1
引子
晦暗的色調(diào)中有一口井，畫面閃動，井旁突然出現(xiàn)了一名長發(fā)女子。
“啪”，上班族翠花慌忙關(guān)掉電視，今晚男朋友有應酬，獨居一人的她實在沒有膽量繼續(xù)把這恐怖片看下去。后背的一層白毛汗早已打濕了衣服，然而翠花卻澡也不敢洗，逃難似的鉆進被窩把自己攢成一團。殊不知，屋外剛換的智能防盜門卻伴隨著夜色靜悄悄地打開了……
放在床頭的手機收到一條“門開了”的信息，不久屋內(nèi)便進來一個晃晃悠悠地人形黑影，翠花猛然從床上跳起來，汗毛根根直立……
可是生活有時候像白水煮出來的面條，能填飽肚子卻缺乏刺激，平淡又無味，原來是她應酬晚歸的男朋友回來了。男朋友喝了酒，醉醺醺倒頭就睡。智能電子門鎖沒有把男朋友鎖在門外，證明他沒喝到不省人事，起碼記得密碼。
也許生活就此歸于平常，但翠花不知道的是，能進門的不止有知道門鎖密碼的男朋友，也可以是在賽博世界中稱雄的黑客。
---
智能防盜門以其方便智能的特點迅速虜獲了一大批追求生活品質(zhì)的客戶：不用配鑰匙，輸入密碼即可進入家門；親戚朋友來拜訪，只需手機發(fā)送虛擬鑰匙就可省去交接鑰匙的煩惱；大門被暴力破壞，手機App會給戶主發(fā)提醒消息……
如此便利且科技感十足的產(chǎn)品走俏并不是偶然，而對于萬物大門皆洞開的黑客來說，黑掉一個區(qū)區(qū)電子鎖并沒有想象中的那么難。
想破解一把鎖，首先得搞清楚開鎖的原理。
對于傳統(tǒng)的機械鎖，鑰匙上的每一個“凹槽”都對應著鑰匙孔里彈子的固定位置，當鑰匙插入鑰匙孔，就會把彈子頂?shù)焦潭ǖ奈恢茫@時擰動鑰匙就可以開鎖。
看圖就知道并不是很難破解。
▲ 老派開鎖“手藝人”必備技能
然而更奇葩的攻擊思路是繞過鎖本身直指最終目標。
▲ 畫風清奇，守奇出正
▲ 杰克船長搶銀行把整個銀行搬走，路子野到極致便是“道”
那么對于融合了電子設(shè)備、甚至可以直接用手機app操縱的智能門鎖呢？
要知道國內(nèi)做智能門鎖的很多廠家是從做普通鎖轉(zhuǎn)型到智能門鎖行業(yè)的，物聯(lián)網(wǎng)安全也許并不能在他們心中占據(jù)重要地位。畢竟這是一個封閉環(huán)境，不像電腦、筆記本等插網(wǎng)線即可聯(lián)網(wǎng)的設(shè)備。所以防護也好，加密也罷，都還停留在能用就好的標準。
自我欺騙的結(jié)果是產(chǎn)生漏洞，漏洞給了入侵者可乘之機。啟明星辰積極防御實驗室安全專家"大菠蘿"將破解智能門鎖的奧秘告訴了雷鋒網(wǎng)宅客頻道。
“大菠蘿”表示，
我們測試的那把門鎖可以連家里的Wi-Fi，通過家里的無線路由器來控制門鎖，我會介紹兩種情況，一種是知道Wi-Fi密碼的情況下把這把鎖破解掉，另外一種就是不知道Wi-fi密碼的情況下直接破解這把鎖。
1.知道Wi-Fi密碼的情況下
據(jù)“大菠蘿”分析，他們測試的智能電子鎖所有指令一共是用64個字節(jié)來完成的（并非所有的智能門鎖都是64字節(jié)）。包括設(shè)備的匹配、綁定、開鎖、鎖門等等……因此他將這64個字節(jié)比作64“圣旨”，相當于智能鎖的命門所在。同時他還發(fā)現(xiàn)，經(jīng)過幾把鎖和路由間通訊的檢查，64個字節(jié)里面的62個字節(jié)，針對這個廠家這個型號的所有鎖都是起作用的。
另外，這把鎖本身不會驗證64個字節(jié)的來源，也不會驗證它是否可信，是否準確，只會無條件執(zhí)行。
簡直就像初涉江湖的單純馬仔，大哥叫他往東絕不往西，堅決不會思考他老大是不是個路癡。
▲ 大哥，你說砍誰就砍誰
鎖與路由器之間的通訊協(xié)議為UDP協(xié)議，這種協(xié)議的特性是源可以偽造，且可以任意廣播，為入侵者的工作提供了極大便利。
大菠蘿的做法是將與智能鎖相配的App逆向出來，發(fā)現(xiàn)了這個程序的代碼中硬編碼了該廠家智能鎖的密碼6*****1，不僅是個弱密碼，還沒有做加固，所以逆向出這個程序后可以清晰的看到整個代碼邏輯。
他表示一共檢測了5把電子門鎖，可以說有四把電子門鎖的密碼都寫死在代碼中。
后面的工作就不難了，因為知道無線密碼，可以用手機連到住戶的Wi-Fi，又因為它的通訊協(xié)議為UDP，可以是廣播的方式，所以當鎖受到Find指令時，會把自己的序列號SN（如同每輛汽車都有屬于自己的車架號一樣，智能鎖也有專屬的設(shè)備序列號。）告訴App，同時知道鎖的密碼是6*****1，發(fā)送數(shù)據(jù)包，把狀態(tài)改成Open開鎖就成功了。
他們還試過以廣播方式獲得桌上6把鎖的SN，然后配合硬編碼逐一打開，證實了門鎖本身并不會考慮來源是否可信這一殘酷的事實。
▲ 無敵是多么寂寞
2.不知道Wi-Fi密碼的情況下
前面說到了門鎖的序列號，它的作用是當戶主忘帶鑰匙時，廠家應急處理可以通過序列號開鎖。因此序列號被直接寫在了鎖的面板上面，只需在門外打開智能鎖的蓋子就可以看到。
所以從理論上講，任何人都可以看到序列號，需要做的只是找個工具把門鎖的面板打開，鎖的身份信息便一覽無余。這里只需要下載門鎖的序列號SN，硬編碼是6*****1，發(fā)送指令包，鎖就可以打開。
大菠蘿表示，
最恐怖的是鎖的SN序列號有規(guī)律性，6把鎖里面，有3把鎖是連號的，我們可以看到這4位數(shù)在變。無論在哪兒，我下載完這個App，把數(shù)字從頭到尾排一遍，是不是家家戶戶的門都開了。服務器會覺得你好有錢，各地都有房產(chǎn)，都能開門。
雷鋒網(wǎng)宅客頻道歸納總結(jié)一下，這把鎖沒有綁定手機端；設(shè)備號可預測；App本身未加固；云沒有做嘗試次數(shù)的阻斷……這些致命漏洞也許都是由于廠家的安全意識淡薄導致。
然而樹欲靜而風不止，在入侵者眼中，漏洞是拿來利用的，而不是用來忽視的。也應了一位資深開鎖老師傅的人生感悟——任何防盜門只防君子，沒有開不了的鎖，手藝人只在乎值不值。
---
聽著男朋友的鼾聲，翠花心滿意足的踏實睡去。屋外夜色正濃，本應是鎖好的防盜門安靜的像幅畫。突然，門把手緩緩轉(zhuǎn)動，門悄悄的開了一條縫……
雷鋒網(wǎng)注：大菠蘿強調(diào)文中提及的隱患發(fā)現(xiàn)和研究成果均來自啟明星辰adlab物聯(lián)網(wǎng)檢測團隊。
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
