挖洞经验 ｜ 用一条URL链接获取Shazam用户地理位置
本文中，作者通过发现Shazam应用APP深度链接（deeplink）运行机制中存在的一个漏洞，利用其中的开放重定向和js接口安全问题，可实现对Shazam应用APP用户的特定信息获取。Shazam是苹果公司旗下软件，其应用能根据取样片段识别出对应的歌曲、电影、广告和电视节目（听音识曲），该应用可支持Windows、macOS和智能手机。
漏洞说明
2018年底，我发现了Shazam应用APP的一个漏洞，攻击者可以构造一个URL链接让受害者执行点击，即可获取到受害者的精确地理位置。该漏洞影响非常严重，将近1亿Shazam用户受此影响，攻击者利用漏洞构造的一条链接，在受害者点击之后，除可获取受害者的精确地理位置之外，还能实现对受害者手机设备某些特定功能的访问。其实，经过进一步的精心设计，该漏洞完全可以形成一个“零点击漏洞”（zero click vulnerability），但苹果和谷歌却根据他们的众测规定拒绝了该漏洞，可是，漏洞最终却被修复了。
我当时给Shazam安全团队上报漏洞的时间是2018年12月（即Shazam被苹果收购的三个月后），我被引导直接向security@apple.com进行漏洞情况上报，经过一番协调反复，漏洞最终于2019年3月26日修复。之后，又经过8个月，苹果才认定该漏洞有效，但却声称该漏洞不在他们的众测规定范围内，不予支付漏洞赏金。另外，Google Play应用商店安全项目也回复我说该漏洞中泄露的用户数据影响不大，不予奖励。
该漏洞最终给予的漏洞编号为CVE-2019-8791和CVE-2019-8792，影响Android 和 iOS手机上的Shazam应用。CVE-2019-8791的官方描述是：Shazam APP在URL解析时存在问题，攻击者可以通过构造特定URL链接实现开放重定向（open redirect）；CVE-2019-8792的官方描述是：攻击者可以通过构造特定URL链接实现任意 *** 代码执行。
漏洞情况
Shazam在整个APP应用中用到了深层链接deeplink作为导航操作，我发现了一个特殊的导出深层链接，它负责在webview控件中加载网站，该深层链接无需对其参数数值进行验证，允许嵌入外部资源。而且，它其中的webview控件包含了一些js接口，通过这些js接口可与Android 或 iOS 手机API通信，从而检索出用户手机中包含地理数据在内的一些特定信息内容。
该深层链接样式为shazam://launchurl?url=，其中的url参数可以是一个网站或是一个js格式脚本。一旦其中的webview控件加载后，Shazam APP将会附加运行一个名为WebViewJavascriptBridge的js接口，该接口可通过窗口对象访问到。
经对Shazam APP反编译，并分析了其中的js接口，我发现了两个 *** 函数setMessageHandler 和 sendMessage。可以通过重写setMessageHandler函数，捕获到通过sendMessage函数发出请求的响应。setMessageHandler函数包含了type 和 data两个参数组成的 *** ON对象。经过一番研究测试，我很快写出了一段POC代码：
<html>
? <script>
? ? ? ? window.WebViewJavascriptBridge.setMessageHandler(function(e) {
? ? ? ? ? alert( *** ON.stringify(e));
? ? ? ? })
? </script>
? <button onclick="window.WebViewJavascriptBridge.sendMessage( *** ON.stringify({type:'aboutBridge',data:{}}));">Device Info</button>
? <br><br>
? <button onclick="window.WebViewJavascriptBridge.sendMessage( *** ON.stringify({type:'location',data:{}}));">GPS</button><br><br>
</html>
漏洞利用流程
1、攻击者向受害者发送构造好的URL链接；
2、受害者点击链接并加载打开了Shazam APP应用；
3、Shazam APP应用加载webview控件并执行攻击者嵌入的Payload；
4、受害者地理位置等其它信息即被攻击者窃取，发送到攻击者控制的服务器中。
漏洞影响
通过简单的URL链接构造，攻击者即可利用Shazam APP应用隐蔽简单地窃取受害者相关信息。对恶意攻击者或正义执法者来说，该漏洞不失为一个好的利用手段。但对用户来说，这却是涉及到上亿用户的隐私问题，因此，我选择了漏洞上报，但遗憾的是最终却不符合他们所谓的众测范围和规定，无所谓了，修复就好，我将继续深挖研究。
参考来源：ash-king
相关文章
《少年歌行 风花雪月篇》明年登录优酷 新国风动
“倚剑江湖踏歌行”少年歌行漫影联动发布会12 月10 日在北京吉里星空间盛大召开。本次发布会由优酷、晨星盛世、中影年年共同举办，优酷剧集中心总经理谢颖、优酷动漫中心总经理孙旻、晨星盛世董事长周涛、中影...
现在年轻人干啥生意能挣钱最快前景最好？3个最吃香生意迅速致富
日常生活总会有那么一群人她们不甘于平凡更不甘心于贫困，她们期待能够根据寻找到一条创业历程让自身发财致富，很多人感觉她们是在白日作梦，实际上假如你连作梦的胆量也没有更不必提怎么让自身发大财了。如今年青人...
东莞虎门好玩的桑拿水会按摩什么地方现在还有？本地人经常去！
今天为大家介绍,快速在线预约东莞虎门好玩的桑拿水会按摩什么地方现在还有？本地人经常去！微信号和联系方式相关资讯。通过模特经纪人qq可以快速的找到需要的北京高端模特QQ号，从而进行下一步的判断和添加。...
有信誉的黑客联系方式淘宝有黑客接单暗号是多少
2016年是网络攻击极其活跃的一年，全球先后发生多起大型网络攻击事件，例如令人震惊的造成数千万美元损失的虚拟银行劫案，蓄意破坏美国选举的黑客攻击，利用物联网设备发动的史上最大规模的DDoS攻击，以及近...
黑客电影大全,黑客技术网站下载
一、电影大全黑客接单流程 1、找接单黑客大多数黑客文化在帮助工厂办公室和大学的正常运作方面起着重要的作用。电影大全技术网站下载黑客不干涉政治，不利用他们来促进计算机和网络的发展和改进。儿子坑爹电影大全...
喔乐滋鸡排开店要多少钱？极高的性价比
鸡排的市场相信不用小编过多的介绍，大家都有目共睹的，是一个极具发展前景的行业，尤其是年轻人的市场更受备受欢迎。喔乐滋鸡排加盟就是其中的一个品牌，主要经营各种口味的鸡排和特色小吃，一经推出就受到了众多消...
Copyright Your WebSite.Some Rights Reserved.
免责声明:本站所发布的任何网站，全部来源于互联网，版权争议与本站无关。仅供技术交流，如有侵权或不合适，请联系本人进行删除。不允许做任何非法用途！