तृतीय-पक्ष सेवाओं के माध्यम से Android अनुप्रयोगों में आरसीई

हाल ही में, MWR ने अपने ब्लॉग पर एक दिलचस्प ब्लॉग प्रविष्टि, " वेबव्यू addJascriptInterface दूरस्थ कोड निष्पादन " पोस्ट की है। प्रवेश मोबाइल ऐप सुरक्षा के लिए है। मैं अपने अंग्रेजी सहयोगियों के अध्ययन को पूरी तरह से नहीं देखना चाहता - हम आपको स्रोत की ओर रुख करने की सलाह देते हैं। लेकिन संक्षेप में, अपने एंड्रॉइड मोबाइल एप्लिकेशन में तीसरे पक्ष के पुस्तकालय का उपयोग करते समय, आप आरसीई (रिमोट कोड निष्पादन) हमले को आसानी से पकड़ सकते हैं। एक Android अनुप्रयोग में मनमाने ढंग से कोड निष्पादन जावा ऑब्जेक्ट के प्रतिबिंब के कारण संभव है जो कि WebView में डाला गया है।

तो, इस वेक्टर के काम करने के लिए:

1) सबसे पहले, कोड को संस्करण 17 से पुराने एसडीके का उपयोग करके बनाया जाना चाहिए।
2) दूसरे, आवेदन को जावास्क्रिप्ट कोड को निष्पादित करने की अनुमति दी जानी चाहिए। यही है, setJavaScriptEnabled () विधि सही पैरामीटर के साथ मौजूद होनी चाहिए - यह डिफ़ॉल्ट रूप से अक्षम है।
3) तीसरा, AddJavascriptInterface () फ़ंक्शन का उपयोग किया जाना चाहिए।
4) चौथा, सर्वर से डेटा प्राप्त करते समय, HTTPS अनुपस्थित या गलत तरीके से उपयोग किया जाना चाहिए।

यह बहुत सारी स्थितियां लगती हैं, लेकिन, जैसा कि हमारे अभ्यास से पता चलता है, यह सब बहुत आम है, खासकर कुछ तृतीय-पक्ष रूपरेखाओं में।
वर्ष की शुरुआत के बाद से, मोबाइल बैंकिंग की सुरक्षा पर हमारी प्रस्तुतियों और अध्ययनों ने कहा है कि ऐसे महत्वपूर्ण अनुप्रयोगों के विकास को केवल आवश्यक पुस्तकालयों के उपयोग के सिद्धांत द्वारा निर्देशित किया जाना चाहिए। वास्तव में, कोई भी समाचार, सामाजिक नेटवर्क और अन्य सेवाओं के साथ आरबी सिस्टम में बातचीत को एकीकृत नहीं करता है, आपको मोबाइल बैंकिंग में इससे बचने की आवश्यकता है।



एंड्रॉइड के लिए मोबाइल बैंकिंग के लिए रूसी अनुप्रयोगों में, हमने बड़ी संख्या में तृतीय-पक्ष सेवाओं के साथ सहभागिता देखी, जो गलत तरीके से उपयोग किए जाने पर एप्लिकेशन से समझौता करने का जोखिम बढ़ाती है। बैंक के समाचार सर्वर के साथ सहभागिता बहुत आम है, और बहुत बार यह इंटरैक्शन HTTP के माध्यम से होता है। यह सब बैंकिंग अनुप्रयोग पर हमले की सतह (हमले की सतह) का बहुत विस्तार करता है।

हमला:

1) हम MitM का उत्पादन करते हैं।
2) ट्रैफ़िक में इंजेक्शन दुर्भावनापूर्ण जावास्क्रिप्ट कोड है जो गेटक्लास () जावा ऑब्जेक्ट विधि को कॉल करता है। उदाहरण के लिए:

JavaObject.getClass().forname(“java.lang.Runtime”).getMethod(“getRuntime”, , null).invoke(null,null).exec([“/system/bin/sh”,”rm”,”-rf”,”*”]) 

आप मीत के बिना हमले के एक प्रकार की कल्पना कर सकते हैं: उदाहरण के लिए, किसी साइट को हैक करने और अपने जावास्क्रिप्ट कोड को चिपकाने के माध्यम से, या साइट पर संग्रहीत XSS के माध्यम से। सामान्य तौर पर, ऐसा विकास संभव है।

इस बीच, सबसे सक्रिय मेटास्प्लोइट योगदानकर्ताओं में से एक, जोशुआ जे। ड्रेक ने पहले से ही इसके लिए विशेष रूप से add_js_interface_mitm मॉड्यूल लिखा है। मॉड्यूल अभी तक उपलब्ध नहीं है और बीटा परीक्षण में है। चित्रयुक्त फल निंजा पर एक सफल हमला है जो कमजोर MoPub का उपयोग करता है।

उपयोगकर्ता के लिए संभावित परिणाम:

1) कमजोर एप्लिकेशन के डेटा का पूरा समझौता। यदि डिवाइस को रूट नहीं किया गया है, तो हमारे कोड को असुरक्षित एंड्रॉइड एप्लिकेशन के सैंडबॉक्स के भीतर निष्पादित किया जाएगा, अर्थात, वह सब कुछ करने के लिए जो यह एप्लिकेशन कर सकता है।
2) मोबाइल डिवाइस (फोन पर सभी डेटा) का पूरा समझौता। यदि डिवाइस रूट किया गया है या एंड्रॉइड का एक कमजोर संस्करण है, तो हमारा कोड LPE (लोकल प्रिविलेज एस्केलेशन) हमले को अंजाम दे सकता है और पहले से ही रूट के रूप में काम कर सकता है। हम जो कुछ भी चाहते हैं वह डिवाइस पर करते हैं।

फिक्स:

1) जावास्क्रिप्ट से जावा ऑब्जेक्ट को कॉल करने से मना करें, यदि यह आवश्यक नहीं है।
2) संस्करण 17 के तहत एसडीके का उपयोग करें - इसके लिए आपको @JavaScriptInterface एनोटेशन को जोड़ने की आवश्यकता है, क्योंकि संस्करण 17 से शुरू होने वाले जावा ऑब्जेक्ट के सभी तरीके डिफ़ॉल्ट रूप से उपलब्ध नहीं हैं।
3) addJavaScriptInterface के बजाय, अपनी खुद की URI स्कीम बनाकर और shouldOverrideUrlLoading विधि का उपयोग करके जावा विधियों को कॉल करने के लिए एक और तरीका का उपयोग करें। इस मामले में, इंजेक्शन को रोकने के लिए आने वाले डेटा की पुष्टि और आउटगोइंग डेटा के एन्कोडिंग को लागू किया जाना चाहिए।

पिछले दरवाजे:

इसके अलावा, यह सब Google Play पर अनुप्रयोगों के पूर्व-मॉडरेशन को बायपास करने के लिए सफलतापूर्वक उपयोग किया जा सकता है। सामान्य तौर पर, आपके एप्लिकेशन में पिछले दरवाजे को छोड़ना अच्छा है =)