• バックアップ一覧
• 差分 を表示
• 現在との差分 を表示
• ソース を表示
• チャレンジタッチneo脆弱性について へ行く。
  • 1 (2021-12-02 (木) 23:26:03)
  • 2 (2021-12-02 (木) 23:28:18)
  • 3 (2021-12-03 (金) 07:37:06)
  • 4 (2022-01-11 (火) 13:59:06)
  • 5 (2022-01-11 (火) 17:17:53)
  • 6 (2022-01-22 (土) 16:47:48)
  • 7 (2022-02-01 (火) 06:25:56)
  • 8 (2022-03-06 (日) 09:21:29)

---

許可なく説明動画などをアップロードしないでください。また、インターネット上に載せる場合はhttps://ctabwiki.nerrog.net/?CtabLabo_Information+managementのことを読んでからdiscordまで連絡して許可を取り、この記事を載せてください
チャレンジタッチneo
チャレンジタッチ2(https://ctabwiki.nerrog.net/?%E3%83%81%E3%83%A3%E3%83%AC%E3%83%B3%E3%82%B8%E3%83%91%E3%83%83%E3%83%892%E3%81%AE%E3%82%B9%E3%83%9A%E3%83%83%E3%82%AF)
チャレンジタッチ3(https://ctabwiki.nerrog.net/?%E3%83%81%E3%83%A3%E3%83%AC%E3%83%B3%E3%82%B8%E3%83%91%E3%83%83%E3%83%89%EF%BC%93%E3%82%B9%E3%83%9A%E3%83%83%E3%82%AF)
と同じく初期リリース当時に発見された、学習環境（Dcha_Stateが3）の際に「端末の状態」から設定アプリに飛ぶことのできる脆弱性のことだ、（初期化なし兼用改造が可能である）
（Dcha_Stateが0の際には通常通り開くことが可能)
ではここから詳しく説明する
画像が無くて理解しにくいかもしれません)
1...まずホーム画面に行く
2...設定を開く
3...「端末設定」と書かれたところを押す
4...「端末情報」と書かれたところを押す
5...「法的情報」と書かれたところを押す
6...「サードパーティ　ライセンス」を押す
7...ほど良いタイミング(ここが一番難しいです、粘り強く取り組みましょう)で、○月○日(午前or午後)○:○(何時何分?)の日付、日時が書かれている少し下を注意し、一瞬←と書かれているボタンが出現したら反応するように、連打しましょう。もし、これで設定アプリ(Android標準)に行ったら成功です。行けなかった場合は、5番からまた挑戦し直すとよいです。

チャレンジタッチneoについては以下
(https://ctabwiki.nerrog.net/?%E3%83%81%E3%83%A3%E3%83%AC%E3%83%B3%E3%82%B8%E3%83%91%E3%83%83%E3%83%89NEO/%E3%82%B9%E3%83%9A%E3%83%83%E3%82%AF)による

目次 †

チャレンジパッドNEOのスペック †

2020/11/20: 技適データベースに製品版NEOの型番とみられるものを発見したためリークに追記しました
2020/12/18: 実機で確認したスペック情報を一部公開しました
2020/12/26: 改造に関する情報を追加しました。

画像 †

スペックデータ †

対策情報 †

• チャレンジパッド３に比べ、改造対策がビビるほど大幅強化。開発者オプションを開くときにパスワードを聞かれるダイアログが出る場合、
  そのパッドの改造は現時点でほぼ不可能。（ブラウザを起動することさえもできない。）
• 工場から出荷されて届いたばかりのものなら改造できる。しかし、一度学習環境でセットアップしてしまったら初期化しても改造ができなくなる。
• 初期状態ならブラウザーの起動ができる。adbを使ってアプリをインストールすることができるが、セットアップアプリを開くと必要なデータ以外
  全て消える。
• 不具合だらけだったDchaServiceも修正。
• 端末管理機能は復活。
• 初期化方法が変わった。といってもこれは改造対策ではなく、ホームボタンも静電式になったことによりさわるだけで反応するため、システム復旧モードに
  誤って入ることのないようにするためだと考えられる。

+

詳細情報

以前からのdcha_stateに加え、新たに変更不可能な領域に保存されているファイルによって改造対策状態にするかしないかを設定するようになった。（このファイルを以後DchaPastCompletedと呼ぶ） DchaPastCompletedの書き換えは不可能 DchaPastCompletedが存在すると、「ブラウザ」アプリと「検索」アプリとadbが無効化される。 DchaPastCompletedが存在するかつdcha_stateが 0のとき、adbは監視されていて、有効化してもすぐに無効化される。 DchaPastCompletedが存在すると、アプリからの提供元不明のアプリのインストールができなくなる。 （技術的には、今までは「提供元不明のアプリ」のスイッチを隠すだけだったのが、android.os.UserManagerのUserRestrictionによってさらに制限されるようになった。つまり、他のアプリやadbでも有効化できない。ただし、adbでインストールすることはできる。） https://developer.android.com/reference/android/os/UserManager dcha_stateが０より大きいとき、セーフモードが無効化される。 dcha_stateが０のとき、com.android.traceurが無効化される。

動作環境 †

⚠︎G のマークがあるアプリはGooglePlay開発者サービスが無いと動作しません。

主なシステムアプリ †

---

FirmwareUpdate/オフラインアップデート †

タブレットOEMの三洋テクノロジーソリューションズ鳥取によって開発されたタブレットのファームウェアアップデータ。
タブレットのシステムアップデートをするアプリ。
/storage/external/にupdate.zipを配置すればアップデート出来るが、署名チェックが実行されるためベネッセが出したupdate.zipしかアップデートを実行できない。

+

余談

アップデート実行中に署名が違うファイルを検出した場合、「エラーです」とメッセージを出す。アップデートが強制中断される。 そのため、端末内に消えないゴミが残り、動作が非常に不安定になる。 この症状は初期化すれば直るが、そうするとNeoでは再改造が不可能なため、絶対にやってはいけない。

中ゼミ アップデーター †

チャレンジパッド本体をアップデートする。
ACCESS_SYSTEMによってシステム権限でアップデートファイルを/cacheにコピーし、リカバリーモードで再起動して、アップデートを行う。

中ゼミ　アップデートサービス/UpdateService †

ファームウェアのダウンロードをサポートする。
ACCESS_SYSTEMによってアプリのサイレントインストールをして、アップデートを行う。並列ダウンロードしていない為アップデートは遅い。

中ゼミ　異物混入検知アプリ †

タッチパネルにごみが挟まったら自動的に教えてくれるお役立ちアプリ。
NEOは静電式の為機能していない。

中ゼミ/ホームローディング †

ホーム画面を起動するのにつかわれる。アップデートのチェックなどを行う。
また、ACCESS_SYSTEMによって、ユーザー数、端末の状態の確認、ナビゲーションバーの非表示、ADBの無効を行う。
端末が学習にそぐわない状態だった場合等にローディングでエラーになる。

中ゼミ 専用ブラウザー/DchaBrowser †

チャレンジパッドのメインアプリケーション。中学講座はすべてブラウザにより表示されている。
小学講座はホームはアプリだが学習時はブラウザである。
アクセスできるページは、XMLファイルによって制御されている。
ホーム画面もHTML5で構成されている。
外部アプリを起動できる関数が備わっている。 (BenesseBrowser.transitionExpresslyApk)

中ゼミ タッチ　専用ブラウザー †

チャレンジパッドのメインアプリケーション。すべてブラウザにより表示されている。
なおこのアプリは中2,3講座のみ　中ゼミ 専用ブラウザーとは微妙にパケットサイズが異なっている
外部アプリを起動できる関数が備わっている。 (BenesseBrowser.transitionExpresslyApk)

中ゼミ ユーザー設定/DchaUserSetting †

画面の明るさやwifiの設定、sdカードへコピー、接続テストなどの設定を提供する。
また、ユーザー数を確認する。作成するとエラーになる。
端末情報までいくとナビゲーションバーが表示される。オープンソースを開き、文字を選択しブラウザで開くを押すとブラウザで開くはずだがDchaStateによって管理されており、3(学習環境)だった場合、開かないようになっている。
また、ボリュームダウンボタンを押しながら、ユーザー設定のトップアクティビティを開くと、管理画面ボタンが出現し、
タップすると、パスワードを入力できる。
パスワードを入力するとAndroidの設定画面が開くが、
アップデートにより、パスワードが解析されないようSHA-256によって暗号化されたため解読は実質不可能になった。
文鎮パスワードは以前と同様であり暗号化されていない。この為設定を開くパスワードが暗号化されたのは改造対策だということがわかる。

Androidシステム †

AndroidOS本体
このアプリが存在していないとOSを起動できずブートループになる。
全てのAndroidにインストールされている。

DchaService †

ベネッセタブレットを管理するアプリ。
初期チャレンジパッドの物よりパワーアップしている。
独自パーミッション

---

jp.co.benesse.dcha.permission.ACCESS_SYSTEM|プロテクトレベル:dangerous

---

jp.co.benesse.dcha.permission.ACCESS_DATA|プロテクトレベル:signature

---

jp.co.benesse.dcha.permission.ACCESS_SERVER|プロテクトレベル:signature

---

jp.co.benesse.dcha.permission.ACCESS_ACOUNT|プロテクトレベル:signature

---

jp.co.benesse.dcha.permission.STOP_SERVICE|プロテクトレベル:signature

---

が割り当てられる。
ACCESS_SYSTEM以外は保護されており、署名が一致していないと付与されない。

+

ACCESS_SYSTEMに含まれている機能

cancelSetup セットアップ中に変更した設定やインストールしたアプリをすべてなくし、もとに戻す。ただしDchaPastCompletedは削除されない。 checkPadRooted デバイスのRoot権限が取得されてないか確認 取得されているとtrue、でなければfalseを返す。 clearDefaultPreferredApp アプリのデフォルト設定をクリアする。Benesseの設定に変更される。 copyFile ファイルをコピーする。ファイルパスが確認されている。 成功するとtrue、でなければfalseを返す。 copyUpdateImage System権限でファイルをコピーする。/dataや/cacheにアクセスできる。ファイルパスが確認されている。 成功するとtrue、でなければfalseを返す。 deleteFile ファイルを削除する。ファイルパスが確認されている。 成功するとtrue、でなければfalseを返す。 disableADB 設定のデバッグモードをオフにする。adbを使えなくする。開発者オプションまたはアプリから再度有効にできる。 getForegroundPackageName 現在表示中のアクティビティのアプリのパッケージを取得する。 getSetupStatus DchaServiceのDigichalizedStatusの値を取得する。 getUserCount Androidの設定中のユーザー数を取得する。 hideNavigationBar ナビゲーションバーを表示するか設定する。 trueで非表示、falseで表示 installApp アプリをインストールする。ただし、Benesseの署名か確認される。 isDeviceEncryptionEnabled Androidが暗号化されているか調べる。 rebootPad チャレンジパッドを再起動するほかに、初期化したり、アップデートイメージを適用することができる。 removeTask タスクをすべて消去する。 sdUnmount SDカードをアンマウントし、取り外しを可能にする。 setDefaultParam 学習環境用の設定をAndroidに適用し、すべてのサードパーティ製のアプリを消去する。 setDefaultPreferredHomeApp デフォルトのランチャーを設定する。 setPermissionEnforced android.permission. READ_EXTERNAL_STORAGEの 権限を強制させるか設定するようだが、 使おうとしてもDchaServiceが死滅するためわからない。 setSetupStatus DchaServiceのDigichalizedStatusの値を設定する。 一度でも0ではない値を設定するとDchaPastCompletedが作成される。 もし作成されている状態で0以外の値にするとファイルの中の数値が一つずつ上がる。 setSystemTime Androidの時間を設定する。 uninstallApp アプリをアンインストールする。 verifyUpdateImage update.zipの署名をチェックする。

DchaUtilService †

DchaServiceにはないSystem権限の機能を提供する。
Androidシステムと署名が一致している為System権限で動作している。
ユーザーアプリなのに全てのAndroidの権限が付与される。

+

含まれている機能

clearDefaultPreferredApp アプリのデフォルト設定をクリアする。 copyDirectory ディレクトリをコピーする。パスチェックあり。 copyFile ファイルをコピーする。パスチェックあり。 deleteFile ファイルを削除する。パスチェックあり。 getDisplaySize 解像度を取得する？ getLcdSize 解像度を取得する？ getUserCount Androidの設定中のユーザー数を取得する。 hideNavigationBar ナビゲーションバーを表示するか設定する。 makeDir ディレクトリを生成する。 sdUnmount SDカードをアンマウントする。 setDefaultPreferredHomeApp デフォルトのランチャーを設定する。 setForcedDisplaySize 解像度を設定する。

SetupWizard †

スタートボタンのアプリ。
起動前に内部ストレージにフォルダorファイルを置くとエラーになる
•起動すると発生するアクションまとめ。