比葫芦娃还可怕的百度全系 APP SDK 漏洞 - WormHole 虫洞漏洞分析报告

葫芦娃

漏洞

虫洞

wormhole

26 replies • 2015-11-03 11:34:19 +08:00

Smilecc

Nov 2, 2015

1

尼玛百度太可怕了

tuteng

Nov 2, 2015

2

nb

Smipto

Nov 2, 2015

3

流氓才能搞好网络 hao123 前流氓代表

21grams

Nov 2, 2015

4

放心了，我的手机还是 2G 。

binux

Nov 2, 2015

5

怎么修改 remote-addr ?

killerv

Nov 2, 2015 via Android

6

百度简直丧心病狂

paradoxs

Nov 2, 2015 via iPhone

7

手机系统本来就不应该让软件跑在沙箱外。

lukertty

Nov 2, 2015

8

日了哈士奇全家了!解决方案在哪里?

bigcoon

Nov 2, 2015 via iPhone

9

换 iPhone

wsy2220

Nov 2, 2015

10

这就是故意开的后门，不能叫漏洞

gamexg

Nov 2, 2015

11

看样以后 android 都需要防火墙了。
iptables ...

ArchStacker

Nov 2, 2015

12

/t/218539 之前就有人发现了，只可惜没深入研究
@ccccccc

breeswish

Nov 2, 2015

13

@binux 似乎它检查的是 HTTP header ，不是 socket 的 remote address

binux

Nov 2, 2015

14

@breeswish http header 并没有 remote-addr 啊

ccccccc

Nov 2, 2015

15

https://www.v2ex.com/t/218539#reply65

事实上 iOS 也有这样的

chigco

Nov 2, 2015 via iPhone

16

恐怖😱

Reficul

Nov 2, 2015

17

感觉这个影响不比 XcodeGhost 小啊。不过新闻还没咋看见，事件还没发酵还是已经被按住了

starship

Nov 2, 2015

18

请问下只安装了百度输入法，并且用 lightningWall 防火墙禁止联网，这样会不会受到感染？

kmahyyg

Nov 2, 2015

19

貌似百度输入法没有 v5.8.20

u0_a146@HM2014813:/ $ su
root@HM2014813:/ # busybox netstat -l -t -w -p
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address
State PID/Program name
tcp 0 0 :::40310 :::*
LISTEN 13417/com.baidu.net
tcp 0 0 :::7777 :::*
LISTEN 13377/com.baidu.net
root@HM2014813:/ # ps 13377
USER PID PPID VSIZE RSS WCHAN PC NAME
u0_a145 13377 220 355316 26360 ffffffff 40091938 S com.b
aidu.netdisk:bdservice_v1
root@HM2014813:/ # ps 13417
USER PID PPID VSIZE RSS WCHAN PC NAME
u0_a145 13417 220 356264 29956 ffffffff 40091938 S com.b
aidu.netdisk:bdmoservice

呵呵

kmahyyg

Nov 2, 2015

20

我装了百度云和输入法 @nonozone

marswu

Nov 3, 2015 via iPhone

21

吓得我把唯一的百度输入法也给换讯飞了

dalaomj

Nov 3, 2015

22

@binux 貌似他检查的是调用时自己增加的一个字段。
然后， socket 里的 remote address 也是可以伪造的。需要更底层的操作，直接伪造 IP 协议里的 IP 头信息。但要求对方和自己在同一个网关下，才存在利用的可能。
很多运营商不验证 IP 头信息有效性，这就导致单台电脑就能发动大量 TCP 半开连接攻击。

binux

Nov 3, 2015

23

@dalaomj 但是 http 需要成功建立 tcp 连接... 即使不验证也并没有什么卵用.

"无论是 wifi 无线网络或者 3G/4G 蜂窝网络，只要是手机在联网状态都有可能受到攻击。攻击者事先无需接触手机，无需使用 DNS 欺骗。"
但是在接受数据的函数里有一些验证,比如 http 头部 remote-addr 字段是否是” 127.0.0.1 ”，但是会一点 web 技巧的人就知道，只要伪造一下头部信息就可把 remote-addr 字段变成” 127.0.0.1 ”

是如何做到的

dalaomj

Nov 3, 2015

24

@binux 自己增加的一个 http 字段。名字叫“ remote-addr ”。并非 TCP 报文里的源 IP 。

silvernoo

Nov 3, 2015

25

记得以前 V2 上就有人说过，百度的软件在手机上建立 HTTP server ，供百度远程操控

Khlieb

Nov 3, 2015 via Android

26

@Reficul 八成是被按住了