mirror of
https://github.com/HackTricks-wiki/hacktricks.git
synced 2025-10-10 18:36:50 +00:00
Translated ['src/mobile-pentesting/ios-pentesting/ios-universal-links.md
This commit is contained in:
Translator
parent
1989103edc
commit
adaba69ecd
@ -20,19 +20,31 @@ Universal links 为用户提供了 **无缝重定向** 的体验，通过直接
|
||||
```
|
||||
对于更全面的见解，请参考[归档的 Apple 开发者文档](https://developer.apple.com/library/archive/documentation/General/Conceptual/AppSearch/UniversalLinks.html#//apple_ref/doc/uid/TP40016308-CH12-SW2)。
|
||||
|
||||
如果使用编译的应用程序，可以按照[本指南](extracting-entitlements-from-compiled-application.md)中概述的方法提取权限。
|
||||
如果使用的是已编译的应用程序，可以按照[本指南](extracting-entitlements-from-compiled-application.md)中概述的方法提取权限。
|
||||
|
||||
### **检索 Apple App Site Association 文件**
|
||||
|
||||
`apple-app-site-association` 文件应从服务器上使用权限中指定的域名进行检索。确保该文件可以通过 HTTPS 直接访问，地址为 `https://<domain>/apple-app-site-association`。像[Apple App Site Association (AASA) 验证器](https://branch.io/resources/aasa-validator/)这样的工具可以帮助完成此过程。
|
||||
`apple-app-site-association` 文件应从服务器上使用权限中指定的域名进行检索。确保该文件可以通过 HTTPS 直接访问，地址为 `https://<domain>/apple-app-site-association`（或 `/.well-known/apple-app-site-association`）。像[Apple App Site Association (AASA) 验证器](https://branch.io/resources/aasa-validator/)这样的工具可以帮助完成此过程。
|
||||
|
||||
> **从 macOS/Linux shell 快速枚举**
|
||||
>
|
||||
> ```bash
|
||||
> # 假设您已将权限提取到 ent.xml
|
||||
> doms=$(plutil -extract com.apple.developer.associated-domains xml1 -o - ent.xml | \
|
||||
> grep -oE 'applinks:[^<]+' | cut -d':' -f2)
|
||||
> for d in $doms; do
|
||||
> echo "[+] Fetching AASA for $d";
|
||||
> curl -sk "https://$d/.well-known/apple-app-site-association" | jq '.'
|
||||
> done
|
||||
> ```
|
||||
|
||||
### **在应用中处理 Universal Links**
|
||||
|
||||
应用必须实现特定的方法以正确处理 universal links。需要关注的主要方法是[`application:continueUserActivity:restorationHandler:`](https://developer.apple.com/documentation/uikit/uiapplicationdelegate/1623072-application)。处理的 URL 的方案必须是 HTTP 或 HTTPS，其他方案将不被支持。
|
||||
应用必须实现特定方法以正确处理 universal links。需要关注的主要方法是[`application:continueUserActivity:restorationHandler:`](https://developer.apple.com/documentation/uikit/uiapplicationdelegate/1623072-application)。处理的 URL 的方案必须是 HTTP 或 HTTPS，其他方案将不被支持。
|
||||
|
||||
#### **验证数据处理方法**
|
||||
|
||||
当一个 universal link 打开应用时，一个 `NSUserActivity` 对象会与 URL 一起传递给应用。在处理此 URL 之前，验证和清理它以防止安全风险是至关重要的。以下是一个用 Swift 演示该过程的示例：
|
||||
当一个 universal link 打开应用时，一个 `NSUserActivity` 对象会与 URL 一起传递给应用。在处理此 URL 之前，验证和清理它以防止安全风险是至关重要的。以下是一个在 Swift 中演示该过程的示例：
|
||||
```swift
|
||||
func application(_ application: UIApplication, continue userActivity: NSUserActivity,
|
||||
restorationHandler: @escaping ([UIUserActivityRestoring]?) -> Void) -> Bool {
|
||||
@ -44,7 +56,7 @@ application.open(url, options: [:], completionHandler: nil)
|
||||
return true
|
||||
}
|
||||
```
|
||||
URLs 应该被仔细解析和验证，特别是当它们包含参数时，以防止潜在的欺骗或格式错误的数据。`NSURLComponents` API 对此非常有用，如下所示：
|
||||
URLs 应该被仔细解析和验证，特别是当它们包含参数时，以防止潜在的欺骗或格式错误的数据。`NSURLComponents` API 对此目的非常有用，如下所示：
|
||||
```swift
|
||||
func application(_ application: UIApplication,
|
||||
continue userActivity: NSUserActivity,
|
||||
@ -70,15 +82,36 @@ return false
|
||||
}
|
||||
}
|
||||
```
|
||||
通过 **勤奋的配置和验证**，开发人员可以确保通用链接在增强用户体验的同时，维护安全和隐私标准。
|
||||
通过 **勤奋的配置和验证**，开发者可以确保通用链接在增强用户体验的同时，维护安全和隐私标准。
|
||||
|
||||
## 常见漏洞与渗透测试检查
|
||||
|
||||
| # | 弱点 | 测试方法 | 利用/影响 |
|
||||
|---|----------|------------|-----------------------|
|
||||
| 1 | **AASA 文件中的 `paths` / `components` 过于宽泛**（例如 `"/": "*"` 或通配符如 `"/a/*"`）。 | • 检查下载的 AASA，寻找 `*`、尾部斜杠或 `{"?": …}` 规则。<br>• 尝试请求仍符合规则的未知资源（`https://domain.com/a/evil?_p_dp=1`）。 | 通用链接劫持：注册相同域名的恶意 iOS 应用可以声称所有这些链接并呈现钓鱼 UI。一个现实世界的例子是 2025 年 5 月的 Temu.com 漏洞赏金报告，其中攻击者可以将任何 `/a/*` 路径重定向到他们自己的应用。 |
|
||||
| 2 | **缺少深层链接路径的服务器端验证**。 | 在识别允许的路径后，向不存在的资源发出 `curl`/Burp 请求并观察 HTTP 状态码。任何不是 `404` 的状态（例如 200/302）都是可疑的。 | 攻击者可以在允许的路径后托管任意内容，并通过合法域名提供，从而提高钓鱼或会话令牌盗窃的成功率。 |
|
||||
| 3 | **应用端 URL 处理未进行方案/主机白名单**（CVE-2024-10474 – Mozilla Focus < 132）。 | 查找直接的 `openURL:`/`open(_:options:)` 调用或转发任意 URL 的 JavaScript 桥接。 | 内部页面可以走私 `myapp://` 或 `https://` URL，绕过浏览器的 URL 栏安全检查，导致欺骗或意外的特权操作。 |
|
||||
| 4 | **在权限中使用通配符子域**（`*.example.com`）。 | 在权限中 `grep` 查找 `*.`。 | 如果任何子域被接管（例如通过未使用的 S3 存储桶），攻击者将自动获得通用链接绑定。 |
|
||||
|
||||
### 快速检查清单
|
||||
|
||||
* [ ] 提取权限并列举每个 `applinks:` 条目。
|
||||
* [ ] 下载每个条目的 AASA 并审核通配符。
|
||||
* [ ] 验证 Web 服务器对未定义路径返回 **404**。
|
||||
* [ ] 在二进制文件中确认 **仅** 处理受信任的主机/方案。
|
||||
* [ ] 如果应用使用较新的 `components` 语法（iOS 11+），模糊查询参数规则（`{"?":{…}}`）。
|
||||
|
||||
## 工具
|
||||
|
||||
- [GetUniversal.link](https://getuniversal.link/): 帮助简化应用程序的通用链接和 AASA 文件的测试和管理。只需输入您的域名以验证 AASA 文件的完整性，或使用自定义仪表板轻松测试链接行为。该工具还帮助您确定 Apple 下次何时索引您的 AASA 文件。
|
||||
- [GetUniversal.link](https://getuniversal.link/): 帮助简化应用的通用链接和 AASA 文件的测试和管理。只需输入您的域名以验证 AASA 文件的完整性，或使用自定义仪表板轻松测试链接行为。该工具还帮助您确定 Apple 下次何时索引您的 AASA 文件。
|
||||
- [Knil](https://github.com/ethanhuang13/knil): 开源 iOS 工具，获取、解析并让您在设备上直接 **点击测试** 每个由域声明的通用链接。
|
||||
- [universal-link-validator](https://github.com/urbangems/universal-link-validator): CLI / Web 验证器，执行严格的 AASA 合规性检查并突出危险的通配符。
|
||||
|
||||
## 参考
|
||||
## 参考文献
|
||||
|
||||
- [https://mas.owasp.org/MASTG/tests/ios/MASVS-PLATFORM/MASTG-TEST-0070/#static-analysis](https://mas.owasp.org/MASTG/tests/ios/MASVS-PLATFORM/MASTG-TEST-0070/#static-analysis)
|
||||
- [https://mobile-security.gitbook.io/mobile-security-testing-guide/ios-testing-guide/0x06h-testing-platform-interaction#testing-object-persistence-mstg-platform-8](https://mobile-security.gitbook.io/mobile-security-testing-guide/ios-testing-guide/0x06h-testing-platform-interaction#testing-object-persistence-mstg-platform-8)
|
||||
- [https://medium.com/@m.habibgpi/universal-link-hijacking-via-misconfigured-aasa-file-on-temu-com-eadfcb745e4e](https://medium.com/@m.habibgpi/universal-link-hijacking-via-misconfigured-aasa-file-on-temu-com-eadfcb745e4e)
|
||||
- [https://nvd.nist.gov/vuln/detail/CVE-2024-10474](https://nvd.nist.gov/vuln/detail/CVE-2024-10474)
|
||||
|
||||
{{#include ../../banners/hacktricks-training.md}}
|
||||
|
||||
Loading…
x
Reference in New Issue
Block a user