当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0148542

漏洞标题:小米某智能家电存在漏洞可被渗透导致整个智能家居网络沦陷(无线局域网测试案例)

相关厂商:小米科技

漏洞作者: 大漠長河

提交时间:2015-10-22 15:03

修复时间:2015-12-17 14:48

公开时间:2015-12-17 14:48

漏洞类型:设计不当

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-10-22: 细节已通知厂商并且等待厂商处理中
2015-10-26: 厂商已经确认,细节仅向厂商公开
2015-10-29: 细节向第三方安全合作伙伴开放(绿盟科技唐朝安全巡航
2015-12-20: 细节向核心白帽子及相关领域专家公开
2015-12-30: 细节向普通白帽子公开
2016-01-09: 细节向实习白帽子公开
2015-12-17: 细节向公众公开

简要描述:

由于wooyun-2015-0148244未通过审核,今天重新修改了措辞并再次验证,用正规点的文笔描述此问题,降低了娱乐性,增加了可读性于严谨性。小米骨灰粉丝一如既往的支持小米。
简要描述:
模拟场景:
攻击者,女神追求者
地点:女神家楼下停车位(女神Wifi范围内,使用了小米放大器的小米无线网覆盖范围较大)
被攻击者:单身白领女神
影响:劫持女神网络支付钱包,劫持所有智能家电甚至女神座驾,看女神隐私数据文件。
更多细节请看详细

详细说明:

漏洞名称:小米盒子存在逻辑漏洞可被渗透
攻击途径:远程地
是否需要认证:无需认证
机密性:完全地
可用性:完全地
完整性:完全地
攻击复杂度:低
影响范围:小米盒子(仅测试了迷你版,版本号如图)
小米盒子由于缺乏认证机制,导致小米盒子手机APP(投屏神器)可直接扫描局域网内小米盒子,无需密码认证可直接连接(默认设置)。
而小米盒子账号可控制各种智能家居设备,如电器智能开关,手环,摄像头甚至汽车盒子。
本案例中通过首先突破家庭WIFI,登陆小米盒子,通过盒子作跳板劫持所有智能家电,偷看主人睡觉监控主人出行,甚至给主人车子开窗。由于小米账号与支付宝绑定,可导致资金损失。
由于存在逻辑漏洞,还可以绕过屏幕认证给小米盒子植入后门程序长期潜伏女神周围。
漏洞直接影响:小米帐号体系在无线网范围内形同虚设,智能家居(本案例中为小蚂蚁摄像头,智能插座,小米放大器,小米盒子及连接的电视),与小米帐号绑定的淘宝帐号(购买小米产品或购买影片用)。
直接在盒子上播放自己想播放的任何视频,图片,音频。劫持小米智能插座连接的电器,比如电饭煲引起火灾等,劫持小蚂蚁摄像头窃取主人隐身甚至直接于主人对话勒索。
漏洞间接影响:小米盒子安装的APP(本案例中为智能手环,图吧汽车盒子---其最新版本可以给汽车解锁开窗!!)
攻击过程,停车,开电脑,扫网络,破解无线网络(经测试小米路由器防蹭网功能防不住Metasploit什么的, 连个报警都没有),下载安卓(苹果客户端功能比较鸡肋,无法完成攻击)投屏神器,扫小米盒子,直接连接过去,设置安装非认证软件,然后一切都尽在掌控。。。。

漏洞证明:

一、小米盒子版本号信息

QQ图片20151021003848.jpg

QQ图片20151021003840.jpg


二、小米路由器无线WIFI的攻克

210311181302d321ab31840eedc812208504e8ba.jpg

21031105336133a9fa6cd1ad8c59555871d5bbc0.jpg

210311253c8341e2456bb940f997d21815ba17e6.jpg


三、连入局域网后对小米盒子进行攻击

mmexport1445469455286.jpg

mmexport1445469463222.jpg

mmexport1445469466796.jpg

mmexport1445469486130.jpg

mmexport1445469482983.jpg

mmexport1445469478020.jpg

mmexport1445469489516.jpg


四、修改配置植入代码等

MITVScreenshot1445335167359.png

MITVScreenshot1445335671639.png

QQ截图20151021025349.jpg

91443.png


五、消费小米账户或者绑定的支付宝里面的金钱

MITVScreenshot1445366434823.png

MITVScreenshot1445468725239.png


六、智能家居电器完全沦陷可杀人放火(有智能插座连接电磁炉电饭煲)

QQ图片20151020141627.jpg

QQ图片20151020141638.jpg

智能的东西不靠谱.png

智能家居的恐怖危害.png

看看女神干啥,也可以打个招呼 语音的.png

窃取牢不可破的小米路由器内资料.png

窃取牢不可破的小米路由器内资料.png

MITVScreenshot1445356202863.png

MITVScreenshot1445336187150.png


七、危害扩展之智能手环篇(无法容忍的隐私信息泄漏,危害超过前面的那个摄像头)

看女神睡觉.png

QQ图片20151020141304.jpg


八、危害扩展之各种汽车盒子*(以可以解锁汽车的图吧盒子为例)

QQ截图20151021004057.png

MITVScreenshot1445336835972(1).png

MITVScreenshot1445336871644.png

MITVScreenshot1445336978186.png

MITVScreenshot1445337031073.png


八、被测试网络环境

QQ图片20151021003822.jpg

QQ截图20151021003743.png


九、测试前后路由器日志记录对比

Screenshot_2015-10-21-00-09-04.jpeg

Screenshot_2015-10-21-02-04-36.jpeg


修复方案:

1、小米投屏神器仅能在登录状态下访问本帐号绑定的小米盒子。
2、小米盒子增加认证机制。
3、小米盒子可设置连接设备黑白名单。

版权声明:转载请注明来源 大漠長河@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2015-10-26 20:11

厂商回复:

我们会完善设备在局域网内的认证机制。感谢提交!

最新状态:

暂无


漏洞评价:

评价

  1. 2015-10-22 15:30 | Martial ( 普通白帽子 | Rank:2074 漏洞数:293 | 竟然还有人冒充我,醉了,骗子QQ445697541...)

    mark 描述好牛B 期待不是标题党

  2. 2015-10-22 15:37 | Inset ( 路人 | Rank:8 漏洞数:1 | 闲来无事,到处逛逛!)

    没修改的能给大家一观否。

  3. 2015-10-22 15:48 | ba1ma0 ( 路人 | Rank:6 漏洞数:2 | 什么都不会..)

    没修改的能给大家一观否。

  4. 2015-10-22 15:55 | px1624 ( 普通白帽子 | Rank:1072 漏洞数:181 | px1624)

    劫持女神的 小爱爱跳蛋

  5. 2015-10-22 17:58 | scanf ( 核心白帽子 | Rank:1334 漏洞数:195 | 。)

    大哥 好可怕

  6. 2015-10-22 23:04 | 大饭刚 ( 实习白帽子 | Rank:82 漏洞数:17 | 吃饭,喝酒,挖洞洞)

    mark

  7. 2015-10-23 18:41 | 路人毛 ( 实习白帽子 | Rank:62 漏洞数:25 | ../)

    劫持女神的 小爱爱跳蛋

  8. 2015-10-25 12:53 | 番茄师傅 ( 普通白帽子 | Rank:346 漏洞数:92 | http://www.tomatoyu.com/)

    劫持女神的 小爱爱跳蛋

  9. 2015-10-27 07:32 | 行侠 ( 实习白帽子 | Rank:70 漏洞数:26 )

    @scanf 话说你也是女神^_^?

  10. 2015-10-31 11:10 | 大师兄 ( 路人 | Rank:29 漏洞数:7 | 每日必关注乌云)

    快来这里,好多的女神,忙不过来。

  11. 2015-11-21 09:35 | 采菇凉的小蘑菇 ( 路人 | Rank:4 漏洞数:2 | 孩子不哭 站起来撸)

    劫持女神的 小爱爱跳蛋

  12. 2015-11-22 22:33 | 大漠長河 ( 实习白帽子 | Rank:66 漏洞数:10 | ̷̸̨̀͒̏̃ͦ̈́̾( 天龙源景区枫叶正...)

    @采菇凉的小蘑菇 对你们无语了。。。一大群猥琐流来袭。貌似真可以在更远的距离复现数据流的攻击哈哈

  13. 2015-11-30 16:04 | 采菇凉的小蘑菇 ( 路人 | Rank:4 漏洞数:2 | 孩子不哭 站起来撸)

    @大漠長河 请收下我的膝盖