Android Core Hacking For Fun and Owning

Transcription

1 Android Core Hacking For Fun and Owning Damien 1 MSI ESIEA 06 avril 2013

2 Plan Android Présentation Evolution du système Modèle de sécurité Malwares Abus de permissions C'est du root, man! Un nouveau monde, les ROMs custom 2

3 Plan (suite) Hooking barbare Java et «réflection» Migration d'activité La magie de dexmaker Le côté obscur Création d'applications système : mode d'emploi De nouveaux horizons Grepcode et le code source d'android 3

4 Plan (suite) Accéder au téléphone et à la localisation SMSDispatcher Cell IDs Manipulation des applications Installation d'une application Donner une permission à une application What else? Comment s'en protéger 4

5 Android 5

6 Android Utilisation 51,7% de PDM Présent sur une multitude de terminaux (HTC, Samsung, Motorola,...) Open source* SDK disponible Basé sur Java VM dalvik DEX 6

7 Android Versions disparates Version actuelle : 4.2 Noms de code Eclair (2.1) Froyo (2.2) Gingerbread (2.3) Honeycomb (3.0) Ice Cream Sandwich (4.0) Jelly Bean (4.2) 7

8 Android Modèle de sécurité Permissions Accès au carnet de contact Accès au téléphone... Cloisonnement des processus Basé sur les droits d'accès type Unix Validation des permissions par l'utilisateur 8

9 Malwares 9

10 Abus de permissions Malwares Abus de la vigilance de l'utilisateur Ex : Lampe torche qui requiert un accès aux contacts Exploitation d'applications tierces Applications constructeur (Samsung Galaxy S3) Permissions définies par les applications Pourquoi ça fonctionne? Méconnaissance du système de permission (obscur) 10

11 C'est du root, man! Malwares Exploitation de vulnérabilités logicielles Buffer overflows Rootage du téléphone Installation de rootkit, de trojan Prise de contrôle du smartphone Botnet Appels surtaxés SMS surtaxés 11

12 Malwares Roms «custom» Elles sont populaires Nécessite de rooter le smartphone Accès privilégié (su) Possibilité de développer des applications système Roms populaires Cyanogen Mod MIUI 12

13 Hooking Barbare (Krom!) 13

14 Java et Reflection Hooking Barbare Permet l'introspection Classes Types Méthodes & propriétés Disponible de base Permet d'accéder à des éléments privés Permet d'appeler des méthodes privées 14

15 Migration d'activité Hooking Barbare Créer une activité «proxy» Mode opératoire Instancier une activité hors système Migrer dans une activité existante Copie d'éléments privés Intercepter les appels de méthodes Redéfinir à la volée les méthodes (bytecode) 15

16 Hooking Barbare Dexmaker Bibliothèque de génération de bytecode Dalvik Librement téléchargeable Etape 1 : créer une activité 16

17 Hooking Barbare Etape 2 : utiliser l'instrumentation 17

18 Hooking Barbare Etape 3 : attacher l'activité au contexte 18

19 Le côté obscur 19

20 Le Côté Obscur Création d'application systèmes Accès aux composants internes Installées dans /system/app/ Signées Contraintes Compilation avec accès aux éléments internes Nécessité d'une ROM custom (certificat avec clef privée fournie) 20

21 Le Côté Obscur Comment créer une application système? Créer un android.jar qui contient les classes internes Patcher le plugin ADT pour accéder aux classes internes Créer une application Android utilisant le nouveau android.jar 21

22 Le Côté Obscur Créer un android.jar avec classes internes com.android.internal.* non définies dans le fichier android.jar du SDK Mode opératoire Reconstruire le framework.dex Extraire les classes internes Injecter ces classes dans android.jar 22

23 Le Côté Obscur Etape 1 : reconstruire le framework.jar Récupérer tous les fichiers.odex dans /system/framework/ à partir d'un émulateur Baksmali framework.odex Smali -o classes.dex out Dex2jar classes.dex Mv classes.dex_dex2jar.jar classes.zip 23

24 Le Côté Obscur Etape 2 : Injection des classes internes Renommer android.jar en android.zip et dézipper Dézipper classes.zip et copier toutes les classes dans le dossier android.zip dézippé Rezipper et renommer en android.jar 24

25 Le Côté Obscur Etape 3 : Patcher le plugin ADT Par défaut, le plugin interdit l'accès aux classes com.android.internal.* Localiser le jar du plugin ADT Modifier com/android/internal/* en com/android/internax/* avec éditeur hexa dans le plugin ADT 25

26 Le Côté Obscur Etape 4 : Déclarer une version négative Dupliquer une installation d'une plateforme Patcher le fichier android.jar Modifier le numéro de version dans build.properties Vérification dans Eclipse 26

27 De nouveaux horizons Le Côté Obscur Classes internes accessibles Composants internes à accès restreint (systèmes) Pilotage du téléphone Accès à des informations normalement inaccessibles 27

28 Grepcode et le Code Source d'android 28

29 Grepcode et le Code Source d'android Pour nous aider : Il faut avoir accès au code Java annoté d'android.jar Contient l'intégralité du code en ligne Permet de parcourir les classes Permet de rechercher des classes Analyse des références et définitions Un outil pratique, en ligne, et utile! 29

30 Grepcode et le Code Source d'android 30

31 Accéder au téléphone Et à sa Localisation 31

32 Accéder au Téléphone et à sa Localisation Accès au téléphone com.android.internal.telephony.phonefactory Nécessite de s'exécuter dans l'application com.android.phone Nécessite le user android.uid.system Cela se configure dans le manifeste android:shareduserid= "android.uid.system" android:process= "com.android.phone" 32

33 Accéder au Téléphone et à Sa SMSDispatcher Localisation Appeler geticcsmsinterfacemanager() Récupérer la propriété mdispatcher Envoi de SMS class 0 Appeler la méthode privée sendrawpdu() Implémenté dans ZeroSMS 33

34 Accéder au Téléphone et à sa Localisation Accès à la localisation Requiert une instance de Phone valide Appel à la méthode getneighboringcids() Récupération des Cids et localisation via API Google (Web) Pas de permission requises! ACCESS_FINE_LOCATION ACCESS_COARSE_LOCATION Fonctionne même avec le GPS et le Wifi désactivé =) 34

35 Accéder au Téléphone et à Sa Localisation Utilisation de l'api GLM de google Localisation à partir d'un CID/LAC Forcer le réseau 2G Récupérer les info de Cells Appeler le webservice et récupérer latitude et longitude Localiser =) 35

36 Manipulation des applications 36

37 Manipulation des Applications Possibilité d'installer une application Utilisation du PackageManager Installation via installpackage() Possibilité d'ajouter des permissions Ajout via grantpermission() Il y a moyen de contourner les vérifications faites sur les permissions 37

38 What else? 38

39 Comment s'en prémunir What else? Ne pas installer d'applications systèmes sans vérification Mettre à jour son système Ne pas rooter son smartphone Problème Mettre à jour et ne pas rooter sont généralement incompatibles Les opérateurs ne fournissent pas les MAJ des stock ROMs 39

40 Références Exploitation d'applications tierces CKAGES_on_galaxy_S3.html ZeroSMS Roms Custom Blackberry (pour le troll) ually-android 40