Explotando Android a través de ADB

CloserAndroid

Hola a todos!!

Hoy os traigo una tema bastante interesante.

Cualquiera que haya tocado o desarrollado un poco el tema Android, sabrá que existe una herramienta llamada Android Debug Bridge (ADB) la cuál sirve de gran utilidad cuando estamos desarrollando en Android. Esta herramienta se instala en PC y nos sirve de puente o conexión entre nuestro Android y el PC, haciendo que tengamos una ventana de comandos para poder trabajar directamente sobre nuestro smartphone.

Para conectar nuestro Android al PC podremos hacerlo de dos formas; por USB o por (y aquí viene lo interesante) TCP. Os enseñaré una herramienta bastante interesante en el que se puede explotar varias funcionalidades.

Para empezar a configurar nuestro Android tendremos que seguir una serie de pasos (que pueden variar ligeramente de un smartphone a otro). Por tanto, tendremos que ir a Ajustes -> Acerca del teléfono y una vez ahí buscar donde ponga “Número de compilación” y pulsa 7 veces seguidas. Hecho esto verás algo similar a la siguiente imagen.

Activando opciones de desarrollo.

¡Ya eres desarrollador! 😉

Ahora solo tendremos que ir a Ajustes -> Opciones de desarrollador y buscar la opción de “Depuración USB“; debemos de activar dicha opción. En caso de que nos aparezca un mensaje emergente confirmando, confirmamos.

Activando depuración USB.

Listo, ya tendremos nuestro Android preparado para jugar.

Vamos al PC, porque tendremos que instalar la herramienta ADB.

Para este paso, podremos irnos a la página oficial de Android y deberíamos de descargar el SDK Platform-Tools para nuestro SO. Dado que ADB está integrado en las Platform-Tools (junto con otras utilidades) tendremos que descargar el paquete. En el resto de Linux no sé si esta subido en el repositorio ADB (o Platform-Tools) pero si estáis en Kali, con solo hacer:

 # apt-get install adb

Podréis instalar de manera sencilla y rápida la tool.

Listo, ya tenemos el PC y nuestro Android; vamos a conectarlos con USB.

Ahora solo tendremos que preguntarle a ADB los dispositivos que hay conectados.

Dispositivos conectados.

Como se puede ver, ha reconocido nuestro Android conectado, pero no tiene autorización para hacer nada. En ese mismo momento aparecerá una confirmación de permitir el acceso en nuestro Android.

Dispositivos conectados.

Tras aceptar, marcando la opción de permitir siempre a vuestro PC (el mensaje no volverá a aparecer cada vez que queramos hacer algo), si volvemos a preguntar a ADB por los dispositivos conectados volverá a aparecer nuestro Android, pero ahora aparecerá como “device“ en lugar de “unauthorized“.

A continuación, vamos a habilitar la opción para depurar mediante TCP.

Habilitar depuración TCP.

Una vez habilitado la depuración TCP al puerto 5555 (por defecto), ya podremos quitar el cable.

Para poder conectarnos ahora, es necesario que nuestro Android tenga conexión a internet, en mi caso, al tenerlo conectado al WiFi, la IP asociada es la 192.168.1.37. (En este momento también aparecería una solicitud de permisos en el Android, si lo tenemos recordado, no aparecerá).

Ahora vamos a utilizar una herramienta de Zucccs llamada PhoneSploit que nos permitirá tener una capa de abstracción con nuestro Android, donde podemos hacer acciones interesantes.

PhoneSploit.

Para poder conectarnos a nuestro Android, basta con usar las opciones que nos muestra.

PhoneSploit connection.

Una vez conectado podemos usar una gran cantidad de opciones a nuestra disposición, por ejemplo lanzar la shell para interactuar con nuestro Android.

PhoneSploit shell.

Además con la Shell, se podría acceder a los archivos de la SD, fotos y videos de la cámara, e incluso de Whatsapp, en definitiva en multitud de sitios. Si que es verdad, que si no somos root sería más dificil acceder a sitios restringidos, pero hay muchas cosas que se pueden sin ser root.

Además con PhoneSploit, por ejemplo, se hacer una captura de pantalla!

PhoneSploit captura.
Captura.

Como podéis ver, hay más opciones; como grabar la pantalla, instalar aplicaciones y demás. Por ejemplo, con el tema de las aplicaciones un atacante podría instalar una app maliciosa, de tipo bancaria por ejemplo.

Podríamos seguir eligiendo opciones, pero os dejo a vosotros probarlo!

Ahora que ya sabeis la de cosas que se pueden hacer, podéis pensar, ¿pueden hacer una captura de mi móvil y yo no me doy cuenta? ¿Pueden hacer todo eso con mi Android?

Pues es un tema delicado, lo cierto es que sí y no. Todo recae principalmente en si has concedido permiso al PC, sino, no se podría. Pero claro, ¿habéis pensado alguna vez cuando habéis comprado un móvil de segunda mano (si es que lo habéis hecho) si ya viene con las opciones de desarrollador activadas e incluso con la depuración USB? 😉

Sin pensar que hay productos (mayoritariamente chinos) tipo SmartBox TV que ya viene con la depuración por TCP activada por defecto. Sí, las SmartBox también.

De hecho, si miramos en Shodan y buscamos por “Android Debug Bridge“

Shodan ADB.

Casi 13000 dispositivos Android ha encontrado Shodan que tienen la depuración por TCP activado, y solo hay que echar un vistazo rápido para ver que hay de todo tipo, incluso me atrevería que hay ¡hasta Smart TVs!

Podéis decir, vale pero tienen que aceptar la solicitud de permisos para emparejar el PC con el Android, sí, pero de casi 13000 dispositivos, ¿todos denegarían el acceso? ¿Quién no ha aceptado un mensaje cualquiera sin llegar a leerlo? Por estadística habrá bastantes! Por no decir que un atacante podría “bombardear” a solicitudes y no parar hasta que se acepte.

¿Será alguno de estos, uno de vuestros dispositivos Android?

Espero haberme explicado con claridad y que os haya gustado. Si queréis que siga comentando cosas de ADB & Android, solo tenéis que decirmelo y seguiré haciendo más de este tipo un poco más complejos/interesantes a nivel técnico. Sé que este post no ha sido muy ténico pero hay que variar también.

PD: También os recuerdo que el Allhacked incluido sus posts (incluido éste), están disponibles también en Inglés.

Nos vemos en el siguiente post! 😉

Happy Hacking!

Comentarios en “Explotando Android a través de ADB”

  68. Trenbolone is one particular compound whereby massive or large dosages are
    not essential by any means. As a compound that is 5 instances
    the power of Testosterone itself, there isn’t any must utilize even ‘moderate’ dosages
    to realize desired results and targets. The first step in treating anabolic steroid abuse
    is to discontinue use and to hunt medical assist to address any psychiatric or bodily signs which may occur.

    Every cycle should take you forward, not having you backtrack to make up for misplaced positive aspects.

    When you begin precisely depends on the esters used and
    their clearing time. Still, the standard Testosterone enanthate or similar
    length Test ester normally sees a 2-week clearing time following your ultimate steroid shot.
    SERMs are best taken when a lot of the steroid is out of your system; otherwise, it won’t fight the strong suppression. You may use a bunch of compounds in this cycle,
    however one will often be the MAIN compound that takes on the primary anabolic role during the cycle.

    In most individuals, an enzyme known as 5-alpha reductase within the body
    converts a small portion of Testosterone into DHT. Nonetheless, the rate at which this conversion happens can range amongst customers.
    Just like with estrogenic compounds, this difference in conversion can significantly influence the efficiency of DHT-based steroids, such as Masteron.
    Subsequently, customers will retain nearly all of muscle they achieve from
    steroids (if they continue to carry weights and train).
    If users cease lifting weights and expertise muscle atrophy, ought to they resume coaching in the future, the body will restore the earlier muscle dimension in a matter of weeks.
    Nevertheless, out of all anabolic steroids, we’ve
    discovered testosterone to be essentially the most cardiovascular-friendly.

    These pure steroids open the door so that you just can build muscle mass and enhance the quality of your muscle
    tissue with out the harmful unwanted aspect effects brought on by synthetic anabolic or androgenic injections.
    Docs generally prescribe anabolic steroids to treat medical circumstances,
    but individuals also use them illegally in some sports activities settings.
    Its ability to improve physique composition without vital
    weight achieve also makes Winstrol a favoured steroid among athletes.
    Nonetheless, like different potent oral steroids, Winstrol comes with
    dangers of hepatic pressure and hypertension. Additionally, its diuretic effects can exacerbate
    joint inflammation, resulting in discomfort or pain in some customers.

    It additionally supplies a rise in your metabolic fee and lets
    you shred with out muscle loss. Yes, among the strongest authorized steroids are choices that work to improve
    ATP in your muscles in order so that you can burn fat whilst gaining muscle mass.
    Choices such as Clenbutrol are identified for his or her function in muscle development
    by growing your vitality levels. This supplement
    helps you build muscle while rising your metabolic fee to burn fat
    as well, giving you a ripped physique. TestoPrime is one of the best steroid supplements on the market for
    improving your bodybuilding sport by supporting hormonal
    steadiness in your body. It accommodates 12 scientifically researched components that assist enhance testosterone ranges, support weight loss, and enhance muscle features.

    D-Bal has been hailed as one of many strongest authorized steroid alternate options for muscle development in 2025.

    This is a serious stack for ladies who need the utmost lean mass gains.
    Strength might be enhanced considerably as well, allowing you to raise heavier.
    Nevertheless, the draw back is water retention, meaning
    some weight shall be misplaced after the cycle. Fish oil,
    NAC, vitamin B6 (P5P), and Berberine are all recommended ancillaries to support the potential unwanted effects of cholesterol, liver, blood sugar,
    and prolactin.
    These syringes with needles hooked up are unsuitable for muscle injection but are used as a substitute for subcutaneous injections.
    Superior customers who use peptides, HCG, insulin, and different non-steroid
    compounds commonly use insulin syringes. Even if you’ve injected a quantity of instances already, you’ll wish to ensure you’re doing it proper every time to get one of the best outcomes and
    preserve your well being. Below, you’ll discover the most comprehensive guide to injecting steroids, containing
    every little thing you should know to get it right each time.
    One Other option is to take care of that decrease dosage
    vary of Primo while stacking it with Anavar (also at a low dosage) for mixed effects.
    If you intend to use injectable steroids for sale online
    Primo, a maximum dosage of 100mg must be the higher restrict to avoid virilization.
    See, I’m a firm believer that you want to never
    put anything into your body that you just don’t
    need. But from my analysis – I found that Anadrol stands a better probability of increasing strength and
    endurance. It really is dependent upon the individual and how their physique responds
    to each drug. Unfortunately, as a result of its unwanted
    effects, Anadrol just isn’t a drug that’s appropriate for everyone.

    When it involves performance-enhancing drugs, there are a lot of totally different options to choose from.
    A glucose tolerance check demonstrated that his hyperglycaemia had completely resolved.
    His hormonal profile was consistent with hypogonadatrophic
    hypogonadism.
    Introducing our esteemed author at SteroidsLive,
    Johnathan Reed, a seasoned fitness enthusiast with a passion for
    empowering others on their journey to optimum well being
    and efficiency. With years of expertise in the fitness trade and a background
    in sports science, Johnathan brings a wealth of knowledge and experience
    to his writing. Devoted to offering correct, evidence-based information, he strives to
    coach and encourage readers to attain their health objectives safely
    and effectively.
    Not only are such doses dangerous they have been proven to have little or no optimistic effect of an growing nature.

    With most anabolic steroids the more you’re taking
    the higher the results. With Anadrol we have a steroid that
    usually holds to a a lot sharper falloff level.
    Simply put, doses above 100mg per day will
    not often produce outcomes larger than 100mg per day. Additional, such doses typically suppress the individual’s urge
    for food, which isn’t something you want or want when in a mass gaining phase.

    Responder

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *