diff --git a/src/mobile-pentesting/android-app-pentesting/drozer-tutorial/exploiting-content-providers.md b/src/mobile-pentesting/android-app-pentesting/drozer-tutorial/exploiting-content-providers.md index 47e75f0d4..2e5922193 100644 --- a/src/mobile-pentesting/android-app-pentesting/drozer-tutorial/exploiting-content-providers.md +++ b/src/mobile-pentesting/android-app-pentesting/drozer-tutorial/exploiting-content-providers.md @@ -12,7 +12,7 @@ _Manifest.xml_ dosyasında, içerik sağlayıcının beyanı gereklidir. Örneğ ``` -`content://com.mwr.example.sieve.DBContentProvider/Keys` erişmek için `READ_KEYS` izni gereklidir. Geliştiricinin yaptığı bir hata nedeniyle `/Keys`'in korunduğu, ancak `/Keys/`'in korunmadığı ilginçtir. +`content://com.mwr.example.sieve.DBContentProvider/Keys` erişmek için `READ_KEYS` izni gereklidir. Geliştiricinin yaptığı bir hata nedeniyle `/Keys` güvence altına alınmış, ancak `/Keys/` olarak ilan edildiği için aşağıdaki bölümdeki yolun erişilebilir olduğunu belirtmek ilginçtir. **Belki özel verilere erişebilir veya bazı zayıflıkları (SQL Injection veya Path Traversal) istismar edebilirsiniz.** @@ -65,9 +65,9 @@ Sorgu şöyle olacak: `content://name.of.package.class/declared_name` ## **Veritabanı destekli İçerik Sağlayıcılar** Muhtemelen çoğu İçerik Sağlayıcı, bir **veritabanı** için **arayüz** olarak kullanılmaktadır. Bu nedenle, ona erişebilirseniz, bilgileri **çıkarma, güncelleme, ekleme ve silme** işlemlerini yapabilirsiniz.\ -**Hassas bilgilere** erişip erişemediğinizi kontrol edin veya **yetkilendirme** mekanizmalarını atlatmak için değiştirmeyi deneyin. +**Hassas bilgilere** erişip erişemeyeceğinizi kontrol edin veya **yetkilendirme** mekanizmalarını atlatmak için değiştirmeyi deneyin. -Content Provider kodunu kontrol ederken, _query, insert, update ve delete_ gibi adlandırılmış **fonksiyonları** da **gözden geçirin**: +İçerik Sağlayıcının kodunu kontrol ederken, _query, insert, update ve delete_ gibi adlandırılmış **fonksiyonları** da **gözden geçirin**: ![](<../../../images/image (887).png>) @@ -87,7 +87,7 @@ email: incognitoguy50@gmail.com ``` ### İçerik Ekleme -Veritabanını sorgulayarak **sütunların adlarını** öğreneceksiniz, ardından veritabanına veri ekleyebilirsiniz: +Veritabanını sorgulayarak **sütunların adını** öğreneceksiniz, ardından veritabanına veri ekleyebilirsiniz: ![](<../../../images/image (98).png>) @@ -97,7 +97,7 @@ _Ekleme ve güncelleme işlemlerinde --string ile string, --double ile double, - ### İçeriği Güncelleme -Sütunların adlarını bildiğinizde **girişleri** de **değiştirebilirsiniz**: +Sütunların adını bildiğinizde **girişleri** de **değiştirebilirsiniz**: ![](<../../../images/image (780).png>) @@ -107,8 +107,8 @@ Sütunların adlarını bildiğinizde **girişleri** de **değiştirebilirsiniz* ### **SQL Enjeksiyonu** -SQL enjeksiyonunu **(SQLite)** test etmek, içerik sağlayıcısına geçirilen **projeksiyon** ve **seçim alanlarını** manipüle ederek basittir.\ -İçerik Sağlayıcıyı sorgularken bilgi aramak için 2 ilginç argüman vardır: _--selection_ ve _--projection_: +SQL enjeksiyonunu **(SQLite)** test etmek, içerik sağlayıcıya geçirilen **projection** ve **selection fields**'ı manipüle ederek basittir.\ +Content Provider'ı sorgularken bilgi aramak için 2 ilginç argüman vardır: _--selection_ ve _--projection_: ![](<../../../images/image (784).png>) @@ -160,7 +160,7 @@ dz> run app.provider.read content://com.mwr.example.sieve.FileBackupProvider/etc ``` ### **Path Traversal** -Eğer dosyalara erişebiliyorsanız, Path Traversal'ı kötüye kullanmayı deneyebilirsiniz (bu durumda bu gerekli değil ama "_../_" ve benzeri hileleri kullanmayı deneyebilirsiniz). +Eğer dosyalara erişiminiz varsa, Path Traversal'ı kötüye kullanmayı deneyebilirsiniz (bu durumda bu gerekli değil ama "_../_" ve benzeri hileleri kullanmayı deneyebilirsiniz). ``` dz> run app.provider.read content://com.mwr.example.sieve.FileBackupProvider/etc/hosts 127.0.0.1 localhost @@ -173,10 +173,61 @@ Vulnerable Providers: content://com.mwr.example.sieve.FileBackupProvider/ content://com.mwr.example.sieve.FileBackupProvider ``` +## 2023-2025 Güncellemeleri ve Modern İpuçları + +### Drozer 3.x (Python 3) çıktı + +WithSecure, 2022'de drozer'in bakımını yeniden üstlendi ve framework'ü **Python 3**'e (en son **3.1.0 – Nisan 2024**) taşıdı. Uyumluluk düzeltmelerinin yanı sıra, Content Providers ile çalışırken özellikle yararlı olan yeni modüller şunlardır: + +* `scanner.provider.exported` – yalnızca `android:exported="true"` olan sağlayıcıları listele. +* `app.provider.grant` – `grantUriPermission()`'ı otomatik olarak çağırarak Android 12+'de `FLAG_GRANT_READ_URI_PERMISSION` / `FLAG_GRANT_WRITE_URI_PERMISSION` bekleyen sağlayıcılarla iletişim kurmanı sağlar. +* Android 11+ üzerindeki dosya tabanlı sağlayıcıların hala erişilebilmesi için **Scoped Storage**'ın daha iyi yönetimi. + +Yükseltme (host & agent): +```bash +pipx install --force "git+https://github.com/WithSecureLabs/drozer@v3.1.0" +adb install drozer-agent-3.1.0.apk +``` +### Yerleşik `cmd content` yardımcı programını kullanma (ADB ≥ 8.0) + +Tüm modern Android cihazları, **herhangi bir ajan yüklemeden** sağlayıcıları sorgulayıp güncelleyebilen bir CLI ile birlikte gelir: +```bash +adb shell cmd content query --uri content://com.test.provider/items/ +adb shell cmd content update --uri content://com.test.provider/items/1 \ +--bind price:d:1337 +adb shell cmd content call --uri content://com.test.provider \ +--method evilMethod --arg 'foo' +``` +`run-as ` veya köklü bir shell ile birleştirerek yalnızca dahili sağlayıcıları test edin. + +### İçerik Sağlayıcılarını Suistimal Eden Son Gerçek Dünya CVE'leri + +| CVE | Yıl | Bileşen | Hata sınıfı | Etki | +|-----|------|-----------|-----------|--------| +| CVE-2024-43089 | 2024 | MediaProvider | `openFile()`'da yol geçişi | Herhangi bir uygulamanın özel depolamasından rastgele dosya okuma | +| CVE-2023-35670 | 2023 | MediaProvider | Yol geçişi | Bilgi ifşası | + +Zayıf bir derlemede CVE-2024-43089'u yeniden oluşturun: +```bash +adb shell cmd content read \ +--uri content://media/external_primary/file/../../data/data/com.target/shared_prefs/foo.xml +``` +### API 30+ için Güçlendirme Kontrol Listesi + +* Sağlayıcı **kamusal** olmalı değilse `android:exported="false"` olarak bildirin – API 31'den itibaren bu özellik zorunludur. +* Tüm sağlayıcıyı dışa aktarmak yerine **izinleri** uygulayın ve/veya `android:grantUriPermissions="true"` kullanın. +* İzin verilen `projection`, `selection` ve `sortOrder` argümanlarını beyaz listeye alın (örneğin, `SQLiteQueryBuilder.setProjectionMap` ile sorgular oluşturun). +* `openFile()` içinde istenen yolu (`FileUtils`) standart hale getirin ve geçişi önlemek için `..` dizilerini reddedin. +* Dosyaları açarken **Storage Access Framework** veya bir `FileProvider` kullanmayı tercih edin. + +Son Android sürümlerindeki bu değişiklikler, birçok eski istismar ilkesinin hala çalıştığı anlamına geliyor, ancak güncellenmiş drozer modülleri veya `cmd content` yardımcı programının otomatik olarak uygulayabileceği ek bayraklar/izinler gerektiriyor. + ## Referanslar - [https://www.tutorialspoint.com/android/android_content_providers.htm](https://www.tutorialspoint.com/android/android_content_providers.htm) - [https://manifestsecurity.com/android-application-security-part-15/](https://manifestsecurity.com/android-application-security-part-15/) - [https://labs.withsecure.com/content/dam/labs/docs/mwri-drozer-user-guide-2015-03-23.pdf](https://labs.withsecure.com/content/dam/labs/docs/mwri-drozer-user-guide-2015-03-23.pdf) +- [https://github.com/WithSecureLabs/drozer/releases/tag/3.1.0](https://github.com/WithSecureLabs/drozer/releases/tag/3.1.0) +- [https://source.android.com/security/bulletin/2024-07-01](https://source.android.com/security/bulletin/2024-07-01) {{#include ../../../banners/hacktricks-training.md}} diff --git a/theme/ai.js b/theme/ai.js index 68d091923..a376d751b 100644 --- a/theme/ai.js +++ b/theme/ai.js @@ -4,9 +4,10 @@ (() => { - const KEY = 'htSummerDiscountDismissed'; - const IMG = '/images/discount.jpeg'; - const TXT = 'HT Summer Discount, Last Days!'; + const KEY = 'htSummerDiscountsDismissed'; + const IMG = '/images/discount.jpeg'; + const TXT = 'Click here for HT Summer Discounts, Last Days!'; + const URL = 'https://training.hacktricks.xyz'; /* Stop if user already dismissed */ if (localStorage.getItem(KEY) === 'true') return; @@ -32,13 +33,37 @@ display: flex; flex-direction: column; align-items: stretch; `); - /* --- Title bar (separate, over image) --- */ + /* --- Title bar (link + close) --- */ const titleBar = $('div', ` - padding: 1rem; text-align: center; + position: relative; + padding: 1rem 2.5rem 1rem 1rem; /* room for the close button */ + text-align: center; background: #222; color: #fff; font-size: 1.3rem; font-weight: 700; `); - titleBar.textContent = TXT; + + const link = $('a', ` + color: inherit; + text-decoration: none; + display: block; + `); + link.href = URL; + link.target = '_blank'; + link.rel = 'noopener noreferrer'; + link.textContent = TXT; + titleBar.appendChild(link); + + /* Close "X" (no persistence) */ + const closeBtn = $('button', ` + position: absolute; top: .25rem; right: .5rem; + background: transparent; border: none; + color: #fff; font-size: 1.4rem; line-height: 1; + cursor: pointer; padding: 0; margin: 0; + `); + closeBtn.setAttribute('aria-label', 'Close'); + closeBtn.textContent = '✕'; + closeBtn.onclick = () => overlay.remove(); + titleBar.appendChild(closeBtn); /* --- Image --- */ const img = $('img'); @@ -62,14 +87,15 @@ modal.append(titleBar, img, label); overlay.appendChild(modal); - (document.readyState === 'loading' - ? () => document.addEventListener('DOMContentLoaded', () => document.body.appendChild(overlay), { once: true }) - : () => document.body.appendChild(overlay))(); + if (document.readyState === 'loading') { + document.addEventListener('DOMContentLoaded', () => document.body.appendChild(overlay), { once: true }); + } else { + document.body.appendChild(overlay); + } })(); - /** * HackTricks AI Chat Widget v1.16 – resizable sidebar * ---------------------------------------------------