From e86d7401dc5e65216052673afdca92899c3389d5 Mon Sep 17 00:00:00 2001 From: Translator Date: Wed, 16 Jul 2025 12:10:27 +0000 Subject: [PATCH] Translated ['src/mobile-pentesting/android-app-pentesting/drozer-tutoria --- .../exploiting-content-providers.md | 58 ++++++++++++++++++- theme/ai.js | 46 +++++++++++---- 2 files changed, 91 insertions(+), 13 deletions(-) diff --git a/src/mobile-pentesting/android-app-pentesting/drozer-tutorial/exploiting-content-providers.md b/src/mobile-pentesting/android-app-pentesting/drozer-tutorial/exploiting-content-providers.md index 8cbdb0fd8..30e3069b6 100644 --- a/src/mobile-pentesting/android-app-pentesting/drozer-tutorial/exploiting-content-providers.md +++ b/src/mobile-pentesting/android-app-pentesting/drozer-tutorial/exploiting-content-providers.md @@ -4,7 +4,7 @@ ## Intro -Os dados são **fornecidos de um aplicativo para outros** sob solicitação por um componente conhecido como **content provider**. Essas solicitações são gerenciadas através dos métodos da **classe ContentResolver**. Os content providers podem armazenar seus dados em vários locais, como um **banco de dados**, **arquivos** ou através de uma **rede**. +Os dados são **fornecidos de um aplicativo para outros** mediante solicitação por um componente conhecido como **content provider**. Essas solicitações são gerenciadas através dos métodos da **ContentResolver class**. Os content providers podem armazenar seus dados em vários locais, como um **banco de dados**, **arquivos** ou através de uma **rede**. No arquivo _Manifest.xml_, a declaração do content provider é necessária. Por exemplo: ```xml @@ -12,7 +12,7 @@ No arquivo _Manifest.xml_, a declaração do content provider é necessária. Po ``` -Para acessar `content://com.mwr.example.sieve.DBContentProvider/Keys`, a permissão `READ_KEYS` é necessária. É interessante notar que o caminho `/Keys/` é acessível na seção seguinte, que não está protegida devido a um erro do desenvolvedor, que protegeu `/Keys`, mas declarou `/Keys/`. +Para acessar `content://com.mwr.example.sieve.DBContentProvider/Keys`, a permissão `READ_KEYS` é necessária. É interessante notar que o caminho `/Keys/` é acessível na seção seguinte, que não está protegida devido a um erro do desenvolvedor, que protegeu `/Keys` mas declarou `/Keys/`. **Talvez você possa acessar dados privados ou explorar alguma vulnerabilidade (SQL Injection ou Path Traversal).** @@ -64,7 +64,7 @@ A consulta será como: `content://name.of.package.class/declared_name` ## **Content Providers baseados em Banco de Dados** -Provavelmente, a maioria dos Content Providers é usada como **interface** para um **banco de dados**. Portanto, se você puder acessá-lo, poderá **extrair, atualizar, inserir e excluir** informações.\ +Provavelmente, a maioria dos Content Providers é usada como **interface** para um **banco de dados**. Portanto, se você puder acessá-lo, poderá **extrair, atualizar, inserir e deletar** informações.\ Verifique se você pode **acessar informações sensíveis** ou tente alterá-las para **contornar mecanismos de autorização**. Ao verificar o código do Content Provider, **procure** também por **funções** nomeadas como: _query, insert, update e delete_: @@ -173,10 +173,62 @@ Vulnerable Providers: content://com.mwr.example.sieve.FileBackupProvider/ content://com.mwr.example.sieve.FileBackupProvider ``` +## 2023-2025 Atualizações & Dicas Modernas + +### Drozer 3.x (Python 3) está disponível + +A WithSecure retomou a manutenção do drozer em 2022 e portou o framework para **Python 3** (último **3.1.0 – Abril de 2024**). +Além de correções de compatibilidade, novos módulos que são particularmente úteis ao trabalhar com Content Providers incluem: + +* `scanner.provider.exported` – lista apenas provedores com `android:exported="true"`. +* `app.provider.grant` – chama automaticamente `grantUriPermission()` para que você possa se comunicar com provedores que esperam `FLAG_GRANT_READ_URI_PERMISSION` / `FLAG_GRANT_WRITE_URI_PERMISSION` no Android 12+. +* Melhor manuseio de **Scoped Storage** para que provedores baseados em arquivos no Android 11+ ainda possam ser acessados. + +Atualize (host & agente): +```bash +pipx install --force "git+https://github.com/WithSecureLabs/drozer@v3.1.0" +adb install drozer-agent-3.1.0.apk +``` +### Usando o helper `cmd content` embutido (ADB ≥ 8.0) + +Todos os dispositivos Android modernos vêm com um CLI que pode consultar/atualizar provedores **sem instalar nenhum agente**: +```bash +adb shell cmd content query --uri content://com.test.provider/items/ +adb shell cmd content update --uri content://com.test.provider/items/1 \ +--bind price:d:1337 +adb shell cmd content call --uri content://com.test.provider \ +--method evilMethod --arg 'foo' +``` +Combine com `run-as ` ou um shell com root para testar provedores apenas internos. + +### CVEs recentes do mundo real que abusaram de Provedores de Conteúdo + +| CVE | Ano | Componente | Classe de bug | Impacto | +|-----|------|-----------|---------------|--------| +| CVE-2024-43089 | 2024 | MediaProvider | Traversal de caminho em `openFile()` | Leitura de arquivo arbitrário do armazenamento privado de qualquer app | +| CVE-2023-35670 | 2023 | MediaProvider | Traversal de caminho | Divulgação de informações | + +Recrie CVE-2024-43089 em uma build vulnerável: +```bash +adb shell cmd content read \ +--uri content://media/external_primary/file/../../data/data/com.target/shared_prefs/foo.xml +``` +### Lista de verificação de hardening para API 30+ + +* Declare `android:exported="false"` a menos que o provedor **deva** ser público – a partir da API 31, o atributo é obrigatório. +* Aplique **permissões** e/ou `android:grantUriPermissions="true"` em vez de exportar todo o provedor. +* Liste os argumentos permitidos de `projection`, `selection` e `sortOrder` (por exemplo, construa consultas com `SQLiteQueryBuilder.setProjectionMap`). +* No `openFile()`, canonicize o caminho solicitado (`FileUtils`) e rejeite sequências `..` para evitar travessia. +* Ao expor arquivos, prefira **Storage Access Framework** ou um `FileProvider`. + +Essas mudanças nas versões recentes do Android significam que muitos primitivos de exploração legados ainda funcionam, mas requerem flags/permissões adicionais que os módulos drozer atualizados ou o helper `cmd content` podem aplicar automaticamente. + ## Referências - [https://www.tutorialspoint.com/android/android_content_providers.htm](https://www.tutorialspoint.com/android/android_content_providers.htm) - [https://manifestsecurity.com/android-application-security-part-15/](https://manifestsecurity.com/android-application-security-part-15/) - [https://labs.withsecure.com/content/dam/labs/docs/mwri-drozer-user-guide-2015-03-23.pdf](https://labs.withsecure.com/content/dam/labs/docs/mwri-drozer-user-guide-2015-03-23.pdf) +- [https://github.com/WithSecureLabs/drozer/releases/tag/3.1.0](https://github.com/WithSecureLabs/drozer/releases/tag/3.1.0) +- [https://source.android.com/security/bulletin/2024-07-01](https://source.android.com/security/bulletin/2024-07-01) {{#include ../../../banners/hacktricks-training.md}} diff --git a/theme/ai.js b/theme/ai.js index 68d091923..a376d751b 100644 --- a/theme/ai.js +++ b/theme/ai.js @@ -4,9 +4,10 @@ (() => { - const KEY = 'htSummerDiscountDismissed'; - const IMG = '/images/discount.jpeg'; - const TXT = 'HT Summer Discount, Last Days!'; + const KEY = 'htSummerDiscountsDismissed'; + const IMG = '/images/discount.jpeg'; + const TXT = 'Click here for HT Summer Discounts, Last Days!'; + const URL = 'https://training.hacktricks.xyz'; /* Stop if user already dismissed */ if (localStorage.getItem(KEY) === 'true') return; @@ -32,13 +33,37 @@ display: flex; flex-direction: column; align-items: stretch; `); - /* --- Title bar (separate, over image) --- */ + /* --- Title bar (link + close) --- */ const titleBar = $('div', ` - padding: 1rem; text-align: center; + position: relative; + padding: 1rem 2.5rem 1rem 1rem; /* room for the close button */ + text-align: center; background: #222; color: #fff; font-size: 1.3rem; font-weight: 700; `); - titleBar.textContent = TXT; + + const link = $('a', ` + color: inherit; + text-decoration: none; + display: block; + `); + link.href = URL; + link.target = '_blank'; + link.rel = 'noopener noreferrer'; + link.textContent = TXT; + titleBar.appendChild(link); + + /* Close "X" (no persistence) */ + const closeBtn = $('button', ` + position: absolute; top: .25rem; right: .5rem; + background: transparent; border: none; + color: #fff; font-size: 1.4rem; line-height: 1; + cursor: pointer; padding: 0; margin: 0; + `); + closeBtn.setAttribute('aria-label', 'Close'); + closeBtn.textContent = '✕'; + closeBtn.onclick = () => overlay.remove(); + titleBar.appendChild(closeBtn); /* --- Image --- */ const img = $('img'); @@ -62,14 +87,15 @@ modal.append(titleBar, img, label); overlay.appendChild(modal); - (document.readyState === 'loading' - ? () => document.addEventListener('DOMContentLoaded', () => document.body.appendChild(overlay), { once: true }) - : () => document.body.appendChild(overlay))(); + if (document.readyState === 'loading') { + document.addEventListener('DOMContentLoaded', () => document.body.appendChild(overlay), { once: true }); + } else { + document.body.appendChild(overlay); + } })(); - /** * HackTricks AI Chat Widget v1.16 – resizable sidebar * ---------------------------------------------------