Android Superuser 提权漏洞分析

安全 漏洞
近日,国外安全研究人员揭露多款Android平台下的授权应用管理软件存在3个安全漏洞,利用漏洞可进行root提权。

近日,国外安全研究人员揭露多款Android平台下的授权应用管理软件存在3个安全漏洞,利用漏洞可进行root提权,详见链接:http://forum.xda-developers.com/showthread.php?t=2525552。 TSRC也对这3个Android Superuser 提权漏洞进行了分析,具体分析情况请参见下文。

一、Superuser环境变量设置漏洞

【影响产品】

在 Android <= 4.2.x 已root过的系统上使用到以下授权管理应用的都可能受影响:

1、ChainsDD Superuser (当前版本,包括v3.1.3)

2、CyanogenMod/ClockWorkMod/Koush Superuser (当前版本,包括v1.0.2.1)

3、Chainfire SuperSU v1.69以前的版本

【漏洞原理】

1、 伪造包含恶意shell代码的app_process,该shell代码将/system/bin添加到环境变量,然后在data目录创建文件,由于默认情况下仅允许root权限才能创建,若创建成功就代表root提权成功,具体代码如下:

 

 

2、 利用chmod 755 app_process赋予恶意脚本app_process执行权限,然后将恶意脚本app_process所在目录添加到环境变量PATH=`pwd`:$PATH;

3、 正常情况下,通过命令su –c ‘true’ 会执行系统的app_process程序,但由于恶意脚本所在目录已经被添加到环境变量,此时会导致恶意脚本app_process替换原系统的app_process程序被执行。

4、 环境变量BOOTCLASSPATH也存在上述问题。

二、AndroidSuperuser shell字符转义提权漏洞

【影响产品】

1、CyanogenMod/ClockWorkMod/Koush Superuser(当前版本,包括v1.0.2.1)

2、Chainfire SuperSU v1.69之前的版本

【漏洞原理】

1、 在ClockWorkMod Superuser 中对于执行“su –c ‘COMMAND’”命令时,是通过以下代码实现的,其中的关键函数在于get_command用于获取传入的“COMMAND”参数:

2、 由于get_command对传递进来的“COMMAND”参数未作有效转义,通过以下命令可绕过限制以root权限执行命令:

snprintf(user_result_command, sizeof(user_result_command),"exec /system/bin/am " ACTION_RESULT " --ei binary_version %d--es from_name '%s' --es desired_name '%s' --ei uid %d --ei desired_uid %d --escommand '%s' --es action %s --user %d",
VERSION_CODE,
ctx->from.name,ctx->to.name,
ctx->from.uid,ctx->to.uid, get_command(&ctx->to),
policy == ALLOW ?"allow" : "deny", ctx->user.android_user_id);

3、 SuperSU虽然对字符有作一定过滤,但反点`与$符号可绕过过滤,可使用以下命令来执行root命令:

su -c '`touch /data/abc`'
su -c '$(touch /data/abc)'

三、AndroidSuperuser su –daemon提权漏洞

【影响产品】

Android >= 4.3 安装有以下授权管理应用的都可能受到影响:

1、CyanogenMod/ClockWorkMod/Koush Superuser 当前版本

【漏洞原理】

1、 攻击者必须拥有adb shell访问权限;

2、 创建恶意shell文件trojan,主要用于设置环境,并创建/data/trojan.out文件,由于data目录仅限于root权限才能创建,因此若生成trojan.out文件就说明root提权成功:

 

 

3、 将各种常用命令与shell文件trojan挂链接,添加trojan所在目录到环境变量,劫持常用命令来执行恶意脚本:

for x in id ls cp cat touch chmod chown iptables dmesg; do ln -strojan /data/local/tmp/$x ; done
PATH=/data/local/tmp:$PATH

4、攻击者需要一个非shell(uid不是2000)的拥有suid能力的linuxUID来避开su daemon的main函数中的检查。一个可行的办法是安装一个设置了”debuggable”标志的应用,并使用run-as以它的uid来运行。(由于4.3的run-as有bug,所以没办法正常工作,而4.4中已经修复了这个问题,故这里采用run-as.422来运行应用):

setsid run-as.422 my.debuggable.package /system/xbin/su --daemon&

5、 当有程序向superuser请求root权限时,一使用到被挂链接的命令,恶意shell文件trojan.out就会以root权限来执行。

 

责任编辑:蓝雨泪 来源: TSRC
相关推荐

2021-05-01 20:52:30

漏洞网络安全网络攻击

2020-10-06 13:58:25

漏洞

2020-11-16 10:55:41

Windows

2023-06-11 17:24:26

2015-03-13 10:06:55

2010-12-10 15:23:49

Linux漏洞

2022-03-10 09:41:15

漏洞Linux内核

2010-02-02 15:40:11

2016-05-17 09:42:16

2023-10-09 18:22:35

2013-08-06 17:27:56

2017-04-17 20:08:19

2023-03-30 09:53:57

2009-04-24 14:34:51

2009-04-24 14:08:25

2021-01-30 18:31:00

sudo缓存溢出漏洞

2011-03-07 11:36:23

FileZillaSe

2017-04-07 09:46:16

2023-09-11 06:59:59

2022-03-09 13:25:21

脏管道Linux 内核漏洞
点赞
收藏

51CTO技术栈公众号