关于

针对 CVE-2025-36911 WhisperPair 漏洞的 POC，允许你无需认证信息即可连接到支持的设备。

此固件仅执行发现和漏洞确认，并未实现完整的音频监听。

测试期间的输出：

• 测试 Mac： 将使用 ESP 自身的 Mac 和你测试设备的 Mac 来尝试配对。
• 看看设备是否会乖乖暴露密钥： 通过读取暴露密钥；在广播中广播密钥。
• 接受错误密钥： 尝试发送随机安全密钥。

测试设备： Freenove ESP32-S3 ESP32 S3 Display CYD 2.8 英寸 IPS 电容触摸屏 240x320 像素

视频

关于设备

你可以使用 ESP32 设备来追踪支持 Fast Pair 的设备并检查漏洞。

公司

对渗透测试和安全设备感兴趣？请访问

https://pivotchip.ca

核心逻辑与协议

1. 发现与过滤

扫描器（BleManager）绕过标准发现过程，直接解析原始广播包以获取 GFPS 载荷。

• Fast Pair： 服务 UUID 0xFE2C。
• Nearby： 服务 UUID 0xFEF3。
• 模型 ID 提取： 从服务数据中解析 3 字节的模型 ID，以跨 MAC 地址轮换追踪设备。

2. 状态管理（去重）

为了处理启用了隐私且轮换 MAC 地址的 BLE 设备，系统使用分层身份检查：

1. MAC 匹配： 检查严格的原始地址相等性。
2. 身份匹配： 如果 MAC 不同，则通过 模型 ID 或 设备名称 进行关联。
3. 热替换： 当已知身份从新地址广播时，实时更新存储的 MAC 地址，防止测试期间连接失败。

3. KBP 握手利用

testDevice 函数执行原始 GFPS 握手以测试是否接受未授权配对。

1. 连接： 建立 GATT 连接，超时时间为 8 秒。
2. 服务解析： 定位 Fast Pair 服务（0xFE2C）和 KBP 特征（fe2c1234-8366-4814-8eb0-01de32100bea）。
3. 载荷构建：
   • 生成一个 16 字节的数据块：[类型: 0x00] [标志: 0x11] [提供者地址] [盐值: 8 字节]。
   • 加密： 使用 mbedtls_aes_crypt_ecb 并以盐值作为密钥加密该数据块。
4. 验证：
   • 将加密的数据包写入 KBP 特征。
   • 监听 通知 响应。
   • 存在漏洞： 设备发送通知（接受握手）。
   • 安全： 设备保持静默或断开连接。

硬件配置（config.h）

专为带有 FT6336U 触摸和 TFT_eSPI 显示屏的 ESP32 设计。

功能	Pin
Touch SDA	16
Touch SCL	15
Touch RST	18
Touch INT	17

构建与烧录

1. 依赖项：
   • NimBLE-Arduino (2.3.7)
   • TFT_eSPI（显示）
   • FT6336U（输入）
2. 分区方案： 选择 "Huge APP (3MB No OTA)" 以适应 BLE 协议栈。
3. TFT 设置： 配置 TFT_eSPI 库中的 User_Setup.h，使其与你的特定开发板所对应的 ILI9341/ST7789 驱动匹配。

或者从 Freenove 下载库并放入你的 Arduino 库文件夹

https://codeload.github.com/Freenove/Freenove_ESP32_S3_Display/zip/refs/heads/main

使用说明

• 扫描： 切换 SCAN 以填充列表。
• 目标选择： 点击一个条目以启动 WhisperPair 测试。