Exploiting Content Providers
Exploiting Content Providers
Intro
Os dados são fornecidos de um aplicativo para outros sob solicitação por um componente conhecido como content provider. Essas solicitações são gerenciadas através dos métodos da classe ContentResolver. Os content providers podem armazenar seus dados em vários locais, como um banco de dados, arquivos ou através de uma rede.
No arquivo Manifest.xml, a declaração do content provider é necessária. Por exemplo:
Para acessar content://com.mwr.example.sieve.DBContentProvider/Keys
, a permissão READ_KEYS
é necessária. É interessante notar que o caminho /Keys/
é acessível na seção seguinte, que não está protegida devido a um erro do desenvolvedor, que protegeu /Keys
mas declarou /Keys/
.
Talvez você possa acessar dados privados ou explorar alguma vulnerabilidade (SQL Injection ou Path Traversal).
Obter informações de provedores de conteúdo expostos
É possível juntar como alcançar o DBContentProvider começando URIs com “content://”. Esta abordagem é baseada em insights obtidos ao usar Drozer, onde informações chave estavam localizadas no diretório /Keys.
Drozer pode adivinhar e tentar várias URIs:
Você também deve verificar o código do ContentProvider para procurar por consultas:
Além disso, se você não conseguir encontrar consultas completas, pode verificar quais nomes são declarados pelo ContentProvider no método onCreate
:
A consulta será como: content://name.of.package.class/declared_name
Content Providers baseados em Banco de Dados
Provavelmente, a maioria dos Content Providers é usada como interface para um banco de dados. Portanto, se você puder acessá-lo, poderá extrair, atualizar, inserir e excluir informações. Verifique se você pode acessar informações sensíveis ou tente alterá-las para contornar mecanismos de autorização.
Ao verificar o código do Content Provider, procure também por funções nomeadas como: query, insert, update e delete:
Porque você poderá chamá-las
Consultar conteúdo
Inserir conteúdo
Consultando o banco de dados, você aprenderá o nome das colunas, então, você poderá inserir dados no DB:
Observe que em insert e update você pode usar --string para indicar string, --double para indicar um double, --float, --integer, --long, --short, --boolean
Atualizar conteúdo
Sabendo o nome das colunas, você também pode modificar as entradas:
Deletar conteúdo
SQL Injection
É simples testar para SQL injection (SQLite) manipulando os campos de projeção e seleção que são passados para o content provider. Ao consultar o Content Provider, há 2 argumentos interessantes para buscar informações: --selection e --projection:
Você pode tentar abusar desses parâmetros para testar por SQL injections:
Descoberta automática de SQLInjection pelo Drozer
Provedores de Conteúdo Baseados em Sistema de Arquivos
Os provedores de conteúdo também podem ser usados para acessar arquivos:
Ler arquivo
Você pode ler arquivos do Provedor de Conteúdo
Path Traversal
Se você pode acessar arquivos, pode tentar abusar de um Path Traversal (neste caso, isso não é necessário, mas você pode tentar usar "../" e truques semelhantes).
Descoberta automática de Path Traversal pelo Drozer
Referências
Last updated