CVE-2017-0781 PoC

개요

이것은 Armis가 공개한 Blueborne 백서에 설명된 CVE-2017-0781 Android 힙 오버플로 취약점의 구현입니다. 추가 자료: https://www.armis.com/blueborne/

현재 상태에서 이 코드는 오버플로와 블루투스 서비스 충돌 유발 능력만을 시연합니다. 다시 말하지만, 이것은 완전히 개발된 원격 코드 실행이 아니지만, 그렇게 될 수 있습니다.

지침

pwntools를 설치하세요.

apt-get update
apt-get install python2.7 python-pip python-dev git libssl-dev libffi-dev build-essential
pip install --upgrade pip
pip install --upgrade pwntools

pybluez를 설치하세요.

apt-get install bluetooth libbluetooth-dev
pip install pybluez==0.22

저는 이를 위해 hciconfig와 btmgmt 도구를 사용했습니다. 둘 다 bluez 패키지에 포함되어 있습니다. 블루투스 모듈이 잠겨 있으면 rfkill이 도움이 될 수 있습니다.

btmgmt를 실행하세요.

info 명령은 장치의 인덱스를 표시합니다.

select 0을 입력하면 첫 번째 블루투스 컨트롤러가 활성화됩니다. 이에 대한 단축키는 btmgmt --index 0으로 도구를 실행하는 것입니다.

find 명령으로 장치를 검색할 수 있는지 확인하세요. Android 기기의 화면이 켜져 있고 블루투스 설정 화면이 열려 있어야 검색 가능합니다. Armis가 공개한 백서에 설명된 대로 검색 가능 여부는 이 취약점을 악용하기 위한 전제 조건이 아닙니다.

수동 페어링 없이 익스플로잇이 작동하려면 btmgmt 도구에서 io-cap 0x03으로 호스트의 IO 기능을 설정해야 합니다.

이 설정이 완료되면 python CVE-2017-0781.py TARGET=XX:XX:XX:XX:XX:XX로 코드를 실행하면 Android 기기의 블루투스 서비스가 충돌해야 합니다. 몇 번 시도해야 할 수도 있습니다. 현재 코드는 프로세스가 충돌할 만큼 메모리를 손상시키기 위해 이러한 잘못된 패킷 30개를 전송합니다.

즐거운 해킹 되세요 ;)

문제 해결

hciconfig 명령으로 호스트에서 블루투스 장치가 보이는지 확인하세요.

user-pc user # hciconfig
hci0:	Type: BR/EDR  Bus: USB
	BD Address: XX:XX:XX:XX:XX:XX  ACL MTU: 310:10  SCO MTU: 64:8
	DOWN 
	RX bytes:580 acl:0 sco:0 events:31 errors:0
	TX bytes:368 acl:0 sco:0 commands:30 errors:0

여기 표시된 것처럼 UP이 아니라 DOWN 상태라면 hciconfig <intf> up으로 수정하세요.

user-pc user # hciconfig hci0 up
Can't init device hci0: Operation not possible due to RF-kill (132)

rf-kill 관련 메시지가 표시되면 rfkill list 명령을 시도해 보세요.

user-pc user # rfkill list
0: phy0: Wireless LAN
	Soft blocked: no
	Hard blocked: no
2: asus-wlan: Wireless LAN
	Soft blocked: no
	Hard blocked: no
3: asus-bluetooth: Bluetooth
	Soft blocked: no
	Hard blocked: no
4: hci0: Bluetooth
	Soft blocked: yes
	Hard blocked: no

차단 해제는 rfkill unblock <id>로 할 수 있습니다.

호스트에서 IO 기능을 설정한 후에도 장치가 여전히 페어링 코드를 요청한다면, 이 방법은 현재 장치에서는 아마 사용할 수 없는 것입니다.