[Android] Content Provider 취약점

개요

안드로이드의 Content Provider는 "콘텐츠 제공자 "라는 의미를 가지고 있으며 애플리케이션의 중앙 저장소 같은 역할을 하는 공간에 다른 앱이 접근할 수 있도록 도와주는 4대 컴포넌트 중 하나입니다. 주로 파일 시스템이나 SQLite 데이터베이스, Web 등을 통해서 관리하며 콘텐츠 프로바이더를 통해 다른 애플리케이션이 저장된 데이터에 접근이 가능합니다.

 

이러한 앱 과 앱 사이의 데이터 접근을 관리하고 통제하기 위해 "Content Resolver"라는 중개자 역할이 존재하는데 이때 콘텐츠 제공자의 주소인 즉 이동하고자 하는 URI가 등록되어 있어야 됩니다.

*uri 형태 -> content://user_dictionary/test 등

 

http://www.w3big.com/ko/android/android-content-providers.html

 

Content Provider는 컴포넌트 중 일부이기 때문에 Androidmanifest.xml에 선언된 <provider> 태그를 통해 올바르게 설정이 되어있는지 점검을 해볼 수 있습니다.

 

해당 취약점을 확인하기 위해 동적 분석도구인 "Drozer(드로저)"를 사용하도록 하겠습니다.

 

구축 방법은 하단의 포스팅 참고

guleum-zone.tistory.com/152

[Android] 드로저(Drozer) 환경 구축

---

드로저 콘솔에서 진단을 하고자하는 앱의 "패키 지명"을 확인하겠습니다.

 

동적 분석을 수행하면 상단에 Content Providers exported라는 노출된 1개의 콘텐츠 프로바이더가 존재하는 것을 보실 수 있습니다.

 

매니페스트 내부에 <provider> 태그를 찾아서 설정이 어떻게 되어 있는지 확인해 보겠습니다.

 

Androidmanifest.xml 에 존재하는 <provider> 태그는 exported="true" 설정을 지정해 줌으로써 다른 앱에서 접근이 허용 되록 설정되었습니다.

 

인 시큐어 뱅크의 이름을 가진 앱 내부에 접근 가능한 URI 정보를 확인하기 위해 동적 스캔을 수행해본 결과 Accessible Content URIs: 이름으로 접근이 가능한 주소가 나타났습니다.

저장된 내부로 접근해보면 우리가 로그인했던 사용자의 ID가 시퀀스 순서로 나열되어 있는것을 보실 수 있습니다.

 

run app.provider.query <URI주소> --selection "'"

추가적으로 해당 DB에 SQL iNJECTION을 시도해볼 수도 있습니다. 상단의 명령을 통해 에러 문구가 나타남으로써 추가적인 인젝션이 가능할 것이라는 추측이 가능합니다.

 

run app.provider.query <URI주소> --projection "* from SQLITE_MASTER where type='table';--")

상단의 명령을 통해 사전에 접근이 불가능했던 테이블 의 이름이 출력되고 있습니다.

 

run app.provider.query <URI주소> --projection "*from names;--")

우리가 위에서 Contents Provider를 통해 접근한 사용자의 ID는 "names"라는 테이블에 존재하는 정보라는 것을 확인하실 수 있으며 이를 통해 악의적인 사용자는 모든 테이블을 날려버리는 결과를 초래할 수도 있습니다.

 

대응방안

Androidmanifest.xml에 설정된 <provider> 속성을 exported="false" 로 수정하여 외부에 노출된 데이터베이스에 접근이 불가능하도록 설정하거나 별도의 권한을 지정하여 사용해야 된다.