2018年4月，Android安全公告公布了CVE-2017-13287漏洞。

與同期披露的其他漏洞一起，同屬于框架中Parcelable對象的寫入(序列化)與讀出(反序列化)的不一致所造成的漏洞。

在剛看到谷歌對于漏洞給出的補丁時一頭霧水，

在這里要感謝heeeeen@MS509Team在這個問題上的成果，啟發(fā)了我的進一步研究。

原理

谷歌在Android中提供了Parcelable作為高效的序列化實現(xiàn)，用來支持IPC調(diào)用中多樣的對象傳遞需求。

但是序列化和反序列化的過程依舊依靠程序員編寫的代碼進行同步。

那么當不同步的時候，漏洞就產(chǎn)生了。

Bundle

傳輸?shù)臅r候Parcelable對象按照鍵值對的形式存儲在Bundle內(nèi)，Bundle內(nèi)部有一個ArrayMap用hash表進行管理。

反序列化過程如下：

/* package */ void unparcel() { synchronized (this) { final Parcel parcelledData = https://www.solves.com.cn/it/cxkf/ydd/Android/2020-02-16/mParcelledData; int N = parcelledData.readInt(); if (N < 0) { return; } ArrayMapmap = mMap; try { parcelledData.readArrayMapInternal(map, N, mClassLoader); } catch (BadParcelableException e) { } finally { mMap = map; parcelledData.recycle(); mParcelledData = null; } } }

首先讀取一個int指示里面有多少對鍵值對。

/* package */ void readArrayMapInternal(ArrayMap outVal, int N, ClassLoader loader) { if (DEBUG_ARRAY_MAP) { RuntimeException here = new RuntimeException("here"); here.fillInStackTrace(); Log.d(TAG, "Reading " + N + " ArrayMap entries", here); } int startPos; while (N > 0) { if (DEBUG_ARRAY_MAP) startPos = dataPosition(); String key = readString(); Object value = https://www.solves.com.cn/it/cxkf/ydd/Android/2020-02-16/readValue(loader); outVal.Append(key, value); N--; } outVal.validate(); }

之后的每一對先是Key的字符串，然后是對應的Value。

public final Object readValue(ClassLoader loader) { int type = readInt(); switch (type) { case VAL_NULL: return null; case VAL_STRING: return readString(); case VAL_INTEGER: return readInt(); case VAL_MAP: return readHashMap(loader); case VAL_PARCELABLE: return readParcelable(loader); case VAL_SHORT: return (short) readInt(); case VAL_LONG: return readLong();

值內(nèi)部先是一個int指示值的類型，再存儲實際值。

當Bundle被寫入Parcel時：

void writeToParcelInner(Parcel parcel, int flags) { final ArrayMap map; synchronized (this) { if (mParcelledData != null) { if (mParcelledData =https://www.solves.com.cn/it/cxkf/ydd/Android/2020-02-16/= NoImagePreloadHolder.EMPTY_PARCEL) { parcel.writeInt(0); } else { int length = mParcelledData.dataSize(); parcel.writeInt(length); parcel.writeInt(BUNDLE_MAGIC); parcel.appendFrom(mParcelledData, 0, length); } return; } map = mMap; } }

先寫入Bundle總共的字節(jié)數(shù)，再寫入魔數(shù)，之后是指示鍵值對數(shù)的N，還有相應的鍵值對。

LaunchAnyWhere

弄明白Bundle的內(nèi)部結構后，先來看看漏洞觸發(fā)的地方：

這個流程是AppA在請求添加一個帳號：

AppA請求添加一個帳號

System_server接受到請求，找到可以提供帳號服務的AppB，并發(fā)起請求

AppB返回了一個Bundle給系統(tǒng)，系統(tǒng)把Bundle轉(zhuǎn)發(fā)給AppA

AccountManagerResponse在AppA的進程空間中調(diào)用startActivity(intent)調(diào)起一個Activity。

創(chuàng)作挑戰(zhàn)賽新人創(chuàng)作獎勵來咯，堅持創(chuàng)作打卡瓜分現(xiàn)金大獎

總結

以上是生活随笔為你收集整理的android 服务端 漏洞,安卓漏洞 CVE 2017-13287 复现详解-的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。