IoT设备漏洞暴露智能家庭攻击面：凭证窃取威胁实测
从缺货短信提醒的智能冰箱，到手机绘制用电曲线的恒温器，物联网（IoT）设备已成现代家庭标配。Barracuda Networks CTO Fleming Shi界定：除个人电脑、手机、平板、路由器外，任何连接外部网络的消费设备均属IoT设备。
连接扩展便利的同时引入新安全风险。Barracuda Labs近期研究揭示新威胁：IoT凭证窃取——攻击者利用Web/移动App漏洞窃取凭证，进而远程控制设备。
IoT凭证窃取
获取设备凭证后，攻击者可查看视频流、篡改报警设置、删除云端录像、甚至推送恶意固件横向渗透同网络其他设备。
样本安防摄像头漏洞画像
分析某联网安防摄像头，其Web与移动App生态存在以下弱点：
- 移动App接受无效服务器证书。
- Web App存在跨站脚本（XSS）漏洞。
- 云服务器存在文件遍历缺陷。
- 用户可自定设备更新URL。
- 固件更新未签名。
- 设备忽略服务器证书校验。
利用上述缺陷，团队演示了无需物理接触即可完成完整凭证提取与设备沦陷链。
通过移动App窃取凭证
攻击者部署恶意Wi-Fi热点，拦截移动App与厂商服务器间HTTPS流量。App未校验服务器证书，允许攻击者代理捕获用户密码的未加盐MD5哈希。
通过Web App窃取凭证
多数IoT厂商支持邮件分享设备。攻击者在设备名植入XSS，分享给受害者，受害者登录时窃取其访问令牌。窃取的令牌授予攻击者受害者账户及所有关联设备的完全控制权。
研究表明：IoT设备可完全通过厂商云基础设施沦陷，无需Shodan等传统扫描工具。威胁延伸至所有依赖云端认证的设备。
对IoT厂商的启示
设备制造商必须保护每个软件面——移动App、Web界面、后端服务。关键措施：
- 部署Web应用防火墙（WAF）防御第7层攻击。
- 强化网络层防护与钓鱼对抗。
- 实施固件签名更新与强制服务器证书校验。
- 采纳云安全最佳实践，保障可视性、防护与快速修复。
消费者防护建议
选购IoT设备时，将安全与价格、便利同等重视：
- 考察厂商安全过往。
- 查询同厂商其他产品已知漏洞。
- 评估厂商响应漏洞上报的速度。
尽管IoT设备激增，公开安全评估仍稀缺。未来若每款IoT产品拥有标准化安全评级——如汽车安全评分——将赋能消费者做出明智决策。
作者：Fleming Shi，Barracuda Networks CTO
物联网技术
- Ripple20漏洞：19个严重漏洞威胁全球物联网/OT设备
- IoT配置规模化：设备入网的安全高效策略
- FusionHD：面向下一代IoT的智能闪存——编程零CPU干预、中断唤醒、灵活SRAM缓冲
- IoT 全球影响力：驱动经济增长、保护环境、医疗健康与教育
- Arm收购Stream Technologies强化物联网连接与设备管理
- 未配置IoT设备：智能家庭的隐形攻击面
- 物联网设备嵌入式硬件黑客技术：工具、技术与商业启示
- 开源与厂商支持 IoT 开发工具：为企业选型正确技术栈
- 物联网设备软件测试：关键挑战与解决方案
- 保护智能设备：物联网安全最佳实践指南
- 紧急：Windows 7停止支持后恶意软件瞄准物联网设备
- Atmosic与SMK合作推出超长续航物联网设备