안드로이드 개발자 백도어 취약점 (Android Developer Backdoors)

취약점 개요

개발자 백도어는 모바일 앱을 배포하기 전/후 소스코드에 최고 권한이 부여된 계정을 삽입하고, 문제가 발생했을 때 해당 계정으로 접속하여 디버깅을 수행하게 된다.

보통 자신이 개발한 모바일 앱의 모든 기능이 정상적으로 동작하는지 테스트하려고 백도어 코드를 삽입한다.

하지만, 악의적인 목적을 가지고 모바일 앱에 백도어 코드를 포함시켜 사용자의 모바일 단말기에 설치하게 만들어서 개인 정보 및 주요 정보를 탈취하는 경우가 존재한다.

인시큐어뱅크 앱은 개발할 당시 테스트를 할 목적으로 백도어 코드가 삽입되어 있다. 백도어 코드가 삽입되어 있는 상태에서 모바일 앱을 배포한다면 권한이 없는 사용자가 백도어 경로로 접속하여 중요 정보를 획득할 수 있다.

취약점 진단

소스코드를 보면 두 가지 형태의 계정 처리 루틴이 존재한다.

사용자가 이용하는 아이디와 비밀번호를 입력하면 /login 주소로 패킷을 전달하고, 아이디가 devadmin이라면 /devlogin 주소로 패킷을 전달한다.

devadmin 계정은 비밀번호 없이 접속할 수 있는 디버깅 용도로 생성된 계정이다.

모바일 앱을 실행하여 devadmin 아이디와 임의의 비밀번호를 입력하고, 로그인 버튼을 클릭했을 때 패킷을 캡처한다.

패킷을 보면 요청 패킷에 아이디와 비밀번호를 /devlogin 주소로 전달하고, 응답 패킷에 devadmin 계정으로 인증이 성공했다는 메시지를 전달 받는다.

/devlogin 패킷을 처리하는 서버의 소스코드를 보면 주석으로 개발자에게 허용된 계정이라고 명시되어 있고, 하단에 /devlogin 주소로 아이디만 전달한다.

※ 서버의 소스코드 : Android-InsecureBankv2\AndroLabServer\app.py

# app.py

'''
The function provides login mechanism to a developer user during development phase
'''
@app.route('/devlogin', methods=['POST'])
def devlogin():
    user=request.form['username']
    Responsemsg="Correct Credentials"
    data = {"message" : Responsemsg, "user": user}
    print makejson(data)
    return makejson(data)