小米MIUI系统漏洞致数据泄露及修复指南

时间：2026-07-23 06:33

这个漏洞的利用门槛极低，几乎无需任何前置条件，任意应用都能直接发起攻击，无需特殊权限或复杂配置。那么，攻击者究竟能窃取到哪些敏感信息？让我们逐一拆解：硬件数据：系统版本与编译信息、内存和CPU规格、电池状态、IMEI码、基带版本、设备生产序列号等。当前状态：进程基本信息、所有进程的trace输

这个漏洞的利用门槛极低，几乎无需任何前置条件，任意应用都能直接发起攻击，无需特殊权限或复杂配置。

那么，攻击者究竟能窃取到哪些敏感信息？让我们逐一拆解：

硬件数据：系统版本与编译信息、内存和CPU规格、电池状态、IMEI码、基带版本、设备生产序列号等。
当前状态：进程基本信息、所有进程的trace输出、分区挂载情况、路由表和ARP缓存、运营商信息、系统服务运行状态、Content Provider和Broadcast的数据结构与权限管理、各软件运行时长。
日志数据：系统日志、系统事件日志、内核事件日志、内核消息记录。
软件数据：已安装应用的包名、版本号、签名证书、权限列表、安装时间、上次使用时间。
用户敏感数据：已连接WiFi网络的MAC地址、SSID、类型、IP、DNS、网关、DHCP配置；周围可用WiFi的SSID/BSSID及类型；Broadcast处理历史（可用于分析用户行为）；当前及历史地理位置；当前账户用户名；数据同步账户用户名及同步时间；软件使用统计数据。

如此全面的信息泄露，根源在于MIUI系统中存在的两个核心问题：

普通shell权限即可运行 /system/bin/bugreport，该程序本是为系统工程师收集诊断信息而设计，但权限设置过于宽松，未做有效限制。
预装了一个名为 /system/app/Cit.apk 的出厂硬件测试应用，其中 com.miui.cit.CitBroadcastReceiver 组件存在permission re-delegation漏洞。任何应用均可通过特定参数远程触发该接收器，自动调用bugreport并将结果写入 /sdcard/MIUI/debug_log/ 目录——而SD卡上的文件默认对所有应用可读可写。

这两个问题任意一个都能独立完成数据窃取流程：攻击者只需获取bugreport的输出，即可解析出上述所有敏感信息。

漏洞证明：三种利用手法

最简方式：通过adb shell（无需提权），直接执行 bugreport > /sdcard/dump.txt，结果如图所示。
在应用代码中：调用 Runtime.getRuntime().exec() 执行bugreport命令，通过重定向到文件或直接读取Process的OutputStream来获取输出。小米自身的代码中已有类似实现。
针对CitBroadcastReceiver的permission re-delegation攻击：发送如下Intent：
```
Intent intent = new Intent();
intent.setAction("android.provider.Telephony.SECRET_CODE");
intent.setData(Uri.parse("android_secret_code://284"));
sendBroadcast(intent);
```
等待约十秒后，即可在 /sdcard/MIUI/debug_log/ 目录下找到类似 bugreport--.log 的文件。