Наборы Proof of Concept (PoC)

Этот каталог содержит минимальный автономный PoC-инструментарий, используемый для проверки уязвимостей бэкенда ZTE SmartLife (CVE-2026-86552, CVE-2026-86553, CVE-2026-86554, CVE-2026-86555).

Все конечные точки были пропатчены, а ключевой материал ротирован компанией ZTE. Приведённые ниже скрипты и ключи опубликованы для целей исследования безопасности и технической верификации.

Справочник криптографических ключей

Параметр	Значение	Роль
Bootstrap Decrypt Key (CVE-2026-86555)	`096760a7a99d99d12de9fecbfca568c0`	Ключ AES-128-GCM, жёстко закодированный в `AppMainBackend.setUacSignInfo`
Client Symmetric Key (`appClientKey`)	`djrom(&)(&)MORJD`	Ключ AES-128-GCM, используемый для подписи `X-Auth-Value` и шифрования параметров полезной нагрузки
Shared Secret (`appUacSec`)	`b2cfe28732612cfd81de7a22ace2034317a47eb94683a016a85cc0883597c625`	Встроенный секрет, включаемый в токены `X-Auth-Value` с меткой времени
Access Key (`appUacItp`)	`271950143414fnu4mb3lxxotfj5mi1tp`	Ключ доступа, передаваемый в `X-Itp-Value: accessKey=...`
App / Client ID (`appId`)	`271950143414`	Идентификатор клиентской системы
Tenant ID (`tenantId`)	`10001`	Идентификатор облачного тенанта

Обзор каталога

1. `direct-replay/`

Содержит account-takeover-poc.ps1 — автоматизированный скрипт PowerShell 7, демонстрирующий:

Расшифровку публичной bootstrap-полезной нагрузки (CVE-2026-86555)
Перечисление учётных записей и раскрытие accountId (CVE-2026-86554)
Сброс пароля без кода подтверждения (CVE-2026-86553)
Успешный вход в систему после установки пароля атакующим
Предварительную регистрацию / сквоттинг произвольной email-идентичности (CVE-2026-86552)

2. `frida/`

Содержит скрипты внутрипроцессной инструментации времени выполнения для официального Android-клиента (com.zte.smarthome.abroad):

smartlife_dump_uac.js: Перехватывает расшифровку клиентского bootstrap и выгружает конфигурацию UAC и исходящие заголовки.
smartlife_signing_oracle.js: Предоставляет методы Frida RPC для удалённой подписи заголовков и шифрования полезных нагрузок через процесс приложения.

Содержит Invoke-Runtime-AppAuth-AccountProbes.ps1 — автономный скрипт-зонд, проверяющий активный производственный бэкенд (https://zxuacde.smart-zte.com) с использованием восстановленных учётных данных.

Быстрый старт

Запуск Direct Replay PoC (PowerShell 7)

cd direct-replay
pwsh -ExecutionPolicy Bypass -File .\account-takeover-poc.ps1

Запуск Production Path Probe (PowerShell 7)

cd runtime-path-probes
pwsh -ExecutionPolicy Bypass -File .\Invoke-Runtime-AppAuth-AccountProbes.ps1

Перехват живого приложения с помощью Frida

cd frida
frida -U -f com.zte.smarthome.abroad -l smartlife_dump_uac.js

Популярное

zte-smartlife-app-pwned