[业内新闻动态] [【转载】] 大疆扫地机被Claude Code逆向并发掘漏洞可远程控制扫地机 目前已修复

结论

大疆扫地机漏洞核心为云端API缺乏设备与用户绑定校验，导致攻击者可通过逆向构造请求直接访问任意设备。漏洞根源在于未对设备ID与用户账号进行强绑定校验，且PIN码验证逻辑存在旁路，属于典型的身份验证绕过缺陷。

分析路径

L1 攻击面识别

• 攻击入口点：大疆云端API接口（如设备控制、状态查询、摄像头访问等接口）。
• 关键数据流（Source-Sink分析）：
  • Source：设备唯一标识符（序列号/IP/PIN码）、用户登录凭证。
  • Sink：API接口未校验请求来源与设备归属关系，直接关联设备ID执行操作。

L2 假设与验证假设

• 假设1：云端API未校验用户与设备的绑定关系。
  • 验证路径：逆向客户端通信协议，构造请求携带任意设备ID访问目标接口。
• 假设2：14位PIN码存在可预测或固定逻辑。
  • 验证路径：逆向固件或API响应，分析PIN生成算法是否与设备ID强关联。

L3 边界/异常场景

• 边界测试：
  • 尝试向API注入无效/伪造的设备ID（如全零、随机字符串）。
  • 验证API是否允许跨账号访问未绑定设备。
• 异常场景：
  • 利用逆向得到的协议，尝试批量枚举设备ID范围并发起请求。
  • 检查API是否对请求频率、IP限速等实施有效防护。

验证步骤（最小可执行路径）

1. 抓包分析：

   • 使用Wireshark/Burp Suite捕获客户端与云端的通信流量，定位设备控制相关API的请求参数（如/api/device/control）。
   • 重点检查API是否对设备ID的归属关系进行校验（如未携带用户Token）。

2. 逆向客户端/固件：

   • 使用IDA/ Ghidra逆向客户端APP或固件二进制文件，定位PIN码生成逻辑（如是否存在硬编码密钥或固定算法）。
   • 提取API接口路径、参数结构及认证方式（如Token生成算法是否依赖设备ID）。

3. 越权访问测试：

   • 在合法用户环境下，修改请求中的设备ID为其他设备的ID（如抓包中捕获的其他用户设备序列号）。
   • 观察API响应是否返回目标设备的状态或控制权限。

4. 枚举漏洞边界：

   • 编写脚本批量尝试设备ID（如连续序列号），验证可访问设备的范围。
   • 检测是否存在SQL注入或逻辑漏洞（如模糊测试API参数）。

修复建议

L4 防御反推与修复

1. 强绑定校验：

   • API必须强制校验用户Token+设备ID+账号关联关系，确保请求来源与设备归属一致。
   • 示例修复逻辑：if (user_account.bindings.contains(device_id) && token_valid()) { allow }

2. 输入/输出过滤：

   • 对设备ID等关键参数实施白名单校验（如仅允许已注册设备ID），禁止外部可控输入直接关联敏感操作。
   • PIN码需动态生成并强关联用户会话，避免静态或固定逻辑。

3. 监控与限速：

   • 在云API层实施频率限制（如同一IP/Token对单设备请求速率限制）。
   • 监控异常访问模式（如跨账号访问或设备ID枚举行为），触发告警并封锁IP。

4. 固件安全加固：

   • 移除固件中可逆向提取敏感逻辑的代码（如使用混淆技术）。
   • 设备固件更新需采用数字签名，防止中间人篡改通信协议。

5. 应急响应：

   • 对已暴露的设备重置PIN码并强制更新固件。
   • 通过API强制下线受影响设备，直至完成修复。

缺失信息补充（若需完整分析）

若需进一步验证漏洞链，需获取以下信息：

• 大疆API接口的具体认证流程与参数格式（如是否存在会话Token）。
• 设备固件中PIN码的生成逻辑（如是否依赖设备硬件信息）。
• 云端日志中是否存在未授权访问的记录（如是否存在异常设备ID关联）。