Discussion: man-in-the-middle attack

[osk2]

用此討論串整理目前討論成果

OTZro

我有想過另一種方式是利用 dnsspoof 的方式來做 man-in-the-middle attack，回報機器狀態到 panasonic server 的時候同時也把資料同步送到 mqtt，這樣做的好處是可以很即時的知道機器的狀態，並且不會踩到 panasonic api 超量的問題。不過實作起來滿花時間的，並且也不知道實際溝通的協定，我這邊就沒有去研究。
這個部份如果有大大有興趣可以嘗試看看。

Adios

今天有 firmware update 就好奇 mitmproxy 會看到什麼東西，更新過程的截圖：

firmware 更新時候會放棄 wss 用傳統的 http，app 會下載 firmware 至手機中
再 POST http://DEHUMIDIFIER_IP:57223/Upgrade 叫除濕機 TFTP 過來抓抓
http://DEHUMIDIFIER_IP:57223/device.xml (and SmartHomeSCPD.xml)
full xml: https://gist.github.com/Adios/07c0b9efa143d0b1fca766155f3b17b6
有關鍵字 /SmartHome/Control
但似乎是 firmware 自身 (SAANet mod) 維護操作...嗎?
firmware: http://ems.panasonic.com.tw/PSHEFileUpload/CZ-T006/tw-214_T006-ota.bin
strings tw-214_T006-ota.bin
能看到大概的科技
wss://miproxy.panasonic.com.tw 和訊息格式
有時間能再看看有沒有什麼 hidden path or string..?
e.g.: I@Love@Panasonic@Smart XD
port 也許不一定是 57223? 搞不好是 app 收到更新叫 hosts 開隨機 port
strings firmware 沒看到 57223，啊不過有可能是直接編成 int
另一塊還可以再 mitm 看看的會是 device 剛註冊直連 PanasonicSmartWifi(?) 的時候.. 之後
今天有嘗試 spoofing miproxy.panasonic.com.tw
但當時我沒有意識到是 wss
device 一直連我噴 error 最後大家都連不上 device 要重設 device wifi 才行 XDD
192.168.0.161: F-Y20JH
192.168.0.156: LJ36 + CZ-T007，兩台都是用同一個 firmware 更新

[osk2]

把 firmware 載回來之後看到這串

模組應該就是 Realtek 的 Ameba 了，也許有機會直接編一版韌體刷進去模組 🤔

[osk2]

看起來有機會從 wss://miproxy.panasonic.com.tw 施力，但對他動手之後被封鎖的速度應該也會很快就是了

[osk2]

然後猜測這應該是某個地方會用到的密碼XD

[Adios]

device local

• 目前還不知道 http://192.168.0.161:57223/device.xml 這個 port 57223 (or 任意 port) 被打開的條件
  • 其實一直都在聽 57223?
  • 從 app 中按檢查更新後，app 用 UPnP/SSDP 叫 device listen 57223?
  • 從 app 中，被通知有新更新後，panasonic server 叫 device listen 57223?
• http://192.168.0.161:57223/SmartHome/Control 是否有效(看起來要用肥皂)? 有哪些功能?
  • 或是搞不好啓碁的工程師大大會知道? :P

device → miproxy.panasonic.com.tw

• 整個 firmware 只有一個 private cert (gist) 沒有看到其它 root ca
  • (未確認) 猜測 device client 不會 verify cert，device 對外的 wss, https 都能被 spoofing & proxy
  • 最理想的情況是能夠完整 reverse，透過 spoof & proxy 得知確切的 WebSocket msg, id, token ... 的代入、產生方式
    • 然後實作從 HA ←→ ws://miproxy.panasonic.com.tw 取得/訂閱 同樣的 device data
      • 因為不是 mitm 這可能會遇到重複 device id 的問題，也有可能不會，if 它只看 token :P
      • WebSocket 會一直連著，應該比較不會像打 ems2.panasonic.com.tw API 被 throttling
        • 大概就是 device ←→ miproxy 的 connection 會變成 2 條，家裡有幾台就是 * 2
  • 如果能夠完整 reverse，一般使用者用起來也能比較方便
• device client 可以指定 server 要使用的 redis # "dst":"miredis-prd"