策略,指令实现类名被混淆后 findClass 无法找到,所以 exp 都会提示404.

3.关联漏洞

WooYun: 百度输入法安卓版存在远程获取信息控制用户行为漏洞（可恶意推入内容等4G网络内可找到目标）

WooYun: WormHole虫洞漏洞总结报告(附检测结果与测试脚本)

收藏分享
碎银子打赏，作者好攒钱娶媳妇：

作者: francisic 时间: 2015-11-2 19:11

posted by wap, platform: Android
结论，百度必须死。

作者: 绝赞好评 时间: 2015-11-2 19:16

百毒全家捅

作者: cgyldn 时间: 2015-11-2 19:27

posted by wap, platform: iPhone
李彦宏这种王八蛋早晚遭报应

作者: 888999000 时间: 2015-11-2 19:41

posted by wap, platform: Galaxy S5
晕，居然中了一个，看来安卓平台只值得买个300块的平板

作者: 好蓝啊 时间: 2015-11-2 20:18

这种事情放别的地方，公司早关门了，在我们这里“发酒三杯，下不为例”

作者: 不歌不寐 时间: 2015-11-2 20:41

什么样的人用出什么样的安卓！对于那些污秽的app要洁身自好不要安装！要优雅不要污

[ 本帖最后由不歌不寐于 2015-11-2 20:58 编辑 ]

作者: 山楂冰 时间: 2015-11-2 20:51

洗地的人呢？

作者: FoxfoO 时间: 2015-11-2 20:59

posted by wap, platform: iPhone
iOS值5000不是没有道理的

作者: VEVAN 时间: 2015-11-2 21:04

posted by wap, platform: 小米 NOTE
说漏洞真是给百度留面子

作者: sarion 时间: 2015-11-2 21:08

ios没事？:D

作者: qustttt 时间: 2015-11-2 21:09

ios 受影响吗

作者: oversleep 时间: 2015-11-2 21:36

ios应该不受影响，因为APP本来就没什么权限，系统限制的很死，攻破了一个APP也没用。

作者: doraamon 时间: 2015-11-2 21:56

posted by wap, platform: iPhone
坐等洗地

作者: superbigsea 时间: 2015-11-2 22:08

posted by wap, platform: Android

引用:

原帖由 @VEVAN 于 2015-11-2 21:04 发表
说漏洞真是给百度留面子

顶一个

作者: XHWer 时间: 2015-11-2 22:12

posted by wap, platform: SONY Z Ultra
就是自己放木马

作者: 为谁涅槃 时间: 2015-11-2 22:37

posted by wap, platform: iPhone
所以装了一个就会自动装百毒全家桶

作者: kjjuhfv 时间: 2015-11-3 00:19

posted by wap, platform: Lenovo
简直哭死
手机这个联想k3  系统内置百度输入法
虽然我没有启用它  但是我也没办法删除冻结它
今天打电话问客服  他们说没办法删除简直要死啊

作者: 测试一下 时间: 2015-11-3 00:24

posted by wap, platform: iPhone

引用:

原帖由 @kjjuhfv  于 2015-11-3 00:19 发表
简直哭死
手机这个联想k3  系统内置百度输入法
虽然我没有启用它  但是我也没办法删除冻结它
今天打电话问客服  他们说没办法删除简直要死啊

你可以暂时关闭数据连接用wifi上网即可...

作者: kjjuhfv 时间: 2015-11-3 00:45

posted by wap, platform: Lenovo

引用:

原帖由 @测试一下于 2015-11-3 00:24 发表
你可以暂时关闭数据连接用wifi上网即可...

呵呵我断网几个月了
一直都是数据过活

作者: meltifa 时间: 2015-11-3 07:09

posted by wap, platform: iPad

引用:

原帖由 @kjjuhfv  于 2015-11-3 00:19 发表
简直哭死
手机这个联想k3  系统内置百度输入法
虽然我没有启用它  但是我也没办法删除冻结它
今天打电话问客服  他们说没办法删除简直要死啊

禁了它的联网权限

作者: zzk86319 时间: 2015-11-3 08:48

posted by wap, platform: 小米 4
这么多还叫漏洞？？
这公司明明就想在我手机里留个井啊！！

作者: 励志向上 时间: 2015-11-3 08:54

posted by wap, platform: Motorola X
中了两，百度地图和懂球帝，赶紧都卸了

作者: aso 时间: 2015-11-3 09:27

posted by wap, platform: iPhone
珍爱生命，远离国产。

本帖最后由 aso 于 2015-11-3 09:27 通过手机版编辑

作者: zhangu2 时间: 2015-11-3 09:35

posted by wap, platform: 华为荣耀6
荣耀昨晚更新后居然前所未有地集成了华为百度输入法！！所幸连ade并没有发现40310/6259端口。手机除了这输入法，就只有百度导航。看来这两app暂时还算安全。

作者: soloyu 时间: 2015-11-3 09:41

posted by wap, platform: Android
百度输入法谁不装啊

作者: godzillaqqq 时间: 2015-11-3 09:52

posted by wap, platform: iPhone

引用:

原帖由 @soloyu 于 2015-11-3 09:41 发表
百度输入法谁不装啊

我用触宝 ta免不了没办法百度可以完全不用. 公然在app里下后门这下限

作者: newshadow08 时间: 2015-11-3 09:55

posted by wap, platform: Galaxy Note III
主要是百度输入法用惯了，怎么解决。

作者: asurada2022 时间: 2015-11-3 10:01

posted by wap, platform: SONY Xperia Z3
有没有能替代百度地图的？？？就这一个

作者: norush 时间: 2015-11-3 10:11

百度的傻X 不用多解释

作者: segasnkps 时间: 2015-11-3 10:23

posted by wap, platform: HTC One
就用输入法了，恶心

作者: 田中健一 时间: 2015-11-3 10:28

posted by wap, platform: SONY Xperia Z3
谷歌回归，立马卸载所有百度产品。

欢迎光临 TGFC Lifestyle (http://tgfcer.com/)