都是权限惹的祸 | 安卓恶意APP如何将其他APP中的私有数据搞到手

前言

下面要介绍的恶意软件可以读取Android手机中其他app的文件元数据，例如文件的名称、大小、以及最后修改日期等等。

如果文件名中含有敏感信息的标识，那么这款恶意app会将这份文件识别为敏感文件，并且还可以对其进行暴力破解攻击。

除此之外，它还可以通过分析其他app私有文件的大小和最后修改日期这两部分数据，来对其他app的使用情况进行实时监控。

实际上，从Android操作系统的诞生之日起，其文件系统中就一直存在着权限问题。当我将该漏洞提交给Google公司之后，Google将这一漏洞归类为了“低危漏洞”，并且给我提供了五百美元的漏洞奖金。

我写这篇文章的目的只是为了抛砖引玉，希望能给大家提供一个关于处理Android安全问题的思路。

问题分析

Android App的私有数据默认会保存在“/data/data/<packagename>”目录下，其他的App没有权限访问存储在该目录下的数据。接下来，我们用Youtube App来举个例子。

Android端的Youtube应用程序会将其私有数据保存在目录“/data/data/com.google.android.youtube/”之下。现在，让我们从根目录开始分析一下整个文件系统中各个文件的权限：

/data/drwxrwx--x system  system            2015-11-30 20:30data

我们可以从上面这部分信息中看到，在整个目录结构中，每一个文件目录都给设备用户提供了完整的执行权限（+x）。

而我们也知道，所谓的执行权限，就是允许设备用户可以直接运行目标文件的权限。如果将该权限赋予了某一文件目录的话，也就意味着用户只要知道文件夹下具体的文件名，可以直接通过文件名来访问该目录下的文件内容和元数据。

但此时还无法直接进入文件夹，以及访问该目录下的文件数据，因为这样的操作将需要相应的读取权限。

分析结果表明：其他的用户可以使用“cd”命令来进入这些目录，但是无法通过“ls”命令来获取该目录下的所有文件（没有读取权限）。当然了，用户也无法直接在该目录下创建新的文件，因为这将需要文件目录的写入权限（+w）：

u0_a84@mako:/data/data $ ls -la

但是，如上所述，如果我们能够提前获取到目标文件的名称，那么我们就可以列出该文件，并获取目标文件的元数据了。接下来，我们还是继续分析Youtube App。

在默认情况下，该App会在“/data/data/com.google.android.youtube/” 目录下的“shared_prefs”文件夹中生成一个名为“youtube.xml”的文件。虽然很多其他的App可以列出这个文件，但是由于权限的问题，所以这些App是无法读取这份文件的：

u0_a84@mako:/data/data/com.google.android.youtube/shared_prefs$ ls -la youtube.xml

正如上面这段信息所示，任何恶意App都可以做到下面这两件事情：

1. 通过“ls”命令来查看其他App的某些私有文件是否存在于文件系统中，但前提是要知道目标文件的文件名称； 2. 获取到这些私有文件的大小和最后修改日期；

这绝对是一个安全漏洞，因为我们可以通过以下两种不同的方式来利用这个漏洞：

1. 恶意App可以可以通过监视特定的私有文件来实时监控某些App的使用情况。比如说，如果恶意App想要知道Android设备的用户一般在何时打开Youtube客户端，那么它就可以定期检查Youtube客户端“shared_prefs”目录下的“youtube.xml”文件，并从获取到的文件大小和最后修改日期来判断用户的使用习惯。 因为当用户打开Youtube客户端时，这个文件将会被修改。因此，恶意App还可以通过这个漏洞来分析某些应用程序的使用情况。 2. 如果某个合法的App选择将敏感数据保存在一个文件中，而文件名称一看就知道是用来存储敏感数据的话，那么恶意App就可以选择对该文件进行暴力破解攻击。 比如说，Instagram和Facebook会使用用户ID（USERID）来标识某些敏感文件。不光是这两个App，很多其他的App也会采用这样的方式来处理敏感文件，这种情况我已经见过很多次了。

Instagram:/data/data/com.instagram.android/shared_prefs/<USERID>.xml

比如说Instagram，用户ID标识符（USERID）的范围在0-2500000000之间，所以恶意App可以通过暴力破解的手段直接在本地发动攻击。

恶意App可以利用下面这段Android代码来在后台对用户标识符进行暴力破解攻击，点击阅读原文查看详细代码。

当上面这段代码所加载的服务被开启之后，恶意App将会被关闭，在后台进行暴力破解攻击的任务就转交给了这个服务来进行。

我们在Nexus4手机上进行了攻击模拟，我们遍历了2500000000个可能的文件，总共花费了五天左右的时间，最终成功找到了正确的文件：

当用户感染了这一恶意软件之后，攻击者就可以通过这样的方式来获取到用户的网络服务ID，进而查找出用户的账号。

受影响的可能是Facebook、QQ、Youtube、以及微信这样的社交媒体类App，也有可能是金融类的银行App。

值得注意的是，Instagram还包含有一个ContentProvider（com.instagram.contentprovider.CurrentUserProvider），可以用来查询用户注册账号的USERID，但是默认情况下Instagram是禁止其他App使用这个ContentProvider的。

但是很明显，Instagram这样做的目的肯定不是为了将用户的敏感数据泄露给其他的App。

解决方案

这个问题其实也很好解决，我们只需要移除“/data/data/”目录下App文件夹的执行权限（+x），就可以解决这个问题了，这样也可以有效地防止攻击者通过“cd”命令和“ls”命令来获取文件目录下的文件基本信息。

修复前的状态：

u0_a84@mako:/data/data $ cd com.google.android.youtube

修复过程：

root@mako:/data/data # ls -la | grep youtube

修复后的状态：

u0_a84@mako:/data/data $ cd com.google.android.youtube

* 参考来源：arneswinnen，本文由Alpha_h4ck编译，未经许可禁止转载