抖音国际版安卓APP安全漏洞可劫持用户账户

　　2022年2月，微软研究人员在TikTok（抖音国际版）安卓APP中发现了一个严重安全漏洞，漏洞CVE编号为CVE-2022-28799，CVSS评分8.3分。攻击者利用该漏洞可以诱使目标点击特定的恶意链接，只需一次点击就可以劫持账户。

　　TikTok安卓版使用多种deeplink方案，其中部分通过mainfest导出，部分只是应用内部使用。其中链接是由[redacted]类处理的，用于根据查询参数重定向URI到应用的不同组件中。

　　研究人员分析发现可以通过查询参数触发内部deeplink和调用非导出的活动，扩大了应用的攻击面。TikTok称，重定向到内部deeplink并不会引发安全问题。

　　研究人员构造了一个PoC URL，该URL使用特定的非导出方案来加载到应用的webview，如下图所示：

　　过滤器位于服务器端，加载或决绝URL的决定是根据接收到的特定HTTP GET请求的回复决定的。研究人员分析表明有可能给deepLink添加两个额外的参数来绕过服务器端检查。

　　研究人员检查发现一共暴露了有超过70个方法。利用这些方法与漏洞利用结合就可以劫持Webview，部分方法可以被调用来授予攻击者部分功能。比如，部分暴露的方法可以访问或修改用户的隐私信息。通过调用这些方法，攻击者可以：

　　·通过触发到攻击者控制的服务器的请求和记录cookie和请求header来提取用户的认证token；

　　·通过触发到Tiktok终端的请求，和通过JS回调来取回回复来提取和修改用户的TikTok账户数据，比如隐私视频和个人简介设置。

　　也就是说，通过控制这些方法可以执行认证的HTTP请求，恶意攻击者可以成功入侵TikTok用户账户。

　　在PoC中，攻击者发送精心构造的链接给目标TikTok用户。用户点击链接后，视频上传认证token就会发送给攻击者，然后该脚本会修改用户的个人信息来读“!! SECURITY BREACH !!”:

　　攻击者构造的恶意链接被用户点击后，攻击者的服务器就会被授予JavaScript bridge的完全访问权限，并调用任意暴露的功能。攻击者的服务器会返回一个含有JS代码的HTML页面来发送视频上传token给攻击者，并修改用户的个人简介。

　　然后视频上传认证token会通过XMLHttpRequest发送给攻击者。攻击者还可以接收回复body和header，如下图所示：

　　微软将该漏洞提交给了TikTok，并称未发现在野漏洞利用。TikTok已在 v23.7.3版本中修复了该漏洞。

作者：admin

抖音快手 站点 QQ交谈