用于对运行 Broadcom SDK 的 WiFi 接入点进行指纹识别的工具，以及一份已知受影响设备的列表。
本仓库包含两种检测目标路由器上是否存在 Broadcom 802.11 实现的方法：
受影响设备列表可在本页末尾查看。此列表并非详尽无遗。我们预计完整列表将包含数千种不同品牌和型号的设备。
broadcom_wps_monitor.yar 包含三个针对 ELF32 ARM 和 MIPS 二进制文件的候选检测器：
BRCM_WPS_Monitor_Generic_ELF 通过独立的厂商和协议字符串识别通用的 Broadcom WPS Monitor 二进制文件。BRCM_WPS_Monitor_HAL_Config_ELF 识别范围更窄的 HAL 配置事件变体。VULN_BRCM_WPS_EAP_Fragment_Reassembly_ELF 要求具备通用组件证据，外加与存在漏洞的分片重组路径相关的 ARM 或 MIPS 操作码特征。这些规则是分类辅助工具。编译器变更可能规避操作码模式，而已修补的二进制文件可能保留候选检测器所使用的字符串或代码字节。请通过集成源码或手动审查分片长度验证和复制汇点来确认检测结果。
你可以使用以下命令查找二进制文件：
yara -w -r broadcom_wps_monitor.yar extracted_firmware_dir
确保你的网卡接口支持监听模式，并启用监听模式：
sudo ip link set dev wlp0s12u1 down
sudo iw dev wlp0s12u1 set monitor none
sudo ip link set dev wlp0s12u1 up
在受影响的设备上，你应该会看到类似这样的内容：
sudo uv run --with scapy broadcom_fingerprint.py --interface wlp0s12u1 --ssid VOO-111317
Scanning channels 1-13 for SSID 'VOO-111317' (sweep 1)...
SSID: VOO-111317
BSSID: 20:0c:c8:16:76:dc
Channel: 1
Vendor: Netgear
Model: Netgear
Assessment: LIKELY_VULNERABLE
JSON: /tmp/broadcom-fingerprint-20261014T203352.732742Z/result.json
PCAP: /tmp/broadcom-fingerprint-20261014T203352.732742Z/traffic.pcap
sudo uv run --with scapy broadcom_fingerprint.py --interface wlp0s12u1 --ssid Orange-180cd
Scanning channels 1-13 for SSID 'Orange-180cd' (sweep 1)...
SSID: Orange-180cd
BSSID: 08:6a:0a:f1:80:d1
Channel: 1
Vendor: TCG300
Model: TCG300
Assessment: LIKELY_VULNERABLE
JSON: /tmp/broadcom-fingerprint-20261014T205813.695480Z/result.json
PCAP: /tmp/broadcom-fingerprint-20261014T205813.695480Z/traffic.pcap
sudo uv run --with scapy broadcom_fingerprint.py --interface wlp0s12u1 --ssid WiFi-2.4-4B3C
Scanning channels 1-13 for SSID 'WiFi-2.4-4B3C' (sweep 1)...
SSID: WiFi-2.4-4B3C
BSSID: 38:35:fb:13:4b:42
Channel: 1
Vendor: SagemCom
Model: SagemcomFast5336v_BBOX3
Assessment: LIKELY_VULNERABLE
JSON: /tmp/broadcom-fingerprint-20261014T205852.234368Z/result.json
PCAP: /tmp/broadcom-fingerprint-20261014T205852.234368Z/traffic.pcap
在已修补的设备上，你会看到：
sudo uv run --with scapy broadcom_fingerprint.py --interface wlp0s12u1 --ssid MY-AP
Scanning channels 1-13 for SSID 'MY-AP' (sweep 1)...
SSID: MY-AP
BSSID: 38:35:fb:13:4b:42
Channel: 1
Vendor: SagemCom
Model: SagemcomFast5336v_BBOX3
Assessment: PATCHED_HOSTAPD
JSON: /tmp/broadcom-fingerprint-20261014T205852.234368Z/result.json
PCAP: /tmp/broadcom-fingerprint-20261014T205852.234368Z/traffic.pcap
如果你的设备不广播 WPS，则不受影响，你会看到以下内容：
sudo uv run --with scapy broadcom_fingerprint.py --interface wlx00c0ca588c7e --ssid MY-AP
Scanning channels 1-13 for SSID 'MY-AP' (sweep 1)...
SSID: MY-AP
BSSID: 1c:0b:8b:xx:xx:xx
Channel: 6
Vendor: Unknown
Model: Unknown
Assessment: INCONCLUSIVE
JSON: /tmp/broadcom-fingerprint-20261019T113912.161025Z/result.json
PCAP: /tmp/broadcom-fingerprint-20261019T113912.161025Z/traffic.pcap
Warning: selected AP does not advertise WPS
指纹识别脚本依赖两点：
Broadcom 专有信息元素的存在并不是一个足够强的信号，因为它有时是由 Broadcom 的 Linux 内核模块添加的，而用户空间实现并非来自其 SDK。我们使用该信号来检查是否为 Broadcom。
如果是 Broadcom AP，我们发送一个零长度的分片帧，以区分 Broadcom 的 wps_monitor 与 hostapd。hostapd 发送 ACK，而 wps_monitor 发送 NACK（简而言之）。
如果我们同时获得两个信号（Broadcom IE + 实现特性），我们就可以以相当高的置信度判定你受到影响。
你可以通过提交 Pull Request 来报告受影响的设备。在你的 PR 中，请务必提供厂商、产品、版本，以及可选地提供部署它们的互联网服务提供商。如果你是静态识别的，请提供固件的链接。如果你是动态识别的，请提供指纹识别脚本生成的 PCAP。
此列表并非详尽无遗。即使你的设备不在该列表中，你也可能受到影响。
验证的最佳方式是获取固件、解压它，并运行 YARA 规则。如果你无法访问固件，可以使用处于监听模式的无线接口运行指纹识别脚本。
| 厂商 | 产品 | 版本 | 已确认 | ISP |
|---|---|---|---|---|
| ARRIS | ARRIS SURFboard AC1200 | 全部 | 是 | - |
| Arcadyan | VRV9517 | 至少至 v6.00.18 | 是 | KPN（又称“Experia Box V10A”）、SPARK |
| Askey | TCG3000 | 全部 | 是 | Orange Belgium、VOO |
| Askey | RTF3505VW | 至少至 203_n43 | 是 | Movistar / Telefonica |
| CastleNET | NetMASTER Infinity 401MP | 全部 | 是 | Türksat Cablenet |
| CastleNET | NetMASTER CBW-383ZN | 全部 | 是 | Türksat Cablenet |
| CastleNET | NetMASTER CBW-383Z4 | 全部 | 是 | Türksat Cablenet |
| CastleNET | NetMASTER CBW-700V | 全部 | 是 | Türksat Cablenet |
| Cisco | RV110W | 全部 | 是 | - |
| Cisco | RV130W | 全部 | 是 | - |
| Cisco | RV215W | 全部 | 是 | - |
| Cisco | RV340W | 全部 | 是 | - |
| Cisco | WAP121 | 全部 | 是 | - |
| Cisco | WAP125 | 全部 | 是 | - |
| Cisco | WAP150 | 全部 | 是 | - |
| Cisco | WAP361 | 全部 | 是 | - |
| Cisco | WAP371 | 全部 | 是 | - |
| Cisco | WAP571 | 全部 | 是 | - |
| Cisco | WAP571E | 全部 | 是 | - |
| Cisco | WAP581 | 全部 | 是 | - |
| Comtrend | VG8050 | 全部（至少至 2025？） | 是 | Movistar / O2 / Telefonica |
| Huawei | B310 | - | 全部 | - |
| Huawei | B315 | - | 全部 | - |
| Huawei | B593 | - | 全部 | - |
| Huawei | WS880 | - | 全部 | - |
| NetComm | NF4V | 全部 | 是 | Exetel、Harbour ISP、Spintel |
| NetComm | NF10W | 全部 | 是 | Exetel、Aussie Broadband、Harbour ISP |
| NetComm | NF10WV | 全部 | 是 | Exetel、Aussie Broadband |
| NetComm | NF8AC | 全部 | 是 | Activ8me、Mate、SkyMesh、Aussie Broadband |
| NetComm | NF17ACV | 全部 | 是 | SkyMesh、Aussie Broadband |
| NetComm | NF18ACV | 全部 | 是 | Aussie Broadband、Tangerine、Mate、Spintel |
| NetComm | NF18MESH | 全部 | 是 | Aussie Broadband |
| Netgear | CG3100 | 全部 | 是 | Orange Belgium、VOO |
| Netgear | CG3700B | 全部 | 是 | Orange Belgium、VOO |
| Neuf | NB6 | 待办 | 是 | SFR |
| Neuf | NB6VAC | 待办 | 是 | SFR |
| Nokia | G-140W-H、G-240W-B、G-240W-A、G-240W-C、G-240W-F、G-240W-G、G-240W-J | ？ | 是 | Telmex、Speedy、ETB、Axtel、lucascell、STC、Du Telecom、Kazakhtelecom、Türk Telecom、Wind、Viettel、Etisalat、GO Telecom、True Internet、Singtel、Vodafone Turkey、Lattelekom、Sky Telecom、Vivacom、Proximus、Orange Ivory Coast、Canalbox Caraibes、Inea |
| Sagemcom | F@ST 3864 / 3864OP | 全部 | 是 | Optus |
| Sagemcom | F@ST 4353 | 全部 | 是 | Belong |
| Sagemcom | F@st 5336 | 全部 | 是 | Proximus |
| Sercomm | Group ONT L3 (253794565) | V1 | 可能 | Vodafone / Lowi |
| Tenda | D301 / N300 | - | - | - |
| TP-Link | Archer C3150 | 全部 | 是 | Türk Telekom |
| TP-Link | Archer C5400 | 全部 | 是 | Türk Telekom |
| TP-Link | Archer VR2800 | 全部 | 是 | Türk Telekom |
| TP-Link | Archer VR600 | 全部 | 是 | Türk Telekom |
| TP-Link | Archer VR900 | 全部 | 是 | Türk Telekom |
| TP-Link | TD-VG5612 | 全部 | 是 | MyNetFone、Barefoot、OntheNet |
| TP-Link | VR1600 | 全部 | 是 | OntheNet、Future Broadband、Internode |
| ZTE | F680 v4 | 全部 | 是 | MasMovil、ThailandToT、Telkom、Linkstar、Mnc、Viettel、VNPT、SeteTec、EgyptTEData、Ais、MTN、FranceReunicable、RTC、Indosat、MAXCom、EKT、OSP、Moldtelecom、Türk Telekom、TurkNet、AtlantisNet |
| ZTE | 368N | 全部 | 是 | KPN（设备名为“Experia Box v9”）、Türk Telekom |
| Zyxel | VMG3312-B10A、VMG3312-B10B | 全部 | 是 | Türk Telekom |
| MitraStar | GPT-2541GNAC | 至少至 ES_g8.4_100VNJ0b78 | 是 | Movistar / Telefonica |