チャレンジタッチneo脆弱性についてのバックアップ(No.5)

バックアップ一覧
差分を表示
現在との差分を表示
ソースを表示
チャレンジタッチneo脆弱性についてへ行く。
- 1 (2021-12-02 (木) 23:26:03)
- 2 (2021-12-02 (木) 23:28:18)
- 3 (2021-12-03 (金) 07:37:06)
- 4 (2022-01-11 (火) 13:59:06)
- 5 (2022-01-11 (火) 17:17:53)
- 6 (2022-01-22 (土) 16:47:48)
- 7 (2022-02-01 (火) 06:25:56)
- 8 (2022-03-06 (日) 09:21:29)

許可なく説明動画などをアップロードしないでください。また、インターネット上に載せる場合はhttps://ctabwiki.nerrog.net/?CtabLabo_Information+managementを読んでからdiscordまで連絡して許可を取り、この記事を載せてください
脆弱性を発見したので書く
チャレンジタッチ2(https://ctabwiki.nerrog.net/?%E3%83%81%E3%83%A3%E3%83%AC%E3%83%B3%E3%82%B8%E3%83%91%E3%83%83%E3%83%892%E3%81%AE%E3%82%B9%E3%83%9A%E3%83%83%E3%82%AF)
チャレンジタッチ3(https://ctabwiki.nerrog.net/?%E3%83%81%E3%83%A3%E3%83%AC%E3%83%B3%E3%82%B8%E3%83%91%E3%83%83%E3%83%89%EF%BC%93%E3%82%B9%E3%83%9A%E3%83%83%E3%82%AF)
と同じく初期リリース当時に発見された、学習環境（Dcha_Stateが3）の際に「端末の状態」から設定アプリに飛ぶことのできる脆弱性のことだ、（初期化なし兼用改造が可能である）
（Dcha_Stateが0の際には通常通り開くことが可能)
ではここから詳しく説明する
画像が無くて理解しにくいかもしれません)
1...まずホーム画面に行く
2...設定を開く
3...「端末設定」と書かれたところを押す
4...「端末情報」と書かれたところを押す
5...「法的情報」と書かれたところを押す
6...「サードパーティ　ライセンス」を押す
7...ほど良いタイミング(ここが一番難しいです、粘り強く取り組みましょう)で、○月○日(午前or午後)○:○(何時何分?)の日付、日時が書かれている少し下を注意し、一瞬←と書かれているボタンが出現したら反応するように、連打しましょう。もし、これで設定アプリ(Android標準)に行ったら成功です。行けなかった場合は、5番からまた挑戦し直すとよいです。
最新の10件を表示しています。コメントページを参照
- いいんじゃない？役に立つと思うし... -- 腐った魚 2021-12-03 (金) 18:11:05
- どうせベネッセ見てないし良いか -- 2021-12-04 (土) 10:21:13
- どうせベネッセ見てないし良いか -- 2021-12-04 (土) 10:21:14
- すみません。2回挿入してしまいました。 -- 2021-12-04 (土) 10:21:58
- ありがとうございます！ヾ(≧∀≦*)ﾉ〃おかげさまで両立化が成功しました！ -- 腐った魚 2021-12-04 (土) 13:57:44
- ありがとうございます！！ -- *凡人#4836 2021-12-04 (土) 16:06:59
- この方法ベネッセに対策されました...恐らく今日neoにシステムアップデートが来たのでそれで←のボタンが押せないように対策されたと思います -- htk 2022-03-20 (日) 19:13:41
- 対策はされてませんよ -- 2022-03-20 (日) 19:14:38
- 対策ってNextの話ですか？Neoの話ですか？ -- Nm12 2022-03-20 (日) 19:17:28
- neoの脆弱性のページなのでNeoです。 -- 2022-03-20 (日) 20:45:57

チャレンジタッチneoについては以下
(https://ctabwiki.nerrog.net/?%E3%83%81%E3%83%A3%E3%83%AC%E3%83%B3%E3%82%B8%E3%83%91%E3%83%83%E3%83%89NEO/%E3%82%B9%E3%83%9A%E3%83%83%E3%82%AF)による

↑

チャレンジパッドNEOのスペック †

2020/11/20: 技適データベースに製品版NEOの型番とみられるものを発見したためリークに追記しました
2020/12/18: 実機で確認したスペック情報を一部公開しました
2020/12/26: 改造に関する情報を追加しました。

↑

画像 †

&ref(): File not found: "89456f2a-4bf4-49c5-b0c1-543c0ed7a693.png" at page "チャレンジタッチneo脆弱性について";

↑

スペックデータ †

各部	情報	備考
SoC	MediaTek	予想通り
OS	Android 9
最新ビルド番号	01.00.000
カーネルバージョン	4.14.87+ #1 Wed Nov 4 09:09:54 JST 2020
セキュリティパッチ	2020-07-05
ストレージ	16GB	チャレパ3と変わらず。
液晶サイズ	10.1インチ(1920×1200ドット）	解像度大幅UP！！フルHD以上の解像度！！
タッチパネル	静電容量方式タッチパネル	TAB-A03-BS以来の静電容量！滑らかなタッチや快適なズームイン、ズームアウト対応
マルチタップ	可	10点まで認識可能
ペン入力	電磁誘導方式	スマイルゼミに対抗してか、こちらも電磁誘導方式のペンを採用！！
スピーカー	モノラル	音に期待してはいけません。
Wi-Fi	IEEE802.11a/b/g/n/ac , 2.4/5Ghz対応	ネットめちゃつよい
SD	SD,SDHC対応	SDXCに関しては情報なし。
カメラ	メイン、サブともに500万画素	カメラはチャレンジパッド３と同じでゴミ。
USB	MiniUSB	あの古臭いUSB端子はまだ健在みたいです。はよTypeCになれ。
厚さ	約15.3mm	TAB-A03-BSとおんなじくらい。
サイズ	高さ約187mm×幅約267mm	変わらない。。？
重さ	約650ｇ	軽くなってる。
付属品	カバー、タッチペン、ACアダプタ	タッチペンいいなぁ
詳しくは	https://chu.benesse.co.jp/kaiin/lp/tablet_neo/index.html	魚拓

↑

対策情報 †

チャレンジパッド３に比べ、改造対策がビビるほど大幅強化。開発者オプションを開くときにパスワードを聞かれるダイアログが出る場合、
そのパッドの改造は現時点でほぼ不可能。（ブラウザを起動することさえもできない。）
工場から出荷されて届いたばかりのものなら改造できる。しかし、一度学習環境でセットアップしてしまったら初期化しても改造ができなくなる。
初期状態ならブラウザーの起動ができる。adbを使ってアプリをインストールすることができるが、セットアップアプリを開くと必要なデータ以外
全て消える。
不具合だらけだったDchaServiceも修正。
端末管理機能は復活。
初期化方法が変わった。といってもこれは改造対策ではなく、ホームボタンも静電式になったことによりさわるだけで反応するため、システム復旧モードに
誤って入ることのないようにするためだと考えられる。

詳細情報

↑

動作環境 †

⚠︎G のマークがあるアプリはGooglePlay開発者サービスが無いと動作しません。

GooglePlay	動作可能、インストール不可(android.permission.INSTALL_PACKAGESを付与できないため)詳しくはこちら G
GooglePlay開発者サービス	動作可能、使用可能 G
Google Play services for Instant App	動作可能、使用不明
Googleアカウントマネージャー	動作可能、使用可能 G
Googleサービスフレームワーク (5.1動作不可(rootが必要))	動作可能、使用可能 G
Googleパートナーのセットアップ	動作可能、使用不明
GoogleBackupTranspot	動作可能、使用不可(android.permission.BACKUPを付与できないため) G
Googleカレンダーの同期	動作可能、使用可能
Googleの連絡先の同期	動作可能、使用可能

↑

主なシステムアプリ †

↑

FirmwareUpdate/オフラインアップデート †

タブレットOEMの三洋テクノロジーソリューションズ鳥取によって開発されたタブレットのファームウェアアップデータ。
タブレットのシステムアップデートをするアプリ。
/storage/external/にupdate.zipを配置すればアップデート出来るが、署名チェックが実行されるためベネッセが出したupdate.zipしかアップデートを実行できない。

余談

↑

中ゼミアップデーター †

チャレンジパッド本体をアップデートする。
ACCESS_SYSTEMによってシステム権限でアップデートファイルを/cacheにコピーし、リカバリーモードで再起動して、アップデートを行う。

↑

中ゼミ　アップデートサービス/UpdateService †

ファームウェアのダウンロードをサポートする。
ACCESS_SYSTEMによってアプリのサイレントインストールをして、アップデートを行う。並列ダウンロードしていない為アップデートは遅い。

↑

中ゼミ　異物混入検知アプリ †

タッチパネルにごみが挟まったら自動的に教えてくれるお役立ちアプリ。
NEOは静電式の為機能していない。

↑

中ゼミ/ホームローディング †

ホーム画面を起動するのにつかわれる。アップデートのチェックなどを行う。
また、ACCESS_SYSTEMによって、ユーザー数、端末の状態の確認、ナビゲーションバーの非表示、ADBの無効を行う。
端末が学習にそぐわない状態だった場合等にローディングでエラーになる。

↑

中ゼミ専用ブラウザー/DchaBrowser †

チャレンジパッドのメインアプリケーション。中学講座はすべてブラウザにより表示されている。
小学講座はホームはアプリだが学習時はブラウザである。
アクセスできるページは、XMLファイルによって制御されている。
ホーム画面もHTML5で構成されている。
外部アプリを起動できる関数が備わっている。 (BenesseBrowser.transitionExpresslyApk)

↑

中ゼミタッチ　専用ブラウザー †

チャレンジパッドのメインアプリケーション。すべてブラウザにより表示されている。
なおこのアプリは中2,3講座のみ　中ゼミ専用ブラウザーとは微妙にパケットサイズが異なっている
外部アプリを起動できる関数が備わっている。 (BenesseBrowser.transitionExpresslyApk)

↑

中ゼミユーザー設定/DchaUserSetting †

画面の明るさやwifiの設定、sdカードへコピー、接続テストなどの設定を提供する。
また、ユーザー数を確認する。作成するとエラーになる。
端末情報までいくとナビゲーションバーが表示される。オープンソースを開き、文字を選択しブラウザで開くを押すとブラウザで開くはずだがDchaStateによって管理されており、3(学習環境)だった場合、開かないようになっている。
また、ボリュームダウンボタンを押しながら、ユーザー設定のトップアクティビティを開くと、管理画面ボタンが出現し、
タップすると、パスワードを入力できる。
パスワードを入力するとAndroidの設定画面が開くが、
アップデートにより、パスワードが解析されないようSHA-256によって暗号化されたため解読は実質不可能になった。
文鎮パスワードは以前と同様であり暗号化されていない。この為設定を開くパスワードが暗号化されたのは改造対策だということがわかる。

↑

Androidシステム †

AndroidOS本体
このアプリが存在していないとOSを起動できずブートループになる。
全てのAndroidにインストールされている。

↑

DchaService †

ベネッセタブレットを管理するアプリ。
初期チャレンジパッドの物よりパワーアップしている。
独自パーミッション

jp.co.benesse.dcha.permission.ACCESS_SYSTEM|プロテクトレベル:dangerous

jp.co.benesse.dcha.permission.ACCESS_DATA|プロテクトレベル:signature

jp.co.benesse.dcha.permission.ACCESS_SERVER|プロテクトレベル:signature

jp.co.benesse.dcha.permission.ACCESS_ACOUNT|プロテクトレベル:signature

jp.co.benesse.dcha.permission.STOP_SERVICE|プロテクトレベル:signature

が割り当てられる。
ACCESS_SYSTEM以外は保護されており、署名が一致していないと付与されない。

ACCESS_SYSTEMに含まれている機能

cancelSetup
セットアップ中に変更した設定やインストールしたアプリをすべてなくし、もとに戻す。ただしDchaPastCompletedは削除されない。
checkPadRooted
デバイスのRoot権限が取得されてないか確認
取得されているとtrue、でなければfalseを返す。
clearDefaultPreferredApp
アプリのデフォルト設定をクリアする。Benesseの設定に変更される。
copyFile
ファイルをコピーする。ファイルパスが確認されている。
成功するとtrue、でなければfalseを返す。
copyUpdateImage
System権限でファイルをコピーする。/dataや/cacheにアクセスできる。ファイルパスが確認されている。
成功するとtrue、でなければfalseを返す。
deleteFile
ファイルを削除する。ファイルパスが確認されている。
成功するとtrue、でなければfalseを返す。
disableADB
設定のデバッグモードをオフにする。adbを使えなくする。開発者オプションまたはアプリから再度有効にできる。
getForegroundPackageName
現在表示中のアクティビティのアプリのパッケージを取得する。
getSetupStatus
DchaServiceのDigichalizedStatusの値を取得する。
getUserCount
Androidの設定中のユーザー数を取得する。
hideNavigationBar
ナビゲーションバーを表示するか設定する。
trueで非表示、falseで表示
installApp
アプリをインストールする。ただし、Benesseの署名か確認される。
isDeviceEncryptionEnabled
Androidが暗号化されているか調べる。
rebootPad
チャレンジパッドを再起動するほかに、初期化したり、アップデートイメージを適用することができる。
removeTask
タスクをすべて消去する。
sdUnmount
SDカードをアンマウントし、取り外しを可能にする。
setDefaultParam
学習環境用の設定をAndroidに適用し、すべてのサードパーティ製のアプリを消去する。
setDefaultPreferredHomeApp
デフォルトのランチャーを設定する。
setPermissionEnforced
android.permission.
READ_EXTERNAL_STORAGEの
権限を強制させるか設定するようだが、
使おうとしてもDchaServiceが死滅するためわからない。
setSetupStatus
DchaServiceのDigichalizedStatusの値を設定する。
一度でも0ではない値を設定するとDchaPastCompletedが作成される。
もし作成されている状態で0以外の値にするとファイルの中の数値が一つずつ上がる。
setSystemTime
Androidの時間を設定する。
uninstallApp
アプリをアンインストールする。
verifyUpdateImage
update.zipの署名をチェックする。

↑

DchaUtilService †

DchaServiceにはないSystem権限の機能を提供する。
Androidシステムと署名が一致している為System権限で動作している。
ユーザーアプリなのに全てのAndroidの権限が付与される。

含まれている機能

↑

SetupWizard †

スタートボタンのアプリ。
起動前に内部ストレージにフォルダorファイルを置くとエラーになる
•起動すると発生するアクションまとめ。

全てのデータ、アプリが消去され、学習設定になる。(端末管理アプリ除く)

システムUI以外の全アプリの通知がブロックされる

自動スリープの時間が10分に変更される

通知バーが開けなくなる

画面ロックが解除される

ナビゲーションバーが表示されなくなる

右上の時計表示が例 20:00から●月●日午後8時00分に変更される

DchaStateが変更され、DchaPastCompletedが作成される。