ZipperDown漏洞简单分析及防护-低调大师

ZipperDown漏洞简单分析及防护

2018-05-17 567

0x00 序

盘古实验室在针对不同客户的iOS应用安全审计过程中,发现了一类通用的安全漏洞。该漏洞被发布在了[1]。经过盘古的分析,确认微博、陌陌、网易云音乐、QQ音乐、快手等流行应用受影响,另外还有大约10%的iOS应用应用可能受此漏洞的影响。

根据漏洞名称大概可以猜测出与zip文件有关,查询iOS上与解压相关资料可以看到,iOS并没有提供官方的unzip API函数,基本上现有的iOS app都是使用的SSZipArchive或ziparchive这两个第三方库来实现解压的功能。随后根据盘古在SSZipArchive项目的issue中提交的漏洞报告[2]可以大概确定漏洞原理是:使用第三方zip库在解压zip文件过程中没有考虑文件名中带有”../../”这样的情况,从而产生了目录穿越漏洞。因此,如果一个iOS应用下载了恶意的zip文件,并且使用ziparchive库解压,利用漏洞可以做到app container目录下的任意文件覆盖,如果覆盖了应用重要的文件会造成应用崩溃(DOS),如果覆盖了app的hotpatch文件则会造成代码执行。

0x01 构造恶意的ZIP文件(POC)

(因为很多app并没有修复该漏洞,因此POC暂不公布,想要了解细节的同学可以联系阿里巴巴SRC)

0x02 复现攻击

正常情况下,应用会在启动或者某些情况下会执行hotpatch的js脚本。在我们用来demo的应用中需要点击一下”Run Hotpatch”来运行js脚本:

点击完后,应用会加载自己目录下的“/Library/Caches/hotpatch/patch.js”并执行:

随后我们点击“Download and Unzip”,应用会通过http下载一个zip包到本地,并使用SSZipArchive库进行解压,如果我们采用DNS劫持将正常的zip包替换为恶意的zip包的话,虽然程序会将zip解压到download目录,但是我们成功利用目录穿越漏洞,让patch.js解压到了如下位置:/Library/Caches/download/../hotpatch/patch.js,并成功将正常的patch.js给替换成了恶意的patch.js:

演示DEMO:https://v.qq.com/x/page/a0655dtirv7.html

0x03 防御方案

最完整的解决方案是对SSZipArchive库进行修补,在解压函数:

+ (BOOL)unzipFileAtPath:(NSString *)path toDestination:(NSString *)destination preserveAttributes:(BOOL)preserveAttributes overwrite:(BOOL)overwrite nestedZipLevel:(NSInteger)nestedZipLevel password:(nullable NSString *)password error:(NSError **)error delegate:(nullable id<SSZipArchiveDelegate>)delegate progressHandler:(void (^_Nullable)(NSString *entry, unz_file_info zipInfo, long entryNumber, long total))progressHandler completionHandler:(void (^_Nullable)(NSString *path, BOOL succeeded, NSError * _Nullable error))completionHandler

中对最终解压的strPath进行检测,如果出现可能造成目录穿越的”../”字符串时进行拦截。

另外,Hotpatch包除了传输过程中要加密外,在本地也需要加密保存,并且运行前做完整性校验。虽然漏洞覆盖某些重要的文件可能会造成拒绝服务攻击,但至少不会造成代码执行。

0x04 总结

正如JSPatch的作者bang所讲的:“攻击条件:1.APP用了ZipArchive 2.原APP下发的某个zip包传输过程没加密,zip包也没加密 3.原APP使用了JSPatch或其他执行引擎,且本地脚本没有加密,只要把脚本放指定目录即可执行 4.用户连上第三方wifi遭受攻击。恰好视频中的微博满足这些苛刻条件。危害很小,能被攻击的APP也很少。”

因此,能够造成代码执行的应用可能没有想象中那么多,但黑客依然有可能利用任意文件覆盖的漏洞能力对应用进行攻击,造成意想不到的效果。

0x05 参考资料

蒸米,白小龙 @ 阿里基础安全研究

原文发布时间为：2018-05-18

本文来自云栖社区合作伙伴“嘶吼网”，了解相关信息可以关注“嘶吼网”。

微信关注我们

原文链接：https://yq.aliyun.com/articles/594228

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

关于 AutoCompleteTextView 不输入文字就显示下拉

由于项目要做一个带有下拉提示的输入框，第一时间就想到了AutoCompleteTextView。但是需求和控件还是有一点出入，公司的需求为：点击输入框即可显示提示数据的数据。我们知道 AutoCompleteTextView 有一个属性是 android:completionThreshold ，在代码中设置为 setThreshold(int)) ，但是默认情况下为输入框输入 2 个字符的时候才会开始提示，最低可以把这两个属性调整为 1，即输入一个字就进行提示。在查找大量的资料之后我采用了如下的方式进行操作： public class MainActivity extends AppCompatActivity implements View.OnFocusChangeListener { @Override protected void onCreate(Bundle savedInstanceState) { super.onCreate (savedInstanceState); setContentView (R.layout.activity_main); AutoCo...

2018-05-18

683

之前我有讲过一篇打包https://www.jianshu.com/p/cef6dbfb68dc，但是讲真这也只是大概的了解一个打包的过程和怎样使用美团的框架进行很多个渠道的快速打包。但是真正的实际开发中的多渠道打包情况肯定不会这么简单，如果你的打包仅仅这么简单，那可能说明你的项目有点Low。一.一些重要的概念讲之前我想先回顾和补充一些重要的概念，首先上一篇说过buildTypes就是构建的类型，一般有debug和release，我个人是没在这里面定义过除了这两个以外其他的，然后就是productFlavors，这个叫做产品配料的就是放我们的渠道包，也就是说每个渠道包可以称为flavor 然后还有一个比较重要的概念是BuildVariant，平时叫它构建变体，这名字是感觉怪怪的，我个人认为每一个最终产出的包就是一个变体，每个变体称为Variant，构建变体就是把配置变成最终包的过程。比如说我这里自己写的： buildTypes { release { minifyEnabled false proguardFiles getDefaultProguardFile('proguar...

2018-05-18

597

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。