移动安全自动化测试框架MobSF多个版本静态分析接口存在的任意文件写入漏洞复现与分析

  • 内容
  • 相关

0×00. 引言

MobSF 一款智能化、一体化的开源移动应用(Android / iOS/Windows Phone)自动测试框架(详见:http://www.freebuf.com/terminal/141439.html),通过框架自带的Web接口上传待分析的移动应用包,就可以自动有效、快速地对应用APK 和IPA文件 及压缩的源代码进行审计分析, 并给出分析报告。在研究MobSF 框架使用的过程中,发现github的问题列表上有人曝出0.9.4.2 以下的版本web 上传接口对上传的apk包zip解压的时候存在漏洞可导致任意文件写入,引发潜在的代码执行漏洞,本文以0.9.3.7 Beta版本为例进行复现与分析,详文如下。

0×01. 复现

1.安装MobSF 0.9.3.7

需要事先安装好JDK1.7。

然后下载MobSF 0.9.3.7,解压,在其目录下执行pip install -r requirements.txt。

最后运行:python manage.py runserver 0.0.0.0:8080。

m1.png

2.漏洞测试

打开MobSF的web接口(基于Django开发):

2.png

选择事先准备好的漏洞测试验证压缩包,上传分析:

3.png

上图表示任意文件写入成功,因为系统处于开发模式下运行,故会自动重载,然后执行__init__.py中的命令(任意文件写入成功,下图,导致代码执行,上图)

4.png

查看/root/MobSF/StaticAnalyzer/__init__.py 确实被写入了内容:print ‘Webcome to FreeBuf!

0×02. 分析

先来了解一下MobSF的系统代码结构:

5.png

上传功能对应的接口/upload:

7.png

/upload接口对应的视图函数:

6.png

跟进MobSF.views.upload ,如下:

8.png

上传接口的主要功能就是校验文件,然后计算上传文件的MD5值,在响应包中指明即将跳转至静态扫描接口的完整路径,也即如下图所示接口:

9.png

开始分析/StaticAnalyzer/ 接口:

10.png

静态分析接口位于StaticAnalyzer 模块的android.static_analyzer.static_analyzer视图函数中,跟进:

11.png

最终回调用Unzip函数对上传的apk文件进行解压缩,问题就出在这个函数中,这函数位于MobSF安装路径/StaticAnalyzer/views目录下的shared_func.py 模块中(这个路径对于构造漏洞验证压缩包有用), 核心代码如下:

12.png

看到这里就知道为啥能任意文件写入了,虽然Django 框架中的request.FILES对象会对上传文件的文件名进行过滤处理,使得形如../../../的目录穿越失效(详见:http://www.freebuf.com/articles/web/183125.html),导致无法任意目录写入文件,但是request.FILES 不会对压缩包内的文件进行过滤,业务代码逻辑中也未对压缩包内的文件名进行过滤,从而导致漏洞的发生。

因为漏洞验证环境中,MobSF系统处于开发模式下,因为代码文件有变动,导致系统会自动重载,执行写入到StaticAnalyzer模块__init__.py文件的代码,也即执行:print ‘Webcome to FreeBuf!

如果写入到__init__.py中的代码是一段反弹shell代码,那么就存在任意代码执行导致获取系统shell的可能。

0×03. 不足与突破之策

0×02节中最终分析的结果是:导致任意代码执行的前提是:系统处理开发模式,写入代码后会导致系统重载触发代码执行。

不过在正式环境中,系统一般不会处于开发模式,所以被写入的代码不会被执行。

怎么提高恶意代码被执行的概率呢?

换个思路,不一定非要写入MobSF系统文件中,也可以写入到python 安装包中,比如pip中。

则会将恶意代码写入到pip工具的__init__.py 中,下次执行pip 安装模块的时候就会触发恶意代码执行。

如果MobSF系统运行的权限是root,直接写入/root/.ssh/authorized_keys 获取root shell 也是完全可能的。

0×04. 如何修复

看下官方是怎么修复的,看些bug fix 的commit:

13.png

直接用z.extract函数将zip压缩包中的文件解压缩保存至指定目录,为啥extract 就是安全的呢?看下官方文档说明:

14.png

注意红框中内容,其意思是说extract函数会自动将目录穿越符和UNC符号过滤掉,所以就没有任意文件写入啥事了。

0×05. 参考

https://docs.python.org/2/library/zipfile.html#zipfile.ZipFile.extract

https://ajinabraham.com/blog/exploiting-insecure-file-extraction-in-python-for-code-execution

*本文原创作者:ForrestX386

本文标签:

版权声明:若无特殊注明,本文皆为《w0ai1uo》原创,转载请保留文章出处。

本文链接:移动安全自动化测试框架MobSF多个版本静态分析接口存在的任意文件写入漏洞复现与分析 - https://www.w0ai1uo.org/411.html

发表评论

电子邮件地址不会被公开。 必填项已用*标注