구글 플레이 스토어에서 200개 이상의 Android 애플리케이션에서 Facestealer 악성코드를 배포하는 것이 관찰되었습니다. Facestealer는 스파이웨어로, Facebook 로그인 자격 증명, 쿠키와 같은 민감한 데이터를 탈취하고 피해자 계정과 관련된 개인 식별 정보를 수집하도록 설계되었습니다.

대부분이 VPN 소프트웨어(42개), 카메라(20개), 사진 편집 프로그램(13개)이며 가상화폐에 관심이 있는 사용자를 타겟으로 하는 악성 가상화폐 채굴 애플리케이션 40개 이상을 발견했다고 합니다. 이 애플리케이션은 사용자가 광고를 보고 유료 구독 서비스를 구독하도록 속인다고 해요. 💸

이 글은 unserialize가 위험한 이유와 Property Oriented Programming 기법을 활용하는 방법에 초점을 맞춰서 읽어주시면 감사하겠습니다

분석 글을 신나게 쓴 후 다시 소셜네트워크를 구경하는데 이런 이야기를 보게 되었습니다.

이 CVE가 Laravel Framework 내부 unserialize 메소드를 사용하는 부분에서 발생하는 것이 아닌 사용자가 unserialize를 사용하면 발생하는 부분이었고 이는 CVE 번호를 할당받으면 안 된다는 주장이었습니다.

필자도 CVE 할당에 문제가 있음을 느꼈는데요. 이 취약점을 다른 공격기법으로 비유하면 gets에 대해 ROP Chain가 터진다고 할당받은 것인데 이런 CVE는 수백 수천 개도 나올 수 있지요.

하지만 이 글은 공격기법에 대한 설명이 주를 이루고 있어서 독자분들에게 여전히 도움이 될 수 있다고 판단하여 내리지는 않겠습니다.

Laravel 9.1.8 버전에서 유저 입력을 unserialize 메소드를 통해 역직렬화 한 후 사용할 때 POP chain을 통해 RCE 할 수 있는 취약점이 발견되었습니다.

PHP는 Magic Method라고 하여 프로그래머가 명시적으로 호출하지 않아도 자동으로 호출되는 메소드들이 있습니다. 이 Magic Method를 유저의 입력값으로 덮어씌워 일종의 gadget으로 사용할 수 있습니다. 이 gadget들을 활용하여 exploit chain을 구성한 것을 Property Oriented Programming Chain이라고 합니다.

해당 취약점에서 사용하는 gadget은 PendingBroadcast.__destruct와 Dispatcher.dispatch($command) 입니다.

PendingBroadcast 인스턴스가 소멸될 때 __destruct 메소드가 자동으로 호출됩니다.