搜索

[11868] 2017-10-08_如何入侵联网智能灯泡——LIFX智能灯泡

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-10-08_如何入侵联网智能灯泡——LIFX智能灯泡 如 何 入 侵 联 网 智 能 灯 泡 — — L I F X 智 能 灯 泡 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 1 0 - 0 8 写 在 前 面 的 话 写 在 前 面 的 话 这 篇 文 章 的 这 篇 文 章 的 “ 主 人 公 主 人 公 ” ， 即 ， 即 L I F X 智 能 灯 泡 。 根 据 官 方 描 述 ， 这 种 灯 泡 配 备 了 智 能 灯 泡 。 根 据 官 方 描 述 ， 这 种 灯 泡 配 备 了 W i F i 功 能 ， 可 以 进 行 多 色 调 节 ， 它 功 能 ， 可 以 进 行 多 色 调 节 ， 它 是 一 种 高 效 节 能 的 是 一 种 高 效 节 能 的 L E D 灯 泡 ， 并 且 可 以 通 过 智 能 手 机 远 程 控 制 。 考 虑 到 它 使 用 了 新 型 的 无 线 网 络 协 议 以 及 其 进 灯 泡 ， 并 且 可 以 通 过 智 能 手 机 远 程 控 制 。 考 虑 到 它 使 用 了 新 型 的 无 线 网 络 协 议 以 及 其 进 入 市 场 的 高 调 程 度 ， 因 此 我 们 选 择 对 这 款 物 联 网 设 备 进 行 安 全 分 析 。 入 市 场 的 高 调 程 度 ， 因 此 我 们 选 择 对 这 款 物 联 网 设 备 进 行 安 全 分 析 。 L I F X 项 目 最 初 于 2 0 1 2 年 9 月 份 在 众 筹 网 站 K i c k s t a r t e r 上 发 起 ， 当 时 该 项 目 大 受 欢 迎 ， 其 最 终 筹 得 的 资 金 是 原 始 计 划 的 十 三 倍 之 多 。 为 了 通 过 智 能 手 机 应 用 来 进 行 远 程 控 制 ， L I F X 灯 泡 需 要 连 接 至 W i F i 网 络 。 如 果 处 于 多 个 灯 泡 均 可 用 的 情 况 下 ， 用 户 只 需 要 将 其 中 一 个 灯 泡 接 入 网 络 即 可 。 这 个 “ 主 ” 灯 泡 可 以 接 收 智 能 手 机 应 用 发 送 过 来 的 控 制 命 令 ， 并 将 命 令 通 过 一 个 8 0 2 . 1 5 . 4   6 L o W P A N 无 线 m e s h 网 络 广 播 给 其 他 灯 泡 。 8 0 2 . 1 5 . 4   6 L o W P A N 无 线 m e s h 网 络 运 行 架 构 如 下 图 所 示 ： 当 “ 主 ” 灯 泡 熄 灭 或 者 断 开 网 络 连 接 之 后 ， 剩 下 的 灯 泡 会 自 动 选 出 一 个 来 代 替 之 前 “ 主 ” 灯 泡 的 位 置 ， 然 后 接 入 网 络 并 继 续 负 责 给 其 他 灯 泡 发 送 控 制 命 令 。 这 种 架 构 一 次 只 需 要 一 个 灯 泡 接 入 网 络 ， 其 优 势 是 非 常 明 显 的 。 比 如 说 ， 其 余 灯 泡
在 不 亮 的 时 候 可 以 用 低 功 耗 模 式 运 行 ， 扩 展 了 灯 泡 网 络 的 可 用 范 围 ， 并 且 还 不 会 给 W i F i 网 络 造 成 拥 塞 。 毫 无 疑 问 ， 使 用 这 种 新 型 的 网 络 通 信 协 议 之 后 ， m e s h 网 络 和 主 / 从 通 信 端 都 会 成 为 攻 击 者 的 攻 击 目 标 ， 因 此 我 们 决 定 选 取 一 些 灯 泡 并 开 始 我 们 的 研 究 。 分 析 攻 击 面 分 析 攻 击 面 L I F X 灯 泡 网 络 中 有 三 个 核 心 通 信 组 件 ： 首 先 ， 我 们 将 对 8 0 2 . 1 5 . 4   6 L o W P A N   无 线 m e s h 网 络 中 的 安 全 漏 洞 进 行 研 究 和 分 析 。 其 中 ， 我 们 将 重 点 分 析 各 个 灯 泡 之 间 是 如 何 通 过 6 L o W P A N   m e s h 网 络 来 共 享 W i F i 网 络 凭 证 的 。 6 L o W P A N 是 一 种 基 于 I E E 8 0 2 . 1 5 . 4 的 无 线 通 信 规 范 ， 这 一 点 与 Z i g b e e 是 一 样 的 （ 同 样 基 于 I E E 8 0 2 . 1 5 . 4 ） 。 6 L o W P A N 可 以 允 许 设 备 通 过 低 功 耗 个 人 局 域 网 络 （ P A N ） 来 转 发 I P v 6 数 据 包 。 为 了 监 听 和 注 入 6 L o W P A N 流 量 ， 我 们 还 需 要 一 台 使 用 8 0 2 . 1 5 . 4 规 范 的 外 部 设 备 。 我 们 这 里 选 择 了 A T M E L   A V R R a v e n [ 2 ] ， 并 安 装 了 C o n t i k i   6 L o W P A N 固 件 镜 像 [ 3 ] 。 它 可 以 提 供 一 个 标 准 网 络 接 口 ， 而 我 们 就 可 以 利 用 它 来 监 控 并 向 L I F X   m e s h 网 络 注 入 网 络 流 量 了 。 协 议 分 析 协 议 分 析 安 装 了 C o n t i k i 的 R a v e n 网 络 接 口 将 允 许 我 们 对 L I F X   m e s h 网 络 进 行 监 控 以 及 流 量 注 入 ， 而 就 我 们 的 观 察 情 况 来 看 ， 该 协 议 似 乎 并 没 有 经 过 加 密 。 这 也 就 意 味 着 ， 我 们 可 以 轻 松 地 对 协 议 进 行 剖 析 ， 伪 造 用 于 控 制 灯 泡 活 动 的 信 息 ， 并 重 放 任 意 数 据 包 P a y l o a d 。 我 们 在 添 加 新 灯 泡 时 ， 对 m e s h 网 络 进 行 了 监 控 并 捕 获 了 相 关 数 据 包 ， 并 识 别 出 了 灯 泡 间 共 享 W i F i 网 络 凭 证 的 特 定 数 据 包 。 整 个 过 程 大 致 如 下 ： 首 先 ， 主 灯 泡 向 网 络 广 播 称 有 新 的 灯 泡 要 添 加 进 来 ， 新 的 灯 泡 会 给 主 灯 泡 发 送 响 应 信 息 ， 然 后 要 求 获 取 W i F i 数 据 。 接 下 来 ， 主 灯 泡 会 将 经 过 加 密 的 W i F i 信 息 通 过 m e s h 网 络 发 送 给 新 的 灯 泡 。 最 后 ， 新 的 灯 泡 会 被 添 加 进 L I F X 智 能 手 机 应 用 中 的 可 用 灯 泡 列 表 之 中 。 下 图 即 为 我 们 用 W i r e s h a r k 捕 获 到 的 6 L o W P A N 数 据 包 ： 如 上 图 所 示 ， 其 中 的 W i F i 细 节 信 息 包 括 凭 证 数 据 在 内 ， 并 通 过 加 密 代 码 块 的 形 式 进 行 发 送 。 1 .             智 能 手 机 端 ； 2 .             灯 泡 W i F i 通 信 ； 3 .             灯 泡 m e s h 网 络 通 信 ；
在 对 添 加 灯 泡 的 过 程 进 行 深 入 分 析 之 后 ， 我 们 发 现 我 们 可 以 向 m e s h 网 络 注 入 数 据 包 并 在 主 灯 泡 毫 不 知 情 的 情 况 下 请 求 获 取 W i F i 详 细 数 据 。 除 此 之 外 ， 我 们 在 请 求 W i F i 详 细 信 息 的 时 候 既 不 需 要 添 加 任 何 的 新 设 备 ， 也 不 会 让 L I F X 智 能 手 机 应 用 发 出 警 报 。 这 样 一 来 ， 我 们 就 可 以 随 意 向 m e s h 网 络 请 求 获 取 W i F i 凭 证 了 。 但 是 我 们 目 前 所 掌 握 的 信 息 还 不 足 以 完 成 解 密 任 务 ， 为 了 进 一 步 实 现 攻 击 ， 我 们 还 需 要 了 解 其 中 的 加 密 机 制 。 获 取 固 件 获 取 固 件 一 般 来 说 ， 当 我 们 想 要 了 解 某 款 新 设 备 所 使 用 的 加 密 机 制 时 ， 我 们 首 先 会 对 其 固 件 进 行 分 析 。 理 想 情 况 下 ， 我 们 可 以 直 接 从 厂 商 网 站 上 下 载 固 件 。 但 是 由 于 L I F X 设 备 是 一 款 刚 刚 上 市 的 新 品 ， 因 此 厂 商 还 没 有 发 布 可 公 开 下 载 的 固 件 。 所 以 我 们 现 在 只 能 自 己 想 办 法 获 取 固 件 了 。 为 了 从 设 备 中 提 取 出 固 件 ， 我 们 首 先 需 要 物 理 访 问 内 置 的 微 型 控 制 器 ， 这 可 是 个 技 术 活 ， 我 们 的 目 标 就 是 如 下 图 所 示 的 这 个 P C B 板 ：
通 过 分 析 P C B 板 ， 我 们 发 现 该 设 备 主 要 是 由 两 套 芯 片 集 成 电 路 系 统 组 成 的 ： 即 德 州 仪 器 C C 2 5 3 8 （ 负 责 处 理 设 备 通 信 - 6 L o W P A N 无 线 m e s h 网 络 ） 和 意 法 半 导 体 S T M 3 2 F 2 0 5 Z G （ L I F X   L W M - 0 1 - A ， 负 责 处 理 W i F i 端 通 信 ） ， 这 两 块 芯 片 均 基 于 A R M   C o r t e x - M 3 处 理 器 。 通 过 进 一 步 分 析 后 ， 我 们 发 现 这 两 块 芯 片 的 J T A G 接 口 （ 暴 露 在 P C B 板 上 ） 都 有 其 特 殊 的 功 能 。 J T A G ， 即 J o i n t   T e s t   A c t i o n   G r o u p （ 联 合 测 试 工 作 组 ） ， 它 是 一 种 国 际 标 准 测 试 协 议 ( I E E E   1 1 4 9 . 1 兼 容 ) , 主 要 用 于 对 微 型 控 制 器 和 硬 件 进 行 测 试 以 及 调 试 。 识 别 出 了 每 一 块 芯 片 的 J T A G 接 口 之 后 ， 我 们 就 可 以 向 芯 片 发 送 J T A G 命 令 了 。 这 个 过 程 需 要 使 用 到 一 些 其 他 的 硬 件 和 软 件 。 我 们 选 择 使 用 的 是 B u s B l a s t e r   J T A G 调 试 器 [ 5 ] 以 及 开 源 的 O p e n   O n - C h i p   D e b u g g e r （ O p e n O C D ） [ 6 ] 。 配 置 好 之 后 ， 我 们 就 可 以 向 芯 片 发 送 J T A G 命 令 了 。 下 图 即 为 B u s B l a s t e r   J T A G   D e b u g g e r ： 接 下 来 ， 我 们 就 能 够 导 出 每 一 块 芯 片 的 闪 存 数 据 ， 并 开 始 对 固 件 进 行 逆 向 分 析 。 固 件 的 逆 向 分 析 固 件 的 逆 向 分 析 获 取 到 固 件 镜 像 源 码 之 后 ， 我 们 需 要 知 道 哪 一 个 镜 像 负 责 存 储 和 解 密 W i F i 凭 证 。 通 过 搜 索 相 关 字 符 串 之 后 ， 我 们 发 现 凭 证 数 据 存 储 在 L I F X   L W M - 0 1 - A 芯 片 的 固 件 镜 像 之 中 。 将 该 镜 像 加 载 进 I D A   P r o 中 之 后 ， 我 们 通 过 搜 索 常 见 加 密 常 量 找 出 了 加 密 代 码 ， 越 来 L I F X 使 用 的 是 A E S 。 A E S 这 种 对 称 加 密 算 法 要 求 加 密 方 和 解 密 方 共 同 访 问 一 份 相 同 的 预 共 享 密 钥 。 在 L I F X 的 实 现 中 ， 这 种 设 计 暗 示 着 每 一 台 设 备 都 会 发 送 一 个 全 局 常 量 密 钥 。 如 果 设 备 能 够 获 取 到 预 共 享 密 钥 ， 那 我 们 就 可 以 使 用 这 个 密 钥 来 解 密 其 他 L I F X 灯 泡 发 送 的 信 息 了 。 事 实 证 明 ， 我 们 的 确 可 以 用 这 个 密 钥 来 解 密 其 他 L I F X 灯 泡 发 送 的 信 息 。 通 过 对 这 些 密 码 学 常 量 的 引 用 情 况 进 行 分 析 之 后 ， 我 们 发 现 了 负 责 实 现 加 密 和 解 密 操 作 的 代 码 。 在 一 款 免 费 A E S 软 件 [ 7 ] 的 帮 助 下 ， 我 们 对 加 密 函 数 进 行 了 逆 向 分 析 并 提 取 出 了 加 密 密 钥 和 初 始 向 量 等 信 息 。 下 图 是 我 们 使 用 I D A   P r o 反 编 译 出 的 部 分 固 件 加 密 代 码 ：
最 后 一 步 ， 就 是 要 用 提 取 出 来 的 加 密 密 钥 解 密 W i F i 凭 证 以 证 明 其 有 效 性 了 。 结 果 想 必 大 家 也 已 经 清 楚 了 ， 这 些 加 密 变 量 就 是 我 们 所 要 寻 找 的 东 西 。 总 结 总 结 现 在 ， 我 们 不 仅 知 道 了 加 密 算 法 、 密 钥 和 初 始 向 量 ， 而 且 我 们 还 对 m e s h 网 络 协 议 进 行 了 分 析 并 能 够 向 m e s h 网 络 注 入 数 据 包 、 捕 获 W i F i 详 细 信 息 并 解 密 W i F i 凭 证 。 值 得 一 提 的 是 ， 整 个 操 作 过 程 并 不 要 求 我 们 完 成 任 何 的 身 份 验 证 ， 而 且 更 不 会 向 用 户 发 出 警 告 提 醒 。 非 常 好 ! 需 要 注 意 的 是 ， 由 于 这 种 攻 击 技 术 针 对 的 是 8 0 2   1 5 . 4   6 L o W P A N 无 线 m e s h 网 络 ， 因 此 攻 击 者 必 须 要 身 处 无 线 网 络 的 覆 盖 范 围 之 内 （ 3 0 米 之 内 ） ， 并 对 存 在 漏 洞 的 L I F X 智 能 灯 泡 发 动 此 类 攻 击 。 注 ： 厂 商 现 已 发 布 了 更 新 版 本 的 固 件 镜 像 ， 并 修 复 了 本 文 所 介 绍 的 安 全 漏 洞 （ 对 所 有 的 6 L o W P A N 流 量 进 行 了 加 密 ） 。 新 版 固 件 下 载 地 址 ： 【 点 击 原 文 获 取 】 *   参 考 来 源 ： c o n t e x t i s ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理