V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
ssltest
V2EX  ›  推广

比葫芦娃还可怕的百度全系 APP SDK 漏洞 在线检测工具,都来体检下吧

  •  3
     
  •   ssltest · 2015-11-03 15:12:29 +08:00 · 5496 次点击
    这是一个创建于 3069 天前的主题,其中的信息可能已经有所发展或是发生改变。

    比葫芦娃还可怕的百度全系 APP SDK 漏洞介绍:
    http://drops.wooyun.org/papers/10061

    在线检测地址: http://www.codefrom.com/wormhole/ (记得在手机浏览器打开,记得在手机浏览器打开,记得在手机浏览器打开!)

    安装了有漏洞的 APP 会有什么后果和危害呢?

    无论是 wifi 无线网络或者 3G/4G 蜂窝网络,只要是手机在联网状态都有可能受到攻击。攻击者事先无需接触手机,无需使用 DNS 欺骗。
    
    此漏洞只与 app 有关,不受系统版本影响,在 google 最新的 android 6.0 上均测试成功。
    
    漏洞可以达到如下攻击效果:
        远程静默安装应用
        远程启动任意应用
        远程打开任意网页
        远程静默添加联系人
        远程获取用用户的 GPS 地理位置信息 /获取 imei 信息 /安装应用信息
        远程发送任意 intent 广播
        远程读取写入文件等。
    
    36 条回复    2015-11-04 21:08:26 +08:00
    hongcha
        1
    hongcha  
       2015-11-03 15:23:11 +08:00
    这样是不是可以获取到邻家小花的私房照
    pfitseng
        2
    pfitseng  
       2015-11-03 15:35:46 +08:00
    POC 是什么
    dingz
        3
    dingz  
       2015-11-03 15:39:22 +08:00
    Sony Z3 Android 5.11 ,未 Root ,装有:三星 S5 定制版百度地图、华为输入法(定制版百度输入法)

    检测结果为未感染。。。
    ssltest
        4
    ssltest  
    OP
       2015-11-03 15:48:54 +08:00
    @dingz 更新过 或者 百度地图没在后台启动;输入法定制版都是阉割的 不受影响
    caisd1998
        5
    caisd1998  
       2015-11-03 15:50:37 +08:00
    魅族,联通 4G 网络,打开 404 错误。
    caisd1998
        6
    caisd1998  
       2015-11-03 15:52:22 +08:00
    现在可以了,可能是临时性错误?
    ssltest
        7
    ssltest  
    OP
       2015-11-03 15:54:17 +08:00
    @caisd1998 恩,刚挂了。
    BicycleWarrior
        8
    BicycleWarrior  
       2015-11-03 15:55:39 +08:00
    @caisd1998 绝壁是百度给了致命一击 。。。 Orz~
    freedomSky
        9
    freedomSky  
       2015-11-03 15:58:37 +08:00
    百度留这些后门想干啥
    BicycleWarrior
        10
    BicycleWarrior  
       2015-11-03 16:07:07 +08:00
    @freedomSky 反正我每次数据线连电脑的时候,自动就安装了百度助手。。。
    loserKK
        11
    loserKK  
       2015-11-03 17:33:14 +08:00
    安装有百度地图 糯米,检测未受影响···
    ssltest
        12
    ssltest  
    OP
       2015-11-03 17:41:19 +08:00
    有检测到受影响的么?
    kmahyyg
        13
    kmahyyg  
       2015-11-03 17:45:07 +08:00
    @ssltest 受影响
    kmahyyg
        14
    kmahyyg  
       2015-11-03 17:46:05 +08:00
    其实自己用 shell 都可以

    su
    busybox netstat -t
    busybox ps
    一查就知道开了 40130 的是 com.baidu.netdisk.moservice
    kmahyyg
        15
    kmahyyg  
       2015-11-03 17:52:26 +08:00
    用 luckypatcher 冻结百度云后
    再次检测
    提示未受影响

    百度输入法 5.8.20
    百度云老版本
    jydeng
        16
    jydeng  
       2015-11-03 17:57:27 +08:00
    安装百度贴吧,糯米,未受影响,贴吧版本比较高。
    ouqihang
        17
    ouqihang  
       2015-11-03 18:14:56 +08:00 via iPad
    @BicycleWarrior 你在手机上点了允许这台电脑调试,然后百度助手就静默在后台给手机安装了。
    pinqy520
        18
    pinqy520  
       2015-11-03 18:17:52 +08:00
    先点进去,没受影响,然后打开了一下地图。。。再检测就说我中彩了。。。
    jasontse
        19
    jasontse  
       2015-11-03 18:19:11 +08:00 via iPad
    !!! FBI WARNING !!!
    勿手贱去检测,送上门的目标
    tigerstudent
        20
    tigerstudent  
       2015-11-03 18:22:50 +08:00 via Android
    @jasontse 本来打算打开链接检测的。。现在到底是等人家黑过来还是送货上门呢。。。
    ssltest
        21
    ssltest  
    OP
       2015-11-03 18:23:48 +08:00
    @tigerstudent 这玩意如果全网段扫也是要被搞的,我们这是友情提示 ,赶紧升级的升级,卸载的卸载,不要掩耳盗铃啊。
    lvfujun
        22
    lvfujun  
       2015-11-03 18:44:03 +08:00
    根本检测不出。。。。。。
    bk201
        23
    bk201  
       2015-11-03 18:46:46 +08:00
    百度会蠢到留这样的漏洞,明显故意的
    pinqy520
        24
    pinqy520  
       2015-11-03 19:14:19 +08:00
    @bk201 好有道理的感觉~。。。
    sdxlh007
        25
    sdxlh007  
       2015-11-03 19:20:49 +08:00
    装了百度输入法,百度地图,爱奇艺等都不是最新版本,检测结果都是不受影响,
    R18
        26
    R18  
       2015-11-03 19:35:28 +08:00
    我装了百度全家桶,都没检测出来
    fyu2012
        27
    fyu2012  
       2015-11-03 19:40:56 +08:00 via iPhone
    米 4 ,装了爱奇艺,输入法,地图。没检测出来。
    pinqy520
        28
    pinqy520  
       2015-11-03 19:53:14 +08:00
    刚用公司的测试机,老的 HTC 测试了以下也弹出受影响,用同事的 VIVO 就没啥问题~。。。
    fyu2012
        29
    fyu2012  
       2015-11-03 20:14:22 +08:00
    其实有最简单的测试办法, adb shell 进去 netstat 看下端口, 结果并没有啥在跑的诡异端口号
    d8
        30
    d8  
       2015-11-03 21:13:56 +08:00 via Android
    手机 root 了,安装百度输入法 3.2.5.10 提示不受影响
    sexoutsex2011
        31
    sexoutsex2011  
       2015-11-03 21:16:29 +08:00 via Android
    手机暂不受 WormHole 漏洞影响!
    loveyu
        32
    loveyu  
       2015-11-03 23:12:16 +08:00
    百度输入法中招
    Mavious
        33
    Mavious  
       2015-11-04 03:51:18 +08:00 via Android
    hebeiround
        34
    hebeiround  
       2015-11-04 14:33:40 +08:00 via iPhone
    iOS 应该没问题吧
    acess
        35
    acess  
       2015-11-04 18:24:00 +08:00
    @jasontse 这个站不可信吗?
    standin000
        36
    standin000  
       2015-11-04 21:08:26 +08:00
    @hebeiround 我试过,提示没有问题。
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   2868 人在线   最高记录 6543   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 31ms · UTC 11:19 · PVG 19:19 · LAX 04:19 · JFK 07:19
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.