“智能摄像头怎么被黑的”“IoT设备为什么这么脆弱”“怎么对IoT设备做渗透测试”随着万物互联的推进从智能音箱到工业传感器IoT设备已经无处不在。但IoT安全却远远落后于传统网络安全——硬编码密码、不更新的固件、明文通信这些问题在IoT领域比比皆是。著名的Mirai僵尸网络就是利用默认密码控制了数十万台IoT设备发动了当时最大规模的DDoS攻击。而像智能汽车、医疗设备被攻击的案例更是触目惊心。我第一次做IoT渗透是对一个智能摄像头通过固件提取发现了硬编码的管理员密码直接登录了后台。整个过程不到30分钟让我意识到IoT安全问题的严重性。今天我把物联网安全的完整知识整理出来IoT架构、固件分析、协议安全、常见漏洞、渗透测试方法、防护方案。看完这篇你对IoT安全会有一个系统化认知。⚠️ 注意本文仅用于安全教育和授权测试严禁用于非法用途。一、IoT基础架构IoT四层架构层级说明安全关注点感知层传感器、执行器物理篡改、固件漏洞网络层通信协议Wi-Fi/Zigbee/蓝牙通信窃听、中间人攻击平台层云平台、数据处理API安全、数据库安全应用层手机App、Web管理端App安全、认证授权IoT设备典型结构┌─────────────────────────────────┐ │ 手机App / Web管理端 │ ├─────────────────────────────────┤ │ 云平台 / API │ ├─────────────────────────────────┤ │ 通信模块(WiFi/BT/Zigbee) │ ├─────────────────────────────────┤ │ 主控芯片(MCU/SoC) │ ├─────────────────────────────────┤ │ 传感器 / 执行器 / 外设 │ └─────────────────────────────────┘常见IoT硬件接口接口用途安全关注UART调试串口可获取ShellJTAG芯片调试可读取固件SPIFlash存储可提取固件I2C芯片间通信可嗅探数据USB数据传输可注入恶意数据二、固件分析固件获取方法方法说明工具官网下载厂商提供下载浏览器OTA抓包拦截空中升级Burp Suite硬件提取从Flash芯片读取编程器串口提取通过UART下载串口工具固件提取工具# binwalk - 固件分析神器# 安装sudoaptinstallbinwalk# 分析固件结构binwalk firmware.bin# 提取固件内容binwalk-efirmware.bin# 递归提取binwalk-eMfirmware.bin# 查看提取结果ls-la_firmware.bin.extracted/固件文件系统分析# 提取后通常得到squashfs文件系统# 挂载查看sudomount-oloop _firmware.bin.extracted/squashfs-root /mnt/firmware# 查找敏感文件find/mnt/firmware-name*.conf-o-name*.cfgfind/mnt/firmware-nameshadow-o-namepasswd# 查找硬编码凭据grep-rnpassword\|admin\|root\|passwd/mnt/firmware/etc/grep-rntelnet\|ssh\|ftp/mnt/firmware/etc/# 查找Web服务find/mnt/firmware-name*.cgi-o-name*.php-o-name*.aspfind/mnt/firmware-path*/www/*-o-path*/htdocs/*# 查找启动脚本cat/mnt/firmware/etc/init.d/rcScat/mnt/firmware/etc/inittab固件模拟运行# FirmAE - 自动化固件模拟gitclone https://github.com/pr0v3r/FirmAE.gitcdFirmAE ./init.sh# 模拟运行固件./run.sh-rfirmware.bin# 使用 fatransfer# 如果模拟成功可通过Web访问设备管理界面# 通常是 http://192.168.0.1 或 http://192.168.1.1常见固件漏洞漏洞类型说明示例硬编码密码固件中包含默认凭据admin/admin后门账户隐藏的管理账户telnnetd后台命令注入Web接口执行系统命令ping参数注入越权访问无认证访问管理功能/admin无认证明文通信不使用加密HTTP/Telnet过时组件旧版含漏洞的库busybox旧版三、IoT通信协议安全常见IoT协议对比协议频段范围安全特性Wi-Fi2.4/5GHz100mWPA2/3加密蓝牙(BLE)2.4GHz10-100m配对加密Zigbee2.4GHz100mAES-128Z-Wave900MHz100mS0/S2加密LoRaSub-GHz数kmAES-128MQTTTCP互联网TLS/用户名密码CoAPUDP互联网DTLSZigbee安全# 安装 KillerBee - Zigbee安全测试工具pip3installkillerbee# 扫描Zigbee网络zbid# 捕获Zigbee流量zbdump-wcapture.pcap-i/dev/ttyUSB0# 分析流量zbwireshark capture.pcap# 常见攻击# 1. 密钥嗅探抓取加入时的密钥交换# 2. 重放攻击重放加密数据# 3. 密钥破解如果使用了默认密钥蓝牙BLE安全# 安装 BlueZ 工具sudoaptinstallbluez# 扫描BLE设备hcitool lescan# 使用 bettercap 进行BLE分析sudobettercap-interfacehci0ble.recon onble.show# 使用 gatttool 连接设备gatttool-bAA:BB:CC:DD:EE:FF-I[AA:BB:CC:DD:EE:FF][LE]connect[AA:BB:CC:DD:EE:FF][LE]primary[AA:BB:CC:DD:EE:FF][LE]characteristics[AA:BB:CC:DD:EE:FF][LE]char-read-hnd 0x0001# 常见BLE漏洞# 1. 无认证直接连接# 2. 明文特征值传输# 3. 可写特征值无鉴权# 4. 蓝牙PIN可爆破MQTT安全importpaho.mqtt.clientasmqttdeftest_mqtt_security():测试MQTT Broker安全性clientmqtt.Client()# 1. 测试匿名访问try:client.connect(192.168.1.100,1883,60)client.loop_start()# 订阅所有主题client.subscribe(#)defon_message(client,userdata,msg):print(f[] 主题:{msg.topic})print(f 消息:{msg.payload.decode(utf-8,errorsignore)})client.on_messageon_messageimporttime time.sleep(10)print([!] MQTT Broker允许匿名访问!)exceptExceptionase:print(f[-] 匿名访问失败:{e})finally:client.disconnect()# 常见MQTT安全问题# 1. 默认端口1883无加密# 2. 允许匿名订阅# 3. 默认密码弱口令# 4. 主题未做权限控制test_mqtt_security()四、IoT常见漏洞与攻击1. 默认凭据设备类型常见默认用户名常见默认密码路由器adminadmin/password摄像头adminadmin/123456DVR/NVRadminadmin/000000打印机adminadmin/无密码IoT网关rootroot/admin2. 命令注入# 摄像头Web接口命令注入示例# 原始请求GET /cgi-bin/ping.cgi?ip192.168.1.1 HTTP/1.1# 注入测试GET /cgi-bin/ping.cgi?ip192.168.1.1;idHTTP/1.1 GET /cgi-bin/ping.cgi?ip192.168.1.1|idHTTP/1.1 GET /cgi-bin/ping.cgi?ip192.168.1.1idHTTP/1.1 GET /cgi-bin/ping.cgi?ip192.168.1.1$(id)HTTP/1.13. 固件后门# 在固件中查找后门# 1. 查找隐藏的telnet/ssh服务grep-rntelnetd\|sshd\|busybox/firmware/etc/init.d/# 2. 查找硬编码后门密码strings firmware.bin|grep-ipassword\|backdoor\|debug# 3. 查找调试接口grep-rndebug\|test\|backdoor/firmware/www/4. UPnP漏洞# 使用 miranda - UPnP工具sudoaptinstallmiranda mirandasettarget192.168.1.1scan# 查看暴露的服务hostinfohostlist# 常见UPnP风险# 1. 端口映射暴露内网# 2. SOAP注入# 3. 远程代码执行五、IoT渗透测试流程完整测试流程1. 信息收集 → 2. 攻击面分析 → 3. 固件分析 → 4. 网络测试 → 5. 硬件测试 → 6. 无线测试 → 7. 应用测试 → 8. 报告攻击面分析攻击面测试内容工具Web管理界面OWASP Top 10Burp Suite固件硬编码/后门binwalk网络服务端口/漏洞Nmap硬件接口UART/JTAG万用表/编程器无线通信蓝牙/Zigbeebettercap云API接口安全Postman手机App逆向/通信Frida/JADX网络服务扫描# Nmap全端口扫描nmap -p--sV-sC192.168.1.1# 常见IoT端口# 23 - Telnet很多设备仍开放# 80 - Web管理# 443 - Web管理(HTTPS)# 1883 - MQTT# 5683 - CoAP# 8883 - MQTT over TLS# 631 - IPP打印# 1900 - UPnP/SSDP# 7547 - TR-069(CWMP)硬件渗透# 1. UART串口调试# 使用USB-TTL模块连接# TX-RX, RX-TX, GND-GND# 波特率常见9600, 115200# 连接串口sudoaptinstallminicom minicom-b115200-D/dev/ttyUSB0# 如果有Shell提示符直接获取了设备控制权# 2. JTAG调试# 使用JTAGulator或Bus Pirate# 查找JTAG接口TCK/TMS/TDI/TDO# 连接后可读取/写入Flash# 3. SPI Flash提取# 使用编程器如CH341A# 夹住Flash芯片读取固件# 使用flashromsudoflashrom--readfirmware.bin--programmerch341a_spi六、IoT安全防护方案安全设计原则原则说明安全设计从设计阶段考虑安全最小权限设备只拥有必要权限纵深防御多层安全防护通信加密全链路加密可更新性支持OTA安全更新密码安全无默认密码强制修改供应链安全第三方组件安全固件安全加固加固项说明去除硬编码密码不在固件中存储凭据关闭调试接口生产环境禁用UART/JTAG使用安全启动签名验证固件文件系统加密保护敏感数据移除后门账户清理调试账户组件更新使用最新版busybox等通信安全协议安全措施Wi-FiWPA3加密隐藏SSID蓝牙蓝牙5.0安全配对ZigbeeAES-128非默认密钥MQTTTLS加密认证授权HTTP使用HTTPSTelnet禁用改用SSHIoT安全Checklist检查项是否完成无默认密码☐固件无硬编码凭据☐通信全链路加密☐禁用调试接口☐OTA更新签名验证☐输入验证与过滤☐最小权限原则☐定期安全更新☐云API认证授权☐供应链安全管理☐七、IoT安全工具箱工具功能平台binwalk固件分析Linuxfirmware-mod-kit固件修改LinuxFirmAE固件模拟LinuxQEMU固件模拟运行跨平台Nmap网络扫描跨平台Burp SuiteWeb接口测试跨平台bettercap蓝牙/ZigbeeLinuxKillerBeeZigbee安全LinuxJTAGulatorJTAG调试硬件Bus Pirate硬件接口硬件flashromSPI Flash读写LinuxFrida动态分析跨平台学习资源物联网安全是网络安全中一个快速发展且充满机会的领域。与传统Web安全不同IoT安全涉及硬件、固件、通信协议、云端等多个层面需要更全面的技术能力。从固件提取到串口调试从蓝牙嗅探到MQTT测试IoT安全的每个环节都充满挑战和发现。随着智能设备的普及IoT安全人才的需求只会越来越大。如果你对物联网安全和IoT渗透测试感兴趣想系统学习更多知识——包括固件逆向、硬件黑客、无线安全、云平台安全、CTF实战等——可以参考下面整理的完整学习资料包。内容涵盖从零基础到实战进阶200节视频课程配套工具和靶场环境涵盖攻防对抗全生命周期。这些东西我都可以免费分享给大家需要的可以点这里自取:网安入门到进阶资源总结IoT安全的核心要点维度关键点固件去硬编码、关后门、支持更新通信全链路加密、认证硬件禁用调试接口、安全启动云端API认证授权、数据保护应用App安全、输入验证 IoT安全的关键在于安全设计——从产品设计之初就把安全考虑进去而不是事后打补丁。————————————————