Black Hat Europe 2025 | Millions of Intranet Devices Are Facing Silent Takeover (On-Demand Only)

講者來自南京郵電大學，擁有300+漏洞發現記錄和20餘次官方致謝。他與獨立安全研究員Nick Xie聯合發現了IoT安全的一個根本性缺陷：雲管理功能的認證破綻。

問題背景與思路轉變 傳統IoT漏洞（注入、溢位、命令執行）已被各廠商廣泛防護，且只能攻擊暴露在網路上的服務。講者的創新思路是轉向內網裝置的遠端管理通道。現今幾乎所有IoT裝置都配備雲管理功能，使用者可透過App或廠商平臺遠端操作。這個看似便利的功能，實際上成為大規模遠端控制內網裝置的黑暗入口。

序列號：攻擊的金鑰匙 裝置序列號是雲管理系統的唯一標識。問題在於序列號根本不是秘密：許多廠商暴露了查詢介面，使用者可以透過裝置的App繫結埠直接獲得；序列號印在物理裝置上，可從二手平臺或短影片獲得；更要命的是，同型號裝置的序列號往往只有3到6位隨機差異，完全可以透過暴力列舉獲得所有裝置。這就像一棟樓的房間號，看似唯一，實則不難猜出。

認證框架的三重信任陷阱 雲端與裝置建立通道時，認證機制只依賴兩個因素：裝置序列號和一個固定的秘密值。秘密值從韌體中可以反向工程獲得，所有同型號裝置都一樣。裝置上報密碼後，雲端就無條件信任這是真實密碼。更嚴重的是，任何聲稱已恢復出廠設定的裝置都會被無條件相信，原有使用者繫結會立即清除。攻擊者要麼篡改雲端儲存的密碼記錄，要麼偽造工廠重置狀態報告，兩種方式都能接管已繫結的裝置。

三個真實案例的遞進攻擊 第一個案例中，攻擊者在本地網路用偽造的裝置冒充受害者，讓App繫結到攻擊者裝置。隨後攻擊者向雲端傳送篡改的密碼，雲端儲存這個假密碼。等受害者離開本地網路後，攻擊者的App就能用偽造密碼透過雲端驗證，完全接管裝置。第二個案例利用MQTT的連線競爭機制：兩個客戶端用相同ID連線時，後來者踢掉前者。攻擊者可以多程序不斷冒充受害裝置連線，其中必有一次搶在真裝置之前，向雲端傳送攻擊者設定的密碼。同時攻擊者可偽造工廠重置狀態，清除原使用者繫結。第三個案例更巧妙，利用"一鍵登入"特性：僅需序列號就能推匯出裝置所有者的手機號，然後模擬運營商驗證獲取使用者Cookie，直接劫持受害者賬號。

從序列號到RCE的完整鏈路 無論哪種情況，攻擊流程是相同的：（1）獲取序列號；（2）反向工程韌體獲取秘密值，或利用本地網路欺騙和MQTT競爭；（3）冒充裝置向雲端建立通道；（4）篡改或繞過密碼驗證；（5）透過App訪問裝置的Web管理介面；（6）利用Web服務的注入漏洞執行命令；（7）啟動無密碼Telnet服務；（8）用App的埠對映功能將Telnet暴露到公網。攻擊者即獲得目標內網裝置的Root許可權。

攻擊的威力與隱蔽性 最可怕的是攻擊的大規模性與隱蔽性。攻擊者只需列舉序列號就能批次發起，無需知道任何裝置的公網IP地址，無需關心防火牆規則，透過雲管理通道直接穿透內網。雲管理系統成了攻擊的幫兇。而且攻擊流量與正常雲端通訊完全相同，即使被監控也難以區分。受害者後續再透過App訪問裝置時，完全沒有辦法察覺自己已失去了對裝置的獨佔控制權。