紅色預(yù)警！智能照明華麗外表下的那些安全漏洞

LED燈沒(méi)有使用身份驗(yàn)證機(jī)制，所以如果攻擊者已知其MAC地址，并且它被設(shè)置成可以接收來(lái)自互聯(lián)網(wǎng)的命令時(shí)，攻擊者就可以控制該LED燈。

?

WIFI LED燈是由無(wú)線WiFi連接的LED電燈泡。這種燈可以做為路由器、HTTP服務(wù)器、HTTP代理服務(wù)器等等多種設(shè)備。

工作原理

這種LED燈使用安卓應(yīng)用進(jìn)行控制，它可以連入網(wǎng)絡(luò)，本地控制或通過(guò)網(wǎng)絡(luò)遠(yuǎn)程控制，默認(rèn)情況下互聯(lián)網(wǎng)控制是禁用的，這一點(diǎn)可以很好地保證安全。LED燈中有三個(gè)端口：TCP 80端口，TCP 5577端口，UDP 48899端口。80端口用于受損網(wǎng)頁(yè)，5577端口控制燈泡，48899端口控制路由器。

路由器端口允許用戶執(zhí)行任意操作：刷新固件，作為代理，讀取WiFi密碼，連入不同網(wǎng)絡(luò)等等。但是該端口一般只連接內(nèi)網(wǎng)。控制該端口的命令是AT后加命令和可選參數(shù)的名稱。

雖然LED燈在連入網(wǎng)絡(luò)時(shí)沒(méi)有使用加密算法，但是由于用戶的權(quán)限只是控制光照，所以并沒(méi)有太大的影響

?

漏洞描述

本地網(wǎng)絡(luò)攻擊

攻擊者只需要向48899端口發(fā)送UDP數(shù)據(jù)包，即可借助硬編碼的密碼HF-A11ASSISTHREAD使用AT命令。

使用AT+UPURL命令可以刷新固件：

AT+UPURL=url，filename

使用以下AT命令可以讀取WIFI密碼：

AT+WSSSID

AT+WSKEY

使用AT+HTTPDT命令及相關(guān)的HTTP命令可以使LED燈按照攻擊者的意愿，讓所在網(wǎng)絡(luò)中的防火墻和NAT發(fā)送請(qǐng)求，發(fā)揮類似于HTTP代理的作用。

攻擊者可借助同一網(wǎng)絡(luò)中的燈泡獲取遠(yuǎn)程控制功能的使用權(quán)限，該漏洞與“互聯(lián)網(wǎng)遠(yuǎn)程控制”漏洞不同，攻擊者一旦知道了燈泡的MAC地址，其訪問(wèn)權(quán)限即不能撤銷。

?

WIFI攻擊

當(dāng)LED燈在STA模式未成功連接訪問(wèn)點(diǎn)時(shí)，配置AT+MDCH功能會(huì)使它可以返回到無(wú)線AP模式。AT+MDCH功能有以下配置選項(xiàng)：

1.off　

2.on – 1 minute

3.auto – 10 minutes

4.3-120 – minutes to reset

大多數(shù)情況下（除非用戶另外配置），由于程序默認(rèn)開啟AP模式，攻擊者可以連接并執(zhí)行任意本地攻擊。

暴露在互聯(lián)網(wǎng)中的危險(xiǎn)

通過(guò)掃描LED燈的網(wǎng)絡(luò)，發(fā)現(xiàn)至少有兩個(gè)已暴露在互聯(lián)網(wǎng)中的管理端口。如果LED燈接入互聯(lián)網(wǎng)，攻擊者就可以在任意位置通過(guò)實(shí)施代理攻擊獲取用戶網(wǎng)絡(luò)的訪問(wèn)權(quán)限，還可以借助路由器的MAC地址對(duì)用戶進(jìn)行物理定位，并在Wigle數(shù)據(jù)庫(kù)中進(jìn)行查找，使用已知的無(wú)線名和密碼連接與LED燈相同的訪問(wèn)點(diǎn)，或使用軟件刷新固件，實(shí)施其他攻擊。

互聯(lián)網(wǎng)遠(yuǎn)程控制攻擊

LED燈沒(méi)有使用身份驗(yàn)證機(jī)制，所以如果攻擊者已知其MAC地址，并且它被設(shè)置成可以接收來(lái)自互聯(lián)網(wǎng)的命令時(shí)，攻擊者就可以控制該LED燈。

該燈的MAC地址的前綴是ACCF23，后三個(gè)字節(jié)確定一臺(tái)設(shè)備。由于MAC地址地址都是按順序分配的，因此，如果攻擊者確定了一個(gè)MAC地址就可以限定掃描范圍。因此，攻擊者花費(fèi)很少的時(shí)間就可以控制開啟了“遠(yuǎn)程控制”功能的燈泡。

但是Hue燈泡可通過(guò)使用源IP地址自動(dòng)發(fā)現(xiàn)設(shè)備來(lái)阻止此類攻擊。

間接連接攻擊

已經(jīng)連接了LED燈的手機(jī)搜索遠(yuǎn)程設(shè)置時(shí)，會(huì)發(fā)現(xiàn)該燈的授權(quán)設(shè)備列表，其中包括所有曾經(jīng)授權(quán)連接的設(shè)備，API調(diào)用為GetAuthUserDevice。那么，問(wèn)題出現(xiàn)了：攻擊者可以借助該授權(quán)列表獲取設(shè)備ID，用于控制其他LED燈。

修復(fù)情況

Zengge公司曾經(jīng)通過(guò)混淆密鑰嘗試修復(fù)這些漏洞，但是并沒(méi)有成功。后來(lái)該公司發(fā)布了一個(gè)新的版本，修改了設(shè)備的注冊(cè)過(guò)程，加入了服務(wù)器驗(yàn)證過(guò)程。但是至今仍然沒(méi)有開啟服務(wù)器驗(yàn)證選項(xiàng)。