Sohbete bir bağlantı gönderen AndrewT sayesinde , bu araştırma belgesinin yanıtlardan birinde referans olarak bulunması . Bu cevap tamamen bu makaleye dayanmaktadır (Mayıs 2015) ve yaygın kullanıcı tarafından anlaşılabilir yönleri vurgular ( ilgilenenler için güvenlikle ilgili çok fazla materyale sahiptir)
-
Yukarıdakiler dışında artıları ve eksileri nelerdir?
-
Bir cihazın her iki seçeneği varsa - uygulama tabanlı köklendirme ve geliştiriciler tarafından yöntemlerle köklendirme, hangisini tercih etmeliyim?
Yanıt: Her şey kötü amaçlı yazılımlara karşı güvenlik açığıyla ilgilidir. Kök istismarlarını kullanmak BÜYÜK bir güvenlik riskidir ve diğer tüm avantajlardan daha ağırdır
Yumuşak Kök ve Sert Kök Nedir?
-
Yumuşak Kök: Kök, doğrudan bir yazılım parçası (yani, kökten yararlanma) çalıştırılarak elde edilir - doğrudan cihaza kurularak veya
adbbir PC bağlantısı yoluyla kabuk gerektirerek
-
Hard Root: Root, bir güncelleme paketi veya ROM aracılığıyla harici olarak yanıp sönerek elde edilir
Kötü Amaçlı Yazılım Tehdidi - genel olarak
-
Meşru olmasına rağmen, birçok uygun tek tıklamayla kök yöntem, Android sistemindeki güvenlik açıklarından yararlanarak çalışır. Dikkatlice kontrol edilmezse, bu tür istismarlar kötü amaçlı yazılım yazarı tarafından yetkisiz kök ayrıcalığı elde etmek için kötüye kullanılabilir.
-
Android kötü amaçlı yazılım tarif edildiği gibi Genom Projesi , kötü amaçlı örneklerde (1260), 36.7% yararlanma en azından bir kök gömülü olan.
-
Bu iyi tasarlanmış istismarlar iyi korunmuyor, yanlış ellere düşmeleri son derece tehlikelidir.
Büyük kök sağlayıcılar kimlerdir ve genel olarak nasıl çalışır?
Kök dışa aktarma türleri nelerdir?
Çalışma, incelenen 78 istismarı kapsamaktadır. Genel olarak, etki sırası (en yüksekten en düşüğe ):
-
Çekirdek İstismarları: Ayrıcalıklı konumu nedeniyle, Linux Çekirdeğini hedeflemek bir Android cihaz üzerinde tam kontrol elde etmek için doğaldır - Örnek, TowelRoot
-
Kütüphane İstismarları: Android sistem süreçleri tarafından kullanılan istismar hedefleme kütüphaneleri veya farklı uygulamaları desteklemek için kullanılan harici kütüphaneler, örneğin ZergRush istismarı, Volume Manager arka plan programı tarafından kullanılan libsysutils
-
Uygulama ve Uygulama Çerçevesi Uygulama katmanı kökünden yararlanır: sistem uygulamalarını veya hizmetlerini hedefleyen istismarlar, çoğunlukla
setuidyardımcı programlar, sistem uygulamaları veya hizmetler tarafından sunulan savunmasız mantık içerir .
setuidyalnızca komut enjeksiyon güvenlik açığı olan XoomFE aygıtlarında bulunan güvenlik açığı olan bir yardımcı programdır
-
Satıcıya Özgü Çekirdek veya Sürücüler: Satıcılar çekirdeği özelleştirir (örn. Qualcomm'un özel Linux çekirdek dalı) veya çeşitli çevre birimleri (örn. Kamera, ses) için satıcıya özgü aygıt sürücüleri sağlar. Bu tür kodlar çekirdek boşluğunun içinde çalışır ve bunların güvenliği aygıt üzerinde tam denetime neden olabilir.
Akıllıca , istismarlar aşağıdaki şekildedir
Ellerinizi Exploit'e (Kaynak veya İkili) koymak ne kadar zordur?
Çok kolay. Google aramadan kolayca erişilebilir, bu da kötü amaçlı yazılım yazarlarının bu tür istismarlardan yararlanmasını sağlayan bir pasta yürüyüşü yapar. 73 istismar için Google'da 68 tanesi kullanılabilir durumda - 46 kaynak kodlu ve 22 ikili dosya
Bu istismarlar nasıl çalışır?
İstismarların çalışması için temel gereksinimler ( en zordan en aza doğru sıralanmıştır ) ( kötü amaçlı yazılım etiketi bu örneklerin çoğuna sahiptir)
-
Kullanıcı etkileşimi gerektiriyor: (incelenen 78 kişiden 6'sı)
- Kullanıcıdan bir uygulama indirmesini ve yüklemeyi manuel olarak kesmesini isteme
- Kullanıcıdan en az bir kez kurtarma işlemini başlatmasını istemek.
- Kullanıcıdan cihazı manuel olarak “pil tasarrufu” moduna almasını istemek.
- Kullanıcıdan satıcıya özgü bir uygulama açmasını ve bir düğmeye basmasını isteme
-
adbPC bağlantısı ile kabuk gerektirme : (incelenen 78 kişiden 17'si). Bazı istismarlarda,
adbaşağıdaki en yaygın nedenlerden dolayı kabuk bağlantısı gereklidir:
-
İstismar, yalnızca kabuk için
local.propkök sağlayan bir ayarı başarıyla değiştirebilir
adb.
-
İstismarın grup kabuğuna ve grup tarafından yazılabilir bir dosyaya yazması gerekir (dünya tarafından yazılamaz)
-
İstismar, saldırı işleminin kabuk kullanıcısıyla çalışmasını gerektiren adb daemon sürecini hedefler. Örneğin , Kafes Karşısındaki Öfke , adb daemon'un geri dönüş değeri üzerindeki eksik kontrolünün güvenlik açığını hedefler
setuid()
-
Yeniden başlatma: (incelenen 78 kişiden 6'sı) Genel olarak, birçok kökten yararlanma için en az bir yeniden başlatma gerekir. Örneğin, sembolik bir bağlantı saldırısı, saldırganın sisteme ait bir dosyayı zayıf izinle silmesine ve aynı konumda korumalı bir dosyaya bağlantı kurmasına izin verir. Yeniden başlatıldıktan sonra, karşılık gelen init komut dosyaları orijinal dosyanın iznini dünya çapında yazılabilir olarak değiştirmeye çalışır ve bu da gerçekte bağlı dosyanın iznini değiştirir
-
Hiçbiri veya izin: (incelenen 78 kişiden 44'ü) Bu kategorideki istismarların zor gereksinimleri yoktur, ancak bazıları
READ LOGS, işlem sahibinin belirli kullanıcı grubuna yerleştirilmesi için belirli Android izinleri gerektirebilir .
Bu istismarlar Anti-Virüs tarafından tespit edilebilir mi?
Kök istismarları son derece hassas olduğundan ve çeşitli Android kötü amaçlı yazılımlardan yararlanabileceğinden, Android platformundaki virüsten koruma yazılımının kök sağlayıcılar tarafından uygulananlar da dahil olmak üzere çoğunu tanımlaması beklenir. Genel olarak, sonuç, Android platformundaki en son güvenlik ürünlerinin hala kök istismarlarını etkin bir şekilde ele alamadığını gösteriyor
167 sömürüye sahip en büyük sağlayıcıyı (adı açıklanmadı) test etmek için 4 temsili Android anti-virüs ürünü kullanıldı . Sağlayıcıların veritabanından başlangıçta indirilen istismarlar gerçek istismar kodunu paketlediğinden ve bir dış müdahale algılama mekanizması kullandığından, her istismar için 3 farklı versiyon hazırlayın:
-
Orijinal istismar, paketleme ve dış müdahale algılama özelliği ile doğrudan sağlayıcıların sunucularından getirilir.
-
Tüm fiili istismar mantığını antivirüs ürünlerine maruz bırakacak ambalajsız istismar.
-
Dış müdahale algılama devre dışı bırakıldığında yeniden paketlenmiş yararlanma.
Tüm büyük anti-virüs yazılımları aşağıdaki tabloda gösterildiği gibi bunları tespit etmekte zorlandığından , büyük kök sağlayıcılar tarafından tasarlanan istismar ikili dosyaları şaşırtıcı bir şekilde “temiz”
Sonuç
Basit. Sonuçlarla başa çıkmadığınız sürece Yumuşak Kök yöntemlerinden uzak durun