还记得当年红极一时的黑客操控大厦电力玩起坦克大战的视频吗？（就是这个）视频真实性抛开不论，带给围观群众的震撼效果绝对是十级。

雷锋网今天带来的是另一组大片。

视频中的神操作者是来自腾讯安全平台部Blade团队的两位小哥Nicky、Xbalien。没错，就是这两位⇊

▲左xbalien，右Nicky

这两位还在不久前举办的欧洲顶级安全会议HITB大会上分享了如何以上帝视角，完成操控大楼灯光的壮举。

月黑风高夜，某座大厦的 36 楼突得陷入黑暗。

一片静谧中有人屏息以待，心中默念：1，2，3！一间屋子亮起了灯光，又一间亮了起来……

监控器前的拍摄团队大喊一声“卡”，录制结束了。

Nicky和Xbalien长舒了一口气，拍了三次，终于搞定了。

这不是大电影的拍摄现场，主角不是明星，而是一台无人机和一层高楼。这波操作也并非你所预想的特效制作，而是真实上演的针对智能楼宇设备 ZigBee 通信协议新的攻击方式——有别于以往针对某一厂商的某一产品进行攻击，而是通用、快速的批量攻击。

当然要实现视频中的炫酷动作需要三步。

第一就是利用无人机，使其载着树莓派（Raspberry PI）设备以较慢速度围绕某一楼宇进行网络信息搜集。

具体来说，要发送一些信标包探测 ZigBee 信道的网络网关信息，比如设备ID信息，还会进一步探测其使用的密钥并进行解析。

这些结果信息都会被反馈回来进行半自动化分析。

所谓的半自动化分析是什么？

这就要回到ZigBee协议本身了，ZigBee广泛应用于智能家居系统中，诸如ABB、三星、小米等厂商都有生产ZigBee设备。为了使用户更方便地连接第三方厂商生产的ZigBee设备，许多制造商使用ZigBee联盟通用密钥，允许设备在不同的供应商之间进行配对。也就是说你可以用小米的网关控制三星设备，而控制灯光、窗帘、空调等也有标准的实现指令。

所谓知己知彼，半自动化分析就是让你更清楚的了解“彼方”，通过分析 ZigBee 设备来源厂商以及其控制指令是否标准，如果是兼容协议，就可以自动生成攻击指令。假如遇上特立独行的厂商，懒得去兼容协议，或者在控制指令中加入了特殊指令，就需要预先进行简单的人工分析及提取指令。

完成半自动化分析后，无人机第二次起飞进行自动化批量攻击，此时就会出现视频中的画面，无人机“操控”灯光，窗帘，空调等设备自动打开与关闭。

此处有个大胆脑洞，是不是以后求婚可以有这种操作……（据说两位小哥哥也有此想法）

当然批量攻击的实现是借前两步中收集 ZigBee 密钥和网络信息的光，通过模拟网络节点发送包含攻击载体的广播包，控制所有灯一起开或者关。

但要知道，一个楼层可能有几百个ZigBee设备，它们分布在不同房间中处于不同信道。而每次攻击却只能针对一个信道，还存在要攻击的信道距离无人机稍远的可能，这会拖慢整个测试速度。

“我们做了一个新的改变！”Nicky兴奋地告诉雷锋网编辑，他们在树莓派上同时使用了两个嗅探设备和两个发送设备，以便在前期搜集网络信息时可以加快速度。同理，在发射 ZigBee 数据包进行攻击时，也可以同时使用两个发射器发射信号，加速攻击流程。

ZigBee并非没有防御措施，但Nicky和Alien利用一些漏洞绕过这些防御措施。比如Blade团队还发现了一种新的绕过ZigBee协议重放防御机制的方法：通过在ZigBee网络中创建一个虚拟节点，并将这个虚拟节点的设置一个随机的MAC地址，和一个与网络中节点设备相同的网络地址，这样在以当虚拟节点身份发送广播包时，序列号与计数器都会从 0 开始计数，完全可以随心所欲的控制所有设备。

Nicky和Alien研究这种批量攻击方式时间不算短，从 2017 年 6 月开始，历经两三个月，中间也有不少难题。比如攻击高层楼宇的智能设备可能面临信号发射功率不够，需要寻找载体——无人机，对无人机的控制技术也有一定要求。另外为了不影响大楼中的工作人员办公，测试往往选择深夜进行……

不过这两位研究员也乐在其中，他们在不久前举办的HITB大会上分享了针对 ZigBee 协议的批量攻击方式以及对应的安全加密机制，主要有以下几点。

如果不需要兼容其它厂商的设备，厂商可以避免使用通用安全密钥。

Tags：[db:TAG标签](121439)

转载请标注：SEO三人行——白帽黑客如何以上帝视角操纵高楼酒店？