智能电视漏洞挖掘初探之寻找隐藏功能热键

  • A+
所属分类:逆向工程

上周去打汽车安全比赛了,电视漏洞挖掘系列断更了一周,这周咱们继续。在智能电视漏洞挖掘初探之 Getshell[1] 中总结了主流电视进入工程模式的方法,这些都是别人发现的。主要的来源应该是内部的维修文档,售后维修在维修工作中泄露出来的。车机的工程模式想必也一样。如果手头的电视使用已知的方法无法进入,此时当如何?出现这种情况,一是厂商更换了热键(组合键),或是进入方法未知(新系列、新入局者)。如果拿到了固件,那就可以自己动手分析。

隐藏功能不止工程模式,有点电视机文件管理器默认是不显示 APK 应用的,需要通过特殊的组合键开启 APK 显示。在分析应用之前,首先来了解一下遥控器键值。

Andriod Keycode

智能电视漏洞挖掘初探之寻找隐藏功能热键

遥控器一般通过红外或蓝牙与电视通信,电视是如何知道我们按下的是什么按键。Android 电视通过按键事件(KeyEvent)监听来自遥控器的按键指令。按键的键值可以通过 getKeyCode() 获取。键值定义在KeyEvent | Android 开发者 | Android Developers[2] 中。如返回主页的 HOME 键,键值为 3。

智能电视漏洞挖掘初探之寻找隐藏功能热键

使用 ADB 可以模拟按键事件,以下两条命令都是返回主页的命令。输入之后,电视就会返回到主页。

adb shell input keyevent 3
adb shell input keyevent KEYCODE_HOME

电视上常用的遥控器按键序号如下。

智能电视漏洞挖掘初探之寻找隐藏功能热键

上面大多都是一个按键对应一个,唯独确认键对应 4 个。这是因为确认键身兼数值,即是确认键又是播放控制键。

寻找隐藏功能热键

下面分享三个案例,第一个是开启 APK 显示,第二个寻找工程模式热键,最后一个是配置文件中的热键定义。

文件管理器显示 APK 文件

某电视在文件管理器中隐藏了 APK 文件,需要通过热键开启显示。现在来分析一下怎么打开。首先找到文件管理应用,然后使用 JADX 打开分析。

1. 搜索关键词 APK

通过检索关键词 APK,看到一个字符串 filebrowsershowAPK。顾名思义是显示 APK 文件,看来就这个电视是可以通过热键开启 APK 显示的。

智能电视漏洞挖掘初探之寻找隐藏功能热键

2. 通过变量名定位到隐藏功能处理函数

智能电视漏洞挖掘初探之寻找隐藏功能热键

通过字符串变量名查询交叉引用,找到 onTrigger 函数。onTrigger判断按键的个数启用不同的功能,如果输入的按键数为 6,设置标志 show_apk 为真,临时显示 APK。如果输入的按键数等于 MULT_KEY 的长度设置全局变量,永久显示 APK。

3. 热键

继续往上分析,MULT_KEY 数组为 {82, 82, 19, 19, 20, 20, 21, 22}

智能电视漏洞挖掘初探之寻找隐藏功能热键

与 Android Keycode 编码对应,转换成按键为 菜单-菜单-上键-上键-下键-下键-左键-右键

checkKeyValid 中对按键序列进行验证,只有与 MULT_KEY 相匹配才能通过验证。每按下一个按键就验证一个键。如果序列正确返回 true,否则返回 false。

04-30 17:00:52.882 15156 15156 I FileManager-MyMultKeyTrigger: checkKey num= 82 , delayed = 495 checknum=1 multkey=82
04-30 17:00:52.882 15156 15156 I FileManager-MyMultKeyTrigger: checkKey check key valid = true
04-30 17:04:40.187 15156 15156 I FileManager-MyMultKeyTrigger: checkKey lastEventTime=8419053
04-30 17:04:40.187 15156 15156 I FileManager-MyMultKeyTrigger: checkKey num= 19 , delayed = 227304 checknum=2 multkey=19
04-30 17:04:40.187 15156 15156 I FileManager-MyMultKeyTrigger: checkKey check key valid = false

4. 触发位置

现在知道了热键,还需要知道在哪里触发。继续往上看,在文件管理器 activity 创建的时候在 VerticalGridView 上监听了一个按键事件(OnKeyInterceptListener),首先验证热键,判断是否开启 APK 显示。

智能电视漏洞挖掘初探之寻找隐藏功能热键

5. 验证

最后总结一下使用方法,遥控器的焦点在本地文件处,然后按顺序点击 菜单-菜单-上键-上键-下键-下键-左键-右键 后,显示提示信息 “apk应用显示已经永久开启”。然后插入U 盘,就能看见里面的文件了。

智能电视漏洞挖掘初探之寻找隐藏功能热键

使用热键进入工程模式

某次发现一个工程模式应用的 AndroidManifest.xml 没有定义 activity,仅作为一个服务被其他应用调用。

智能电视漏洞挖掘初探之寻找隐藏功能热键

不能自己主动打开,但可以使用命令 am startservice 启动服务,打开应用页面就进入了工程模式。

adb shell am startservice -n {package}/{package}.{service}

1. 寻找热键

启动这个应用的前提便是有 ADB 权限,但还是希望能在常规状态打开这个应用。工程模式一般都能使用热键打开,现在开始追溯。通过搜索 service name,在另外一个应用中找到了调用函数。

智能电视漏洞挖掘初探之寻找隐藏功能热键

遗憾的是,这个应用也是一个服务,不能直接打开。那么再往上寻找,搜索关键词 launchFactoryMenu ,发现在 TvSettingsPlus.apk 中定义了热键打开工程模式的方法。

智能电视漏洞挖掘初探之寻找隐藏功能热键

同样,FACTORY_MENU_COMBINATION_KEY 也是一个数组。根据 Andriod Keycode 解码得到 音量+ 音量- 左 左 上 下

智能电视漏洞挖掘初探之寻找隐藏功能热键

2. 触发位置

找到热键之后,还需要找到触发位的位置。根据 TAGcom.android.tv.settings.MainSettings.SETTINGS_FRAGMENT可知是在系统的设置页面中。

智能电视漏洞挖掘初探之寻找隐藏功能热键

3. 验证

首先进入系统设置页面。然后,依此连续快速按遥控器的 音量+ 音量- 左 左 上 下进入工程模式。


热键配置文件


上面的两个案例热键序列都是存在一个数组中,还有另外的方案,如存储在配置文件中。

智能电视漏洞挖掘初探之寻找隐藏功能热键

如上,就可以使用 菜单 左 上 左 上 返回进入工厂菜单(工程模式)了。

智能电视漏洞挖掘初探之寻找隐藏功能热键

总结

智能电视中的不少的隐藏功能,需要使用遥控器热键启用。应用监听遥控器发送过来的点击事件启用隐藏功能。分析了一些电视的热键发现基本采用两种方式定义热键,一个是定义在配置文件、另一个是在应用中通过数组定义。找到热键组合后还需要找到触发的页面,只有在特定还能触发成功,因为处理函数只监听在特定界面。

参考

 KeyEvent[3]

References

[1] 智能电视漏洞挖掘初探之 Getshell: https://delikely.github.io/2021/04/16/%E6%99%BA%E8%83%BD%E7%94%B5%E8%A7%86%E6%BC%8F%E6%B4%9E%E6%8C%96%E6%8E%98%E5%88%9D%E6%8E%A2%E4%B9%8B-Getshell/
[2] KeyEvent | Android 开发者 | Android Developers: https://developer.android.com/reference/android/view/KeyEvent
[3] KeyEvent: https://developer.android.com/reference/android/view/KeyEvent


- END -


【周度激励】2021.4.26 ~ 2021.5.2公告

智能电视漏洞挖掘初探之寻找隐藏功能热键


【火线Zone】


火线Zone是[火线安全平台]运营的封闭式社区,社区成员必须在[火线安全平台]提交有效漏洞才能申请免费加入,符合要求的白帽子可联系[火小表妹]免费加入~

我们不希望出现劣币驱逐良币的结果,我们不希望一个技术社区变成一个水区!

欢迎具备分享精神的白帽子加入火线Zone,共建一个有技术氛围的优质社区!


智能电视漏洞挖掘初探之寻找隐藏功能热键

智能电视漏洞挖掘初探之寻找隐藏功能热键

关注我们 解锁更多挖洞姿势





本文始发于微信公众号(火线Zone):智能电视漏洞挖掘初探之寻找隐藏功能热键

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: