V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
droidmax61
V2EX  ›  Android

Vivo 手机某系统进程开放 55555 端口疑似用作 mCDN

  droidmax61 · 2021-05-23 15:27:45 +08:00 via Android · 56833 次点击
这是一个创建于 1040 天前的主题,其中的信息可能已经有所发展或是发生改变。

某天晚上在家用电脑看直播时发现画面卡顿,排查发现并非是电脑 /主站网络问题,排查是否有第三方未知设备或服务占用带宽,发现母上大人所使用的 vivo 手机在当时确实存在占用了大量带宽的情况,核查发现,部分在线视频应用确实有在后台运行,但视频在全部缓冲完成之后带宽占用会暂时降低到正常范围,但带宽占用过高的问题仍未彻底解决!

进一步分析,在路由器上针对 vivo 手机的 ip 进行抓包分析,确认该端口确实存在有来自外部 ip 的访问,但对于已关闭 UPnP 功能的局域网环境来说,外部 ip 则无法访问。由于没有 Root 权限,目前仅确认了该端口是由某个系统进程所使用,且根据抓包数据来分析,通信报文使用 HTTP 协议,手动测试请求访问时会回应包含有"Test Intercept"字段数据,据此在全网范围内搜索符合以上条件的主机有将近 7 万台,基本都是国内电信的,相信这些数据只是冰山一角,背后隐藏的秘密尚待深挖…

322 条回复    2022-10-03 06:49:00 +08:00
1  2  3  4  
gstqc
    1
gstqc  
   2021-05-23 15:36:56 +08:00 via Android
如果属实那归刑法管了啊
droidmax61
    2
droidmax61  
OP
   2021-05-23 15:39:47 +08:00 via Android
@gstqc 身边用 vivo 的可以测试一下,连同一个热点,用工具扫一下开放端口有哪些
droidmax61
    3
droidmax61  
OP
   2021-05-23 15:41:20 +08:00 via Android
将近 7 万主机是用的 fofa 扫出来的,应该是国内电信宽带用户且具有公网 ip 的
wellsc
    4
wellsc  
   2021-05-23 15:47:14 +08:00   ❤️ 10
边 缘 计 算
droidmax61
    5
droidmax61  
OP
   2021-05-23 15:48:25 +08:00 via Android
母上用的 vivo y5s 在线下实体店买的,现在用的最新版 FuntouchOS 1.15.1 的 ROM,目前基本可以断定是某个系统进程所为,既然是系统进程所为,那其他使用 FuntouchOS 系统的 vivo 手机要是出现了上述情况也就意料之中了
droidmax61
    6
droidmax61  
OP
   2021-05-23 15:54:52 +08:00 via Android
19 年 8 月份就有人得知这一情况了
gstqc
    7
gstqc  
   2021-05-23 15:57:40 +08:00
补充一下,即使属实可能也是“合法”的,因为可能首次开机已经“接受”了协议
leafleave
    8
leafleave  
   2021-05-23 16:05:07 +08:00 via Android   ❤️ 9
分 布 式 内 核
droidmax61
    9
droidmax61  
OP
   2021-05-23 16:06:05 +08:00 via Android
快被整疯了,只要我妈在家手机连上热点,用网体验就稀烂,非得暂时把她手机 ip 拉黑
westoy
    10
westoy  
   2021-05-23 16:26:40 +08:00
扫了下 x21, 最新固件

开了 8192 和 55555 两个端口
westoy
    11
westoy  
   2021-05-23 16:27:40 +08:00
不过我这边 55555 不像 webserver 开的, 反而 8192 会响应 http request........
patrickyoung
    12
patrickyoung  
   2021-05-23 16:59:56 +08:00
charles proxy, mitm 下看看
ihipop
    13
ihipop  
   2021-05-23 17:02:43 +08:00 via Android
不是关闭了 UPnP,怎么会还能访问。
Kiriya
    14
Kiriya  
   2021-05-23 17:21:17 +08:00
路由器限制她手机的上传速度为 5M 下载速度为 20M,不影响使用也不回卡网络
droidmax61
    15
droidmax61  
OP
   2021-05-23 17:24:38 +08:00
估计也只有国内的手机敢这么做了,不知道开一个端口多一份安全风险么?就不怕有心人用工具 fuzz 测试给挖出漏洞然后批量抓鸡么? fofa 扫出全网 7 万左右的开放端口设备,这还是那些用的公网 IP 的一小部分用户,出了事 vivo 你担得起这个责任么?
nguoidiqua
    16
nguoidiqua  
   2021-05-23 17:32:15 +08:00
鲁迅向来不惮以最坏的恶意来…

用楼上的方法可以避免带宽被占完,另外路由器调度好的话不至于被一个客户抢光带宽。
chinvo
    17
chinvo  
   2021-05-23 17:34:09 +08:00 via iPhone
@ihipop #10 没有 UPnP 也可以打洞
droidmax61
    18
droidmax61  
OP
   2021-05-23 17:50:39 +08:00
我路由器用的老毛子,没有流控
droidmax61
    19
droidmax61  
OP
   2021-05-23 17:53:09 +08:00   ❤️ 5
但这个系统进程开放的端口让我这个信安出身的人看着就觉得不对劲,无形中增加了安全隐患
cherbim
    20
cherbim  
   2021-05-23 17:56:50 +08:00 via Android
这就是边缘计算……还可以这么玩么
fish3125
    21
fish3125  
   2021-05-23 18:28:26 +08:00 via Android
如果用 MIUI 的下载开了迅雷下载
fish3125
    22
fish3125  
   2021-05-23 18:30:12 +08:00 via Android
如果用 MIUI 的下载开了迅雷下载,也会长期开两个端口,
chizuo
    23
chizuo  
   2021-05-23 18:31:08 +08:00
开放端口和云通讯也挺正常吧。苹果、华为、小米云服务,难道不用开放端口吗?不用 tcp/udp ?
droidmax61
    24
droidmax61  
OP
   2021-05-23 18:44:11 +08:00
谁有在用 vivo funtouchos 系统且已 root 过的手机?帮我找一下 55555 端口对应的系统进程是啥?用 adb shell 获取 root 权限后执行 netstat -anlp | grep :55555 这个命令看看
soulzz
    25
soulzz  
   2021-05-23 18:45:28 +08:00
大概是爱奇艺优酷之类的
建议排查
droidmax61
    26
droidmax61  
OP
   2021-05-23 18:49:15 +08:00
请看标题,谢谢
droidmax61
    27
droidmax61  
OP
   2021-05-23 18:54:37 +08:00
这个端口对应进程的用户组 id 是 1000,uid 为 1000 对应的是 system 用户组,我在整个 /proc 目录中都排查过了,fd 文件是没有权限访问的,排查其他相关文件只能确定这个 55555 端口是某个系统进程在使用,具体哪个进程必须得要有 root 权限才能查看,用 app 工具也都找过了,连接表中不会显示 root 、system 用户组建立的连接信息的
MrKrabs
    28
MrKrabs  
   2021-05-23 20:03:20 +08:00
分布式计算
Jirajine
    29
Jirajine  
   2021-05-23 20:14:07 +08:00 via Android
adb shell 用户能不能看到?不能的话就别想了,这些系统都不存在 root 的。
cyspy
    30
cyspy  
   2021-05-23 20:50:17 +08:00   ❤️ 1
想起了 zoom 为了做浏览器调起,在后台起个 server
12101111
    31
12101111  
   2021-05-23 21:17:09 +08:00
@droidmax61 可以试试解包 ota 文件然后在 /system/bin 里用 strings 搜 55555
wtks1
    32
wtks1  
   2021-05-23 21:19:56 +08:00 via Android
前两天的确观测到了这个情况,手机是 neo5 的
wtks1
    33
wtks1  
   2021-05-23 21:20:30 +08:00 via Android
根据记录,开的是 udp 端口
yitingbai
    34
yitingbai  
   2021-05-23 21:30:14 +08:00   ❤️ 33
@chizuo 我第一次听到使用 tcp/udp 和服务端通信需要在客户端开放端口, 希望你不是做 IT 行业的, 否则真是贵公司的悲哀
xarthur
    35
xarthur  
   2021-05-23 22:08:27 +08:00 via iPhone   ❤️ 1
@yitingbai
???
虽然大部分情况下,是系统自动生成,但是不代表系统不用开放端口了啊……
Yc1992
    36
Yc1992  
   2021-05-23 22:12:28 +08:00
@chizuo ?程序员问这种问题
12101111
    37
12101111  
   2021-05-23 22:39:24 +08:00
@yitingbai 上古协议 ftp 是这样子的, 直到后来除了被动模式
avrillavigne
    38
avrillavigne  
   2021-05-23 22:45:40 +08:00
把 55555 端口出站链接 block 看看呗
ruixue
    39
ruixue  
   2021-05-23 23:21:22 +08:00
@xarthur 开放端口一般指的是防火墙允许主动入站连接,同时有进程监听某个固定端口
CrazyRundong
    40
CrazyRundong  
   2021-05-24 01:48:20 +08:00 via iPhone
确实骇人听闻……配置下 DHCP 给手机分配固定 IP,然后在路由器 iptables 的 nat table 里添加相应 IP & 端口的 DROP 规则?
yanzhiling2001
    41
yanzhiling2001  
   2021-05-24 06:52:40 +08:00
连个破电视都敢扫局域网设备。会不会手机也会有更深的间谍程序,在某个时刻定时启动扫你的网络?

你的手机使用记录几乎能看出来你的所有习惯。手机厂商会不会收集?
luozic
    42
luozic  
   2021-05-24 07:35:00 +08:00
广告 用户数据收集 ... 难道现在升级到之前电脑上企鹅搞的那一套了?直接 hook 用户网络驱动啥的?
dsx826
    43
dsx826  
   2021-05-24 08:08:31 +08:00 via Android
建議用國際 ROM,小動作藏得比較好。就不會有發現這些的煩惱了。
weyou
    44
weyou  
   2021-05-24 08:29:50 +08:00 via Android   ❤️ 1
@gstqc 即使用户软件层面合法,电信层面不合法吧,这属于私自架设对外的网页服务器啊。哪天电信封了你们家宽带算谁的
cwyalpha
    45
cwyalpha  
   2021-05-24 08:53:55 +08:00
还真是。。
port="55555" && body="Test Intercept"
试了几个,exemple 还打错了
Webpoplayer
    46
Webpoplayer  
   2021-05-24 09:05:38 +08:00
厉害了,vivo 。
chizuo
    47
chizuo  
   2021-05-24 09:09:36 +08:00
@yitingbai 我还是没明白,不开放端口,客户端和服务器怎么通讯呢?难道只需要服务器开放端口吗?
RockShake
    48
RockShake  
   2021-05-24 09:12:36 +08:00
@droidmax61 vivo 手机没法 root,至少目前没找到方案
vk42
    49
vk42  
   2021-05-24 09:15:26 +08:00
@chizuo 建议了解下基本的网络编程……
Les1ie
    50
Les1ie  
   2021-05-24 09:16:09 +08:00   ❤️ 3
https://i.loli.net/2021/05/24/Bfs81mMoJO9Cq2r.png

iqoo 也一样

具体是做什么用的有待进一步分析,目前只知道开了这个端口。
FakNoCNName
    51
FakNoCNName  
   2021-05-24 09:18:03 +08:00
认知里面 OPPO 、vivo 这种类型的就是山寨机,出身流氓,起家更流氓,一直高价低配,服务、周边也差劲,到现在能洗白也是奇怪。
Hconk
    52
Hconk  
   2021-05-24 09:23:14 +08:00   ❤️ 3
@chizuo 有些东西是普遍公认的,比如你说的开放端口,正常的开发都会理解成监听本地某个固定端口,等待请求。而不是字面意义上的仅仅打开了一个端口,客户端与服务器端通信时候客户端不需要主动打开一个端口去建立连接,而是通过 connect 由系统来打开一个端口并建立 socket 连接,这个过程我觉得正常的开发人员都不会说开放了端口。
tankren
    53
tankren  
   2021-05-24 09:24:07 +08:00
热帖 预定
timethinker
    54
timethinker  
   2021-05-24 09:26:09 +08:00
客户端的 TCP/IP 端口一般是系统临时分配的。如果手机系统厂商为了节省带宽费用,在自家的设备系统上开设端口,然后设备之间打洞穿透内网建立连接,搞 P2P 网络的可行性还是存在的。

做得隐秘一点的话,可以是动态的,反正手机与系统厂商之间总会建立一个连接用于服务目的。
kalluwa
    55
kalluwa  
   2021-05-24 09:33:59 +08:00
@Les1ie 兄弟,这看着吓人啊,怎么 block,不是信安的不懂啊
nmap
    56
nmap  
   2021-05-24 09:43:48 +08:00
过虑了,只开个 http 端口有啥问题,要有问题全网都是 80 端口你去攻击试试
BrettD
    57
BrettD  
   2021-05-24 09:49:16 +08:00 via iPhone
@nmap
1. 不知道这个后台程序开放监听这个端口是干啥的
2. 没准这个后台程序有 0-day 呢?
g0thic
    58
g0thic  
   2021-05-24 09:50:34 +08:00
留名
nexo
    59
nexo  
   2021-05-24 10:01:39 +08:00
@FakNoCNName 虽然没用过 不过这两年 ov 的旗舰机型水准创新 个人觉得还不错
ZeroDu
    60
ZeroDu  
   2021-05-24 10:02:33 +08:00
前有 qq,tim 扫硬盘,后来有电视扫局域网,现在有来个手机....真就水深火热
Eytoyes
    63
Eytoyes  
   2021-05-24 10:08:53 +08:00
拿用户网络开端口令人匪夷所思,这是薅韭菜薅习惯了么
presoul
    64
presoul  
   2021-05-24 10:11:11 +08:00
插眼,吃瓜
xiyuesaves
    65
xiyuesaves  
   2021-05-24 10:18:22 +08:00
路由器拉黑链接的那个域名应该能暂时缓解吧?
xou130
    66
xou130  
   2021-05-24 10:18:47 +08:00
热帖 留名
cache
    67
cache  
   2021-05-24 10:31:59 +08:00   ❤️ 4
这就是我为什么要自己写一个

[安卓模拟实现 iOS 的动态联网权限]( https://www.v2ex.com/t/778021)
hafuhafu
    68
hafuhafu  
   2021-05-24 10:33:17 +08:00
等一个大哥深挖
Danswerme
    69
Danswerme  
   2021-05-24 10:43:07 +08:00
vivo-X27-Pro 复现成功
lshero
    70
lshero  
   2021-05-24 10:55:11 +08:00
这种本地服务一般都是为了跨应用共享数据的吧。
如果是 p2p cdn 的话可以在路由器上看看手机使用的总体流量符不符合正常使用

比较牛逼的是 ipv6 好像也侦听 55555 了,由于只有手机有 ipv6 所以不知道防火墙有没有限制外部链接连入。
不过在本机可以用本机的 ipv6 地址打开。
Les1ie
    71
Les1ie  
   2021-05-24 10:59:14 +08:00   ❤️ 15
1. 目前能看到系统进程开了个端口,具体作用暂不清楚。开了个端口不代表一定被人发现了漏洞,不代表现在就能被攻击者访问手机内的数据。但是手机开放端口有较大的漏洞风险,因为这个端口是厂商自己的服务,可能没有经过有效的代码审计,一旦出现问题那么后果很严重。

2. 上一个这么干的是 ES 文件浏览器,漏洞编号 CVE-2019-6447 。ES 文件浏览器监听 59777 端口,内网的其他设备无需鉴权即可访问该手机的文件、启动 APP 。漏洞刚出现时在我手机上复现成功,我从我的第一个手机开始到出现这个漏洞时,我的每个手机都安装了 ES 文件浏览器,此漏洞出现后,我再也没用过 ES 文件浏览器了 :( 太令人恐惧了

3. 此次 vivo/iqoo 手机除了监听了端口,还用了 UPNP 协议主动暴露自己到公网,为什么一个手机需要完成服务器的使命,乐观点,这是边缘计算的落地么?如果存在类似于 ES 文件浏览器的问题,那么影响范围相比于 ES 文件浏览器的未授权访问漏洞,将会几何级数的放大。fofa 上能看到有 7 万多台错误的暴露在了公网的手机,而这些手机,本应该隐藏在 Nat 后面的,这些手机用户可能连什么是端口,什么是 IP 地址都不知道,但是他的手机却可能被素不相识的攻击者用批量控制的脚本接管 :(

4. 我上一个回答 #50L 的截图里面的某一个 iqoo 用户,刚刚问我有办法关掉这个端口么。我觉得吧,关不了,我们花钱买的手机,并不是我们的手机,智能电视上的勾正数据也一样,小米的应用启动注入广告也一样,我们花钱买的设备获得了设备的法律上的处分权,但是事实上行使对手机软硬件处分权的,是系统厂商、APP 提供商,我们只是一个用户 :(

5. 厂商不是做慈善的,有利益,厂商才能开发新的应用,完善应用功能,消费者才能在手机上使用各种应用,二者密不可分,共同在法律的框架下行使和享受各自的权力和义务。然而互联网发展太快,隔几个月就会有新的玩法,但法律的制定往往需要数年的时间,因此法律往往滞后于互联网的脚步,而厂商往往利字当头,就会出现各种离谱的利用消费者数据、消费者的设备干的事情。说到底, 我们只是大数据时代的某个数据库里面的某一行记录而已 :)
snw
    72
snw  
   2021-05-24 11:01:05 +08:00   ❤️ 1
十年前优酷的 iku 爱酷客户端就这么干,直接开放匿名代理端口,导致网上大量 8909 端口的代理。
www.onebug.org/wooyundata/18598.html

可惜乌云没了,类似的漏(mu)洞(ma)很难有多少关注。
aoizz
    73
aoizz  
   2021-05-24 11:02:22 +08:00
菜鸡只能来吃瓜了
patrickyoung
    74
patrickyoung  
   2021-05-24 11:08:03 +08:00
有人能拖出来逆向吗
SuperMari0
    75
SuperMari0  
   2021-05-24 11:10:37 +08:00
@soulzz 还真的是, 路由器的 upnp 上写的备注是 HCDN, 查了下是爱奇艺的边缘流量生态服务, 附上地址 https://open.iqiyi.com/developer/iocp/iocp_hcdninside.html
Wolframgamma
    76
Wolframgamma  
   2021-05-24 11:18:06 +08:00
确定不是有人在手机上挂了甜糖 /视频 APP 在做 PCDN ?
tankren
    77
tankren  
   2021-05-24 11:22:18 +08:00
还好我没有 vivo 路由器的 upnp 也只有白名单客户端可以映射
fateofheart
    78
fateofheart  
   2021-05-24 11:26:49 +08:00   ❤️ 2
@nmap 你这洗的也太明显了,主动开放和被动开放的区别不是显然易见么。网页服务器开 http 和普通不知情的用户被动打开 http 能一样么?还是你家路由器能对公网默认开放 80 端口不成?
zjsxwc
    79
zjsxwc  
   2021-05-24 11:40:31 +08:00 via Android
偏个题,upnp 路由套多层 upnp 路由 还有效果吗?
zer
    80
zer  
   2021-05-24 11:42:20 +08:00
openwrt 有什么办法阻止这些未授权的 upnp 么
xiaodongus
    81
xiaodongus  
   2021-05-24 11:56:36 +08:00
vivo 这操作是作死啊
7v9TEc53
    82
7v9TEc53  
   2021-05-24 11:58:06 +08:00
坐等吃瓜,有没有哪位能发个固件链接的
kimgo110
    83
kimgo110  
   2021-05-24 11:59:02 +08:00 via Android
极为先进
besscroft
    84
besscroft  
   2021-05-24 12:00:20 +08:00
等一个大佬深挖
Siraner
    85
Siraner  
   2021-05-24 12:04:05 +08:00
火钳刘明,是只有 vivo 一家这么干嘛
alfchin
    86
alfchin  
   2021-05-24 12:09:47 +08:00 via iPhone
@Siraner 这是系统性的问题
Lemeng
    87
Lemeng  
   2021-05-24 12:18:36 +08:00
看看后续,有些厂商确实够呛
yanqiyu
    88
yanqiyu  
   2021-05-24 12:37:15 +08:00 via Android
印象中 bilibili 也在我家路由器上开了一堆 UPnP,估计也是当 CDN,于是我关掉了路由器的 UPnP,bittorrent 之类的需求手动映射...

但是 ipv6 普及之后就不好使了,到时候再捣腾防火墙吧
Les1ie
    89
Les1ie  
   2021-05-24 12:38:49 +08:00
vivo 固件是可以下载的 在 https://www.vivo.com.cn/upgrade/index,但是网页的按钮似乎有点问题,F12 找到链接,还可以下载的

早晨看到 iqoo neo 是有这个问题的,最新版 iqoo neo 固件的地址是 http://sysupwrdl.vivo.com.cn/upgrade/official/officialFiles/PD1914_A_8.6.8-update-full_1616036354.zip ,看最后的时间戳可以推测这是 2021-03-18 的固件,个人推测这个版本的固件监听 55555 的概率较大。

菜鸡只能帮到这里了,有请逆向大佬上 :)
cwyalpha
    90
cwyalpha  
   2021-05-24 12:43:28 +08:00 via iPhone
电视上的安卓应用有这种情况吗?顺道求推个便宜方便的软路由
doresu
    91
doresu  
   2021-05-24 12:51:56 +08:00
看完了觉得还是 AOSP 好
Jooooooooo
    92
Jooooooooo  
   2021-05-24 12:58:10 +08:00
成 p2p 节点了?
droidmax61
    93
droidmax61  
OP
   2021-05-24 12:58:43 +08:00 via Android
@Les1ie 好了,现在知道 iqoo 手机也有这玩意儿了,目前可以锁定是 oem 相关的东西在作祟了
droidmax61
    94
droidmax61  
OP
   2021-05-24 13:03:19 +08:00 via Android
好家伙,这不还是 vivo 家的么…
diguoemo
    95
diguoemo  
   2021-05-24 13:05:28 +08:00 via Android
安卓看来还得用三棒……没有什么小动作
iseki
    96
iseki  
   2021-05-24 13:10:54 +08:00
好家伙,牛皮了
LZSZ
    97
LZSZ  
   2021-05-24 13:13:02 +08:00
可以抓包
droidmax61
    98
droidmax61  
OP
   2021-05-24 13:15:55 +08:00
@cache 像这种系统进程的怎么破。。
droidmax61
    99
droidmax61  
OP
   2021-05-24 13:17:33 +08:00
@LZSZ 抓包只能辅助分析,并不能直接确认背后具体是哪个系统进程在作祟。。
suyuyu
    100
suyuyu  
   2021-05-24 13:37:42 +08:00
菜鸡就只能换手机了...
1  2  3  4  
关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   1035 人在线   最高记录 6543   ·     Select Language
创意工作者们的社区
World is powered by solitude
VERSION: 3.9.8.5 · 31ms · UTC 22:37 · PVG 06:37 · LAX 15:37 · JFK 18:37
Developed with CodeLauncher
♥ Do have faith in what you're doing.