WIFI LED燈是由無線WiFi連接的LED電燈泡。這種燈可以做為路由器、HTTP服務(wù)器、HTTP代理服務(wù)器等等多種設(shè)備。

近日，有國外安全專家發(fā)現(xiàn)Zengge公司的WIFI LED燈中存在多個安全漏洞。

深圳市征極光兆科技(ZENGGE) 是一家集LED控制器產(chǎn)品研發(fā)、制造、銷售及工程設(shè)計、安裝、服務(wù)為一體的高科技公司。

WIFI LED燈是由無線WiFi連接的LED電燈泡。這種燈可以做為路由器、HTTP服務(wù)器、HTTP代理服務(wù)器等等多種設(shè)備。

工作原理

這種LED燈使用安卓應(yīng)用進行控制，它可以連入網(wǎng)絡(luò)，本地控制或通過網(wǎng)絡(luò)遠程控制，默認情況下互聯(lián)網(wǎng)控制是禁用的，這一點可以很好地保證安全。LED燈中有三個端口：TCP 80端口，TCP 5577端口，UDP 48899端口。80端口用于受損網(wǎng)頁，5577端口控制燈泡，48899端口控制路由器。

路由器端口允許用戶執(zhí)行任意操作：刷新固件，作為代理，讀取WiFi密碼，連入不同網(wǎng)絡(luò)等等。但是該端口一般只連接內(nèi)網(wǎng)?？刂圃摱丝诘拿钍茿T后加命令和可選參數(shù)的名稱。

雖然LED燈在連入網(wǎng)絡(luò)時沒有使用加密算法，但是由于用戶的權(quán)限只是控制光照，所以并沒有太大的影響

漏洞描述

本地網(wǎng)絡(luò)攻擊

攻擊者只需要向48899端口發(fā)送UDP數(shù)據(jù)包，即可借助硬編碼的密碼HF-A11ASSISTHREAD使用AT命令。

使用AT+UPURL命令可以刷新固件：

AT+UPURL=url，filename

使用以下AT命令可以讀取WIFI密碼：

AT+WSSSID

AT+WSKEY

使用AT+HTTPDT命令及相關(guān)的HTTP命令可以使LED燈按照攻擊者的意愿，讓所在網(wǎng)絡(luò)中的防火墻和NAT發(fā)送請求，發(fā)揮類似于HTTP代理的作用。

攻擊者可借助同一網(wǎng)絡(luò)中的燈泡獲取遠程控制功能的使用權(quán)限，該漏洞與“互聯(lián)網(wǎng)遠程控制”漏洞不同，攻擊者一旦知道了燈泡的MAC地址，其訪問權(quán)限即不能撤銷。

WIFI攻擊

當LED燈在STA模式未成功連接訪問點時，配置AT+MDCH功能會使它可以返回到無線AP模式。AT+MDCH功能有以下配置選項：

1、off

2、on – 1 minute

3、auto – 10 minutes

4、3-120 – minutes to reset

大多數(shù)情況下(除非用戶另外配置)，由于程序默認開啟AP模式，攻擊者可以連接并執(zhí)行任意本地攻擊。

暴露在互聯(lián)網(wǎng)中的危險

通過掃描LED燈的網(wǎng)絡(luò)，發(fā)現(xiàn)至少有兩個已暴露在互聯(lián)網(wǎng)中的管理端口。如果LED燈接入互聯(lián)網(wǎng)，攻擊者就可以在任意位置通過實施代理攻擊獲取用戶網(wǎng)絡(luò)的訪問權(quán)限，還可以借助路由器的MAC地址對用戶進行物理定位，并在Wigle數(shù)據(jù)庫中進行查找，使用已知的無線名和密碼連接與LED燈相同的訪問點，或使用軟件刷新固件，實施其他攻擊。

互聯(lián)網(wǎng)遠程控制攻擊

LED燈沒有使用身份驗證機制，所以如果攻擊者已知其MAC地址，并且它被設(shè)置成可以接收來自互聯(lián)網(wǎng)的命令時，攻擊者就可以控制該LED燈。

該燈的MAC地址的前綴是ACCF23，后三個字節(jié)確定一臺設(shè)備。由于MAC地址地址都是按順序分配的，因此，如果攻擊者確定了一個MAC地址就可以限定掃描范圍。因此，攻擊者花費很少的時間就可以控制開啟了“遠程控制”功能的燈泡。

但是Hue燈泡可通過使用源IP地址自動發(fā)現(xiàn)設(shè)備來阻止此類攻擊。

間接連接攻擊

已經(jīng)連接了LED燈的手機搜索遠程設(shè)置時，會發(fā)現(xiàn)該燈的授權(quán)設(shè)備列表，其中包括所有曾經(jīng)授權(quán)連接的設(shè)備，API調(diào)用為GetAuthUserDevice。那么，問題出現(xiàn)了：攻擊者可以借助該授權(quán)列表獲取設(shè)備ID，用于控制其他LED燈。

修復(fù)情況

Zengge公司曾經(jīng)通過混淆密鑰嘗試修復(fù)這些漏洞，但是并沒有成功。后來該公司發(fā)布了一個新的版本，修改了設(shè)備的注冊過程，加入了服務(wù)器驗證過程。但是至今仍然沒有開啟服務(wù)器驗證選項。