引言：万物互联，万物皆可被攻破
过去十年，物联网设备从"可选的智能玩具"变成了家庭、企业、工业场景的基础设施。智能门锁替代了机械钥匙，摄像头替代了保安，OTA 升级替代了线下维修，车钥匙从金属片变成了手机里的 BLE 信号。但这种便利的代价是：每一个联网设备都是一个潜在的入口，而绝大多数厂商在设计时把"可用"放在了"安全"前面。
本文从一场安全会议的讨论出发，结合公开的漏洞披露、真实攻击事件和学术研究，系统梳理 IoT 安全的高风险设备类型、典型漏洞、历史案例和攻击路径分类。不堆术语，只讲清楚攻击者到底怎么进来、进来之后能干什么、以及我们为什么防不住。
一、高风险 IoT 设备类型及典型漏洞
会议列举了多个易受攻击的物联网场景，覆盖从消费级到工业级的完整光谱。核心结论是：没有哪一类设备是安全的，区别只在于攻击者需要付出多大代价。
| 设备类型 | 典型漏洞示例 | 攻击路径（近源/远程） | 风险级别 |
|---|---|---|---|
| 门禁系统（猫眼、智能锁） | 伪造照片/面部识别绕过、蓝牙中继攻击 | 近源（物理接触）、远程（中继） | 高 |
| 家居智能设备 | 弱口令、固件逆向、运维后门 | 同网段横向、远程 OTA 劫持 | 中-高 |
| 监控摄像头 | 弱口令批量控制、认证绕过 0day | 远程（公网暴露）、近源（物理短路） | 高 |
| 车联网（Tesla 等） | BLE 中继攻击开启车辆 | 近源中继、远程协议级中继 | 高 |
| 蓝牙音响/设备 | 录音窃听、蓝牙中继 | 近源（物理）、远程（无距离限制） | 中 |
| 密码保险箱 | 电磁故障注入、脉冲短路 | 近源物理攻击 | 中 |
| 全盘加密（如 BitLocker） | 冷启动攻击、物理访问绕过 | 近源（物理提取密钥） | 高 |
下面逐类拆解攻击逻辑。
1.1 门禁系统：你家的"智能"门可能比木门还好撬
智能门锁和猫眼摄像头是消费级 IoT 中最尴尬的一类------厂商主打的卖点是"远程查看"和"自动开锁"，但这些功能恰恰是攻击面。
面部识别绕过是最经典的手法。很多低价智能锁的人脸识别模块只做二维图像比对，一张打印照片、一段手机播放的视频就能骗过摄像头。更高级一点的攻击用 3D 打印面具还原深度传感器的红外图案，但对于大多数消费级产品，二维绕过已经足够。
蓝牙中继攻击则是把距离概念彻底打掉。智能锁的 BLE 协议通常通过信号强度（RSSI）判断手机是否在附近，但 RSSI 可以被中继设备放大------攻击者在主人窗边捕捉手机信号，在门口转发给锁体，锁体以为手机就在旁边，直接解锁。整个过程不需要接触锁，也不需要破解加密。
1.2 家居智能设备：运维后门比漏洞更危险
智能音箱、扫地机器人、空气净化器这类设备的共同问题是：厂商为了方便售后，预留了大量"运维通道"。
常见的运维后门包括：
- 隐藏 WiFi 配置模式：长按某个按键 8 秒后进入 OTA 模式，设备会广播一个固定 SSID 的热点，任何知道默认密码的人都能连上并下发固件。CVE-2025-65855 就是一个典型案例------某 IoT 设备的 OTA 机制硬编码了所有设备相同的 WiFi 凭据，且不校验固件签名，攻击者只需短暂物理接触设备就能植入恶意固件。
- SD 卡本地升级：插一张特制的 SD 卡就能触发升级流程，而升级包不做签名校验。
- 无校验的云端下发：服务器和设备之间没有双向认证，攻击者中间人替换升级包即可。
固件逆向是另一个常规武器。拿到设备的 UART 串口或者直接拆芯片读 Flash，binwalk 解包之后就能看到硬编码密钥、调试接口、甚至未删除的测试账号。很多厂商所谓的"加密通信"，密钥就硬编码在固件里。
1.3 监控摄像头：重灾区中的重灾区
摄像头可能是整个 IoT 领域被研究得最透、被攻击得最多的品类。原因很简单：量大、便宜、暴露在公网、厂商安全投入极低。
弱口令批量控制是入门玩法。Shodan、ZoomEye 上随便搜就能找到几十万台开放 Web 管理界面的摄像头，默认口令 admin/admin、admin/123456 一试就中。国家安全机关曾披露一起案例：某跨境物流公司园区摄像头数月来被境外黑客控制，原因就是管理员密码一直是出厂默认值。
认证绕过 0day 才是真正的大杀器。2021 年大华（Dahua）被曝出 CVE-2021-33044 和 CVE-2021-33045 两个认证绕过漏洞：前者信任任何自称 NetKeyboard 的客户端，后者接受伪造的 loopback 源地址，都不需要密码。2026 年曝光的"CameraSwarm 行动"中，一个攻击者利用这两个漏洞在两个月内控制了超过 14000 台大华摄像头，主要分布在乌克兰和俄罗斯。更值得警惕的是，俄罗斯军方背景的 APT 组织 Unit 29155 也被确认使用过这两个漏洞作为初始访问向量。
P2P 云中继滥用是一个容易被忽视的侧门。很多摄像头为了方便外网访问，接入厂商的 P2P 云服务。如果云服务鉴权不严，攻击者只要知道设备序列号，不需要账号密码就能通过云服务直接连到摄像头------正门锁好了，侧门没关。
1.4 车联网：数字钥匙的中继困境
Tesla Model 3/Y 的 BLE 被动进入系统是被研究得最多的车联网安全案例。NCC Group 在 2022 年发布的技术公告中详细描述了攻击路径：车辆通过 BLE 上的加密挑战-响应操作来判断手机是否在附近，但距离判断依赖 RSSI 和延迟测量------这两个量都可以被中继设备操纵。
实际攻击只需要两个几百元的中继盒子：一个放在车主家窗边捕捉手机 BLE 信号，另一个放在车旁转发信号。车辆收到的挑战-响应是合法的（因为确实是手机签的），只是中间多了一段中继延迟。Tesla 官方的回应是：中继攻击是被动进入系统的"已知局限"，建议用户开启 PIN to Drive 功能。但研究者早在 2020 年 DEFCON 上就演示过可以绕过 PIN2Drive 的漏洞。
2025 年英国保险行业的数据显示，中继攻击导致的车辆盗窃同比增长 37%，平均每起盗窃用时不到 60 秒。行业的应对方向是 UWB（超宽带）数字钥匙------通过测量信号飞行时间来判断距离，而不是信号强度，因为飞行时间在物理上几乎无法中继伪造。
1.5 蓝牙音响与可穿戴设备：窃听和中继的双重威胁
蓝牙设备的攻击面有两个：一是录音窃听 ，攻击者利用蓝牙协议的配对漏洞或中间人攻击，将设备当作窃听器；二是蓝牙中继，和车钥匙中继攻击原理相同，扩展到任何依赖 BLE 近距离认证的场景。
蓝牙协议本身的设计缺陷是根源。BLE 的配对流程在早期版本（Bluetooth 4.2 以前）缺乏强认证，蓝牙 5.0 之后虽然引入了 Secure Connections，但大量存量设备仍在使用旧协议栈，且厂商不会通过 OTA 更新蓝牙协议栈。
1.6 密码保险箱与物理安全：电磁和故障注入
这一类设备看似"不联网就安全"，但物理攻击手段远比普通人想象的成熟。
电磁故障注入（Electromagnetic Fault Injection, EM-FI）利用短脉冲电磁场干扰芯片内部的时钟或电压，使 CPU 在执行关键安全检查指令时出错------比如跳过 PIN 码比对、绕过签名验证、直接跳转到调试模式。整个设备可能只需要一个巴掌大的脉冲发生器，距离几毫米就能生效。
脉冲短路更直接：找到主板上负责安全元件供电的测试点，用可控短路在特定时刻拉低电压，迫使芯片进入未受保护的状态。这类攻击不需要拆焊，不需要编程器，成本极低。
1.7 全盘加密：BitLocker 也不是铜墙铁壁
BitLocker 被广泛认为是磁盘加密的行业标准，但它的安全性高度依赖一个前提：攻击者没有物理访问权。
冷启动攻击（Cold Boot Attack）是最经典的物理攻击。DRAM 芯片在断电后不会立刻丢失数据------刷新停止后，电荷残留从几秒到几分钟不等，如果用压缩空气或液氮降温，数据保留时间可以延长到十分钟以上。攻击者在电脑登录状态（BitLocker 卷已挂载、VMK 解密后驻留 RAM）时断电，快速拆下内存条装到自己的机器上读取，就能提取出卷主密钥（VMK），然后解密整个磁盘。
Halderman 等人在 USENIX Security 2008 的论文《Lest We Remember》中就已经演示了对 BitLocker、TrueCrypt、FileVault 的攻击，十八年过去了，这个攻击仍然有效，因为 DRAM 的物理残留效应是硬件特性，软件层面无法修复。微软的官方缓解措施是：启用 TPM + PIN 启动验证、关闭待机模式、开启内存清零策略------但这些都需要用户主动配置，默认状态下不开启。
1.8 交互与非交互设备的攻击面差异
会议特别强调了一个区分维度：
交互型设备（有 APP 控制、有用户界面）通常暴露在公网或可被远程访问，攻击入口多但防御手段也相对成熟（认证、授权、审计）。
非交互型设备（传感器、控制器、监控探头、网络打印机）通常没有用户界面，设计目标是"装上就不用管"。它们一旦被攻破，就变成了内网的永久据点------因为管理员根本不知道它存在，更不会去监控它的流量。在企业内网渗透中，非交互 IoT 设备是横向移动的最佳跳板：你控制了一个摄像头，就能从摄像头所在的网段扫描整个机房。
二、历史案例与真实攻击参考
理论说再多不如一个真实案例有说服力。会议引用了以下事件作为漏洞挖掘和攻击路径设计的参考。
2.1 DEFCON 蓝牙中继攻击（2020-2022）
2020 年 8 月，研究者在 DEFCON 上发表了针对 Tesla Model 3 的 NFC 中继攻击研究。2022 年 5 月，NCC Group 发布技术公告，证明 BLE 中继攻击同样适用于 Model 3 和 Model Y 的手机钥匙系统。两次研究中 Tesla 的回应如出一辙：承认中继攻击是被动进入系统的已知局限。
这个案例的价值不在于"偷车"本身，而在于它示范了一个思路：协议设计中的距离假设是可以被物理层中继打破的。 任何依赖"信号强度=距离"的认证机制，在中继设备面前都等于没有距离限制。这个思路后来被扩展到智能门锁、门禁卡、酒店房卡、UWB 数字钥匙等几乎所有近场认证场景。
2.2 2018 天府杯：QEMU 0day 与物理遮挡
2018 年天府杯国际安全赛事上，白帽黑客现场演示了挖掘 QEMU 虚拟化漏洞并利用的完整链路。这个案例在会议中被引用，是因为它展示了另一种 IoT 攻击思路：通过虚拟化层漏洞逃逸到宿主机，进而控制同一物理机上的多个 IoT 虚拟机/容器。 现在大量智能家居网关、工业边缘网关都跑在轻量级虚拟化之上，QEMU/VMware 的逃逸漏洞就是从"被控制的智能插座"跳到"整个家庭网络"的桥梁。
2.3 2022 西北工业大学事件：国家级跳板链
2022 年 6 月，西北工业大学发布声明称遭受境外网络攻击。国家计算机病毒应急处理中心和 360 的联合调查报告披露：攻击源头是美国国家安全局（NSA）下属的特定入侵行动办公室（TAO），攻击持续多年，实施了上万次恶意攻击。
这个案例与 IoT 安全的关联点在于 TAO 的攻击路径设计：
- 境外跳板：利用位于韩国等第三国的跳板机发起攻击，隐藏真实来源。
- 基础设施运营商渗透：TAO 构建了对我国基础设施运营商核心数据网络的"合法"远程访问通道，把运营商网络变成了渗透内网的桥梁。
- NOPEN 木马多级投递：先攻破边界，再第三级渗透，最后试图入侵网络设备。
- 横向移动：从边界设备到网络设备，再到终端，逐层深入。
对 IoT 安全的启示是：公网暴露的 IoT 设备和运营商网络，本身就是国家级攻击的入口。 你觉得你的摄像头只是拍了个院子，但在攻击者眼里，它是进入你整个组织内网的第一个立足点。
2.4 2024 美军信号设备事件
会议讨论了 2024 年美军相关事件：信号设备被加入内网后导致网络感染，安保设备被远程操纵。这个案例指向的是 IoT 供应链风险------采购环节引入的设备，在入网前没有经过安全检测，入网后成为内网的突破口。
这和企业的现状高度吻合：IT 部门管电脑和服务器，但摄像头、门禁、会议室大屏、IoT 传感器往往由行政或物业采购，IT 完全不知道它们存在，更谈不上纳入资产清单和安全监控。
2.5 摄像头批量攻陷案例
会议提到"攻破 11 个摄像头"的案例。结合 2026 年曝光的 CameraSwarm 行动（14000 台大华摄像头被攻陷），可以总结出摄像头攻击的标准流程：
- 用 Shodan 搜索特定型号暴露在公网的设备；
- 弱口令爆破或直接使用已知认证绕过 CVE；
- 获取 root 权限后植入后门固件；
- 通过 P2P 云通道远程控制；
- 将摄像头网络作为肉鸡或横向移动跳板。
2.6 运维渠道滥用的普遍性
会议反复强调：遗留运维接口是 IoT 安全中被低估的最大风险。 很多设备在发布后，工程师当年调试用的隐藏 WiFi、SD 卡升级口、串口调试 shell 都没有关闭。这些接口不写进用户手册，不暴露在 APP 里，但拆开机壳或者按特定按键组合就能进入。攻击者拿到一台设备做逆向，就能复用到同型号所有设备。
三、攻击路径分类与技术拆解
综合以上设备和案例，IoT 攻击路径可以清晰地分为三层：物理层、软件层、供应链层。
3.1 近源攻击（物理/周边）
近源攻击的前提是攻击者能接近目标设备所在的物理空间。技术手段包括：
电磁波注入：用脉冲电磁场干扰芯片正常执行，迫使安全检查跳过。适用于密码保险箱、智能卡、加密狗等有安全元件的设备。
材料屏蔽对抗：信号屏蔽袋（法拉第袋）可以防止钥匙信号外泄，但攻击者用高增益天线可以穿透普通建筑墙体捕捉 BLE 信号。中继攻击的本质就是把"近源"变成"远程"------两个中继盒之间的距离可以是任意的。
信道密码破解：对暴露在无线信道上的认证协议做离线破解。比如抓包智能家居的无线控制信号，逆向协议格式后重放或伪造。
协议降级：强迫设备放弃使用最新的安全协议，退回到有已知漏洞的旧版本。蓝牙、WiFi、Zigbee 都存在这类攻击面。
物理接触提取：拆芯片、读 Flash、接 UART、冷启动取内存密钥。BitLocker 冷启动攻击就是这一类。
3.2 远程攻击
远程攻击不需要出现在目标附近，通过网络完成。技术手段包括：
公网 IoT 跳板：Shodan 上暴露的摄像头、路由器、NAS 是最常见的初始入口。攻陷之后作为代理，进一步渗透内网。
运营商渗透：西工大事件中 TAO 利用了运营商核心网络作为跳板。对普通攻击者来说，攻陷一个家庭路由器或者运营商光猫，就能获取同网段所有 IoT 设备的流量。
境外匿名节点：通过 Tor、VPS、肉鸡网络隐藏攻击来源，这是所有 APT 攻击的标配。
OTA 劫持：
- 中间人攻击设备到 OTA 服务器的通信，替换升级包；
- 利用硬编码 WiFi 凭据伪造 OTA 接入点（如 CVE-2025-65855）；
- 固件签名校验缺失或只校验 hash 不校验签名（如 EyeR 披露的 0day）；
- 版本号在完整性检查之外，允许降级到有漏洞的旧固件；
- 私钥泄露或厂商根本没做非对称签名。
供应链感染：
- 感染上游构建服务器，在固件编译阶段植入恶意代码（如 SolarWinds 模式）；
- 攻击第三方 APP 或配套服务，通过 API 间接控制设备（如 TeslaMate 漏洞导致全球 Tesla 被远程访问）；
- 老版本组件提取：IoT 设备普遍跑着 2010 年代编译的 Linux 和老旧的 war/jar 包，这些组件里的已知漏洞无人修补。
3.3 横向移动
横向移动是 IoT 攻击链的中间阶段------已经控制了一个设备，如何扩散到整个网络：
同网段非交互设备利用：控制了一个摄像头之后，扫描所在网段的其他设备（打印机、门禁、NVR、智能家居网关），用同一套默认凭据或漏洞清单逐个击破。
窃听与检测绕过：无线信号可以穿透墙体和楼板，攻击者在隔壁房间就能捕捉到 BLE、Zigbee、WiFi 信号。很多企业的无线安全意识停留在"WPA2 加密就安全了"，完全忽视了物理层信号泄露。
协议层信任滥用：内网 IoT 协议（ONVIF、MQTT、CoAP、Zigbee）普遍缺乏认证，设备之间默认互信。一旦进入网段，就能向所有设备发指令。
四、为什么我们防不住
梳理完这些攻击面，会发现一个令人沮丧的事实：IoT 安全的问题不是某个技术漏洞，而是系统性的结构缺陷。
第一，厂商没有动力做安全。 智能门锁卖 399 元，加密芯片加安全 MCU 要多成本 20 元，消费者根本不会为这 20 元买单。于是厂商选择把安全预算花在"营销话术"上------宣传"银行级加密"，实际用的是硬编码密钥的 XOR。
第二，设备生命周期远超软件更新周期。 一个摄像头设计寿命 5 年，但厂商的 OTA 支持通常只有 18 个月。之后设备就变成了永久暴露在公网的漏洞入口，没人修、没人管、没人通知用户该换了。
第三，运维接口是历史包袱。 每个厂商的工程师都知道隐藏 WiFi 和 SD 卡升级口，但关掉它们意味着售后成本上升------万一设备变砖，售后怎么救？于是这些接口就一直留着，直到被攻击者发现并武器化。
第四，用户安全意识与设备风险不匹配。 用户愿意给手机设 6 位密码、开两步验证，但家里的摄像头密码是 123456，智能门锁的默认管理员密码从来没改过。攻击经济学决定了攻击者永远先打最软的柿子。
五、防御思路（务实版）
不追求完美防御，只做投入产出比最高的几件事：
对消费者：
- 摄像头、智能设备不要直接暴露在公网，放在 IoT 专用 VLAN 里，和主网络隔离；
- 改掉所有默认密码，关闭 UPnP 和 DMZ；
- 关注厂商的固件更新承诺，超过 3 年不更新的设备考虑淘汰；
- 车钥匙放屏蔽袋里，开启 PIN to Drive；
- 笔记本启用 BitLocker 的 TPM+PIN 启动验证，不要合盖就走。
对企业：
- 把 IoT 设备纳入资产清单------你不知道它存在，就不可能保护它；
- IoT 网段和办公网段严格隔离，IoT 设备不能主动访问办公网段；
- 监控 IoT 设备的异常出站流量，突然连了一个境外 IP 的摄像头一定有问题；
- 入网前做安全检测，特别是门禁、摄像头、大屏这类行政采购设备；
- 供应链安全审查：采购的每一个 IoT 设备，都要确认 OTA 机制有签名校验、有版本回滚保护。
结语
IoT 安全的本质矛盾是：物理世界的设备被赋予了网络世界的攻击面，但设计思维还停留在"能用就行"的阶段。 从 2008 年的冷启动攻击论文到 2026 年的 CameraSwarm，十八年过去了，被攻击的设备换了一代又一代，漏洞的根因却没变------弱口令、硬编码密钥、无签名固件、遗留运维接口。
理解这些攻击路径的意义不在于恐慌，而在于知道：当你面对一个 IoT 设备时，应该先问三个问题------它暴露在哪个网络上？它的固件怎么更新？它的物理安全假设是什么？这三个问题想清楚了，大部分风险就已经规避了。
参考资料
- NCC Group, Technical Advisory -- Tesla BLE Phone-as-a-Key Passive Entry Vulnerable to Relay Attacks, 2022.
- rollingpwn, Grand Theft Auto - A peek of BLE relay attack, DEFCON 2020 研究.
- 国家计算机病毒应急处理中心、360，《西北工业大学遭受美国 NSA 网络攻击调查报告》，2022.
- USENIX Security 2008, Halderman et al., Lest We Remember: Cold Boot Attacks on Encryption Keys.
- Security Affairs, Inside Operation CameraSwarm: How One Actor Took Over 14,000 Dahua Cameras, 2026.
- Akamai SIRT, CVE-2025-1316: Edimax Network Cameras Used to Spread Mirai, 2025.
- NVD, CVE-2025-65855: HelpFlash IoT OTA firmware update hard-coded credentials, 2025.
- EyeR Security, The Zero-Day in the Update: Bypassing Firmware Signature Verification, 2026.
- Microsoft Learn, BitLocker countermeasures and 内存残留攻击文档.
- 鉴源实验室，汽车数字钥匙安全风险及渗透实践解析，2026.