PendingIntent重定向：一种针对安卓系统和流行App的通用提权方法——BlackHat EU 2021议题详解（下）

安第斯智能云

已于 2022-03-15 15:47:15 修改

阅读量9.2k

点赞数 4

文章标签： android 安全

于 2022-03-15 15:45:02 首次发布

本文链接：https://blog.csdn.net/weixin_59152315/article/details/123503289

版权

本文深入探讨了Android系统中不安全PendingIntent的通用利用方法，揭示了PendingIntent重定向攻击，通过修改base Intent实现权限提升，读取或篡改应用的私有数据。文章列举了多个真实案例，包括CVE-2020-0188和CVE-2020-0389等，并介绍了自动化分析工具PendingIntentScan。此外，讨论了Android 12的安全变更及开发者的安全编码建议。

摘要由CSDN通过智能技术生成

在这里插入图片描述
以用户隐私安全为中心，用责任兑付信任，OPPO成立子午互联网安全实验室（ZIWU Cyber Security Lab）。实验室以“保护用户的安全与隐私，为品牌注入安全基因”为使命，持续关注并发力于业务安全、红蓝对抗、IoT安全、Android安全、数据和隐私保护等领域。

本篇文章源自OPPO子午互联网安全实验室。

1 不安全PendingIntent的通用利用方法

1.1 不安全PendingIntent的特征

至此，我们已经解决了本议题的第一个问题，经过研究表明，Android系统中使用的PendingIntent大都可以被三方App获取。

获取方式包括bind SliceProvider、监听通知、连接媒体浏览器服务或者bind容纳窗口小部件的AppWidgetsProvider。

于是，引入议题研究的第二个关键问题:如果这些PendigIntent不安全，如何利用才能造成安全危害?

首先，我们需要辨别什么样的PendingIntent是不安全的。前面描述的公开漏洞案例，均为劫持base Intent为空Intent的广播PendingIntent，说明如下empty base Intent构建的PendingIntent确定存在安全问题。

在这里插入图片描述

Android 12之前的开发者文档也对base Intent为隐式Intent的PendingIntent提出了安全警告，但却没有明确告知到底存在何种危害。而且在AOSP代码和流行App当中，如下的代码模式广泛存在。这不禁让我们思索， Implicit base Intent构建的PendingIntent是否真正存在问题?唯有找到一种确定的针对这种PendingIntent的漏洞利用方法，才能真正证明安全问题的存在。

在这里插入图片描述

1.2 深入Intent fillIn改写机制

寻找利用方法之前，需要深入探索PendingIntent的改写机制，这决定了其他App获得PendingIntent以后，如何对base Intent进行改写。这个机制由 Intent.fillIn 函数提供：

在这里插入图片描述

在上述代码中，this对象指向当前Intent，other为其他Intent。如果当前Intent中的成员变量为空，则可以被other中相应的成员变量覆盖。比较特殊的是Intent中的component和selector成员，即使当前Intent中的component和selector为空，也不能被other所改写，除非PendingIntent
设置了FILL_IN_COMPONENT
或者FILL_IN_SELECTOR标志。

1.3 PendingIntent重定向攻击

因此在获取PendingIntent之后，其base Intent的action、category、data、clidpdata、package、flag、extra等成员都是有可能改写的，而component和selector无法改写，如图所示。特别地，对于base Intent为隐式Intent的这种情况，action已经被设置了，因此也无法被改写，攻击者无法如前面安卓系统broadcastAnyWhere漏洞那样，通过劫持PendingIntent、在base Intent中重新添加action，隐式打开一个受保护的组件。

在这里插入图片描述