在素有黑客界的 “奧斯卡”之稱的DEFCON全球黑客大會(huì)上，

騰訊Blade團(tuán)隊(duì)現(xiàn)場(chǎng)演示了如何黑入亞馬遜Echo音箱——竊聽、錄音，甚至將錄音文件通過網(wǎng)絡(luò)發(fā)送給遠(yuǎn)程服務(wù)器。

黑亦有道。

“黑客”常常被人誤解，在信息安全領(lǐng)域，“黑客” 指研究如何智取計(jì)算機(jī)安全系統(tǒng)的人員。他們利用公共通訊網(wǎng)路，在非正規(guī)的情況下登錄對(duì)方系統(tǒng)，掌握操控系統(tǒng)之權(quán)力，通過入侵去提醒該系統(tǒng)所有者計(jì)算機(jī)安全漏洞。

黑客的頂級(jí)“聚會(huì)”是DEFCON，被稱為黑客界的 “奧斯卡”，參加的人員不僅有黑客，安全企業(yè)，甚至包括了那些追擊黑客的政府機(jī)構(gòu)。這是全球最大的計(jì)算機(jī)安全會(huì)議之一，自 1993 年 6 月起，每年在美國(guó)內(nèi)華達(dá)州的拉斯維加斯舉辦。

今年的 DEFCON 全球黑客大會(huì)同樣精彩紛呈，有11歲女孩僅10分鐘攻擊佛羅里達(dá)州投票機(jī)的“復(fù)制品”，篡改了總統(tǒng)投票的結(jié)果；有1分鐘越獄 iOS 11.4 的阿里安全大牛；有繞開系統(tǒng)安全警告入侵 macOS 的著名 Mac 黑客。

智能硬件也不安全。尤其是具有監(jiān)聽功能的智能音箱，一直以來飽受安全質(zhì)疑。比如今年5月就有媒體曝出亞馬遜的 Echo 設(shè)備未經(jīng)許可將私人對(duì)話錄音，并將音頻隨機(jī)發(fā)送給用戶聯(lián)系人列表中的人士，引起輿論嘩然。

你能想象，無(wú)微不至的語(yǔ)音助手，突然有一天成為潛伏在你身邊的敵人嗎？

8月13日，來自騰訊安全平臺(tái)部的Tencent Blade Team，就現(xiàn)場(chǎng)演示了如何破解全世界最暢銷的智能音箱——亞馬遜Echo。

在大會(huì)議題演講中，Tencent Blade Team分享了如何通過多種方式，完成對(duì)亞馬遜智能音箱Echo的破解，從而實(shí)現(xiàn)遠(yuǎn)程竊聽。因其破解難度之高和影響范圍之大，吸引了國(guó)內(nèi)外眾多安全專家的關(guān)注。

攻破亞馬遜Echo：先拿下一個(gè)設(shè)備，再攻破整個(gè)網(wǎng)絡(luò)

作為全世界最受歡迎的智能音箱之一，亞馬遜安全團(tuán)隊(duì)給Echo設(shè)置了多重嚴(yán)密的安全防御機(jī)制，包括通信流量加密與認(rèn)證、防火墻、嚴(yán)格的SELinux安全策略等。因此，長(zhǎng)期以來，亞馬遜的產(chǎn)品一直處于安全研究人員的“高難度黑名單”上。

但在物聯(lián)網(wǎng)中，任何智能設(shè)備都可以連接到互聯(lián)網(wǎng)并產(chǎn)生相互交互。這意味著，一旦其中某一個(gè)設(shè)備成為黑客攻擊目標(biāo)，攻破后將對(duì)整個(gè)物聯(lián)網(wǎng)造成致命威脅。

這次Tencent Blade Team對(duì)于亞馬遜Echo智能音箱的破解，正是基于該原理。

經(jīng)過數(shù)月的研究，該團(tuán)隊(duì)成功地發(fā)現(xiàn)，利用亞馬遜允許旗下多個(gè)設(shè)備互聯(lián)的這一系統(tǒng)機(jī)制，將植入攻擊程序的惡意設(shè)備綁定到同個(gè)賬戶下，就能完美地實(shí)現(xiàn)對(duì)亞馬遜Echo智能音箱的破解。經(jīng)過多次試驗(yàn)，他們不僅可以遠(yuǎn)程控制亞馬遜Echo進(jìn)行錄音，還能將錄音文件通過網(wǎng)絡(luò)發(fā)送給遠(yuǎn)程服務(wù)器。

技術(shù)細(xì)節(jié)

這次攻破 Amazon Echo 利用了多個(gè)漏洞，這些漏洞構(gòu)成了一個(gè)完整的攻擊鏈。由于 Amazon Echo 并沒有開放系統(tǒng)固件下載也沒有完整的開源代碼，它的更新包都是通過 https 加密流量傳輸?shù)模詧F(tuán)隊(duì)選擇了直接從 Amazon Echo 使用的 Flash 芯片中直接提取固件，將 Flash 芯片直接從主板上焊接下來并讀取了其中的固件內(nèi)容，然后通過修改固件內(nèi)容并將 Flash 芯片重新焊接回主板得到了一個(gè)已經(jīng)獲取 root 權(quán)限并可通過 adb 連接與調(diào)試的 Amazon Echo 設(shè)備。

在后面的固件分析過程中，他們發(fā)現(xiàn) Amazon 開發(fā)團(tuán)隊(duì)給 Amazon Echo 設(shè)置了很多安全防御機(jī)制，例如通信流量加密與認(rèn)證，防火墻，嚴(yán)格的 SELinux 安全策略等。但他們最終發(fā)現(xiàn)了一個(gè)名為 whad(whole-home audio daemon) 的系統(tǒng)程序，這個(gè)程序會(huì)開放端口允許多個(gè) Amazon Echo 設(shè)備相互連接，并且擁有 root 權(quán)限，在系統(tǒng)的 SELinux 策略限制下仍然可以訪問網(wǎng)絡(luò)與通過 mediaserver 進(jìn)行錄音與播放音頻。經(jīng)過分析，研究團(tuán)隊(duì)發(fā)現(xiàn)這個(gè)程序存在堆溢出與信息泄露漏洞，利用這些漏洞成功實(shí)現(xiàn)了在局域網(wǎng)獲取 Amazon Echo 的有限制的 root 權(quán)限，這允許遠(yuǎn)程控制 Amazon Echo 進(jìn)行錄音，并將錄音文件通過網(wǎng)絡(luò)發(fā)送給遠(yuǎn)程服務(wù)器。

為了實(shí)現(xiàn)在正常家庭使用環(huán)境下的攻擊，黑客需要連接到被攻擊的 Amazon Echo 的 WIFI 網(wǎng)絡(luò)，同時(shí)將一臺(tái)被植入攻擊程序的惡意 Amazon Echo 設(shè)備綁定到與被攻擊的 Amazon Echo 設(shè)備相同的帳戶中，然后這臺(tái)惡意設(shè)備會(huì)自動(dòng)攻擊并控制 WIFI 網(wǎng)絡(luò)中的所有 Amazon Echo 設(shè)備。該團(tuán)隊(duì)發(fā)現(xiàn)了一些 Amazon alexa web 頁(yè)面一些漏洞，這樣就可以完美地實(shí)現(xiàn)這些操作。

目前，Tencent Blade Team已將完整的漏洞細(xì)節(jié)報(bào)告給了亞馬遜安全團(tuán)隊(duì)，Amazon 安全團(tuán)隊(duì)馬上進(jìn)行了分析和響應(yīng)，他們?cè)?7 月份完成了漏洞修復(fù)與測(cè)試工作，目前修復(fù)后的系統(tǒng)更新已經(jīng)推送給所有 Amazon Echo 用戶，因?yàn)?Amazon Echo 有自動(dòng)靜默更新機(jī)制，所以用戶不用進(jìn)行任何操作，所有正常連接網(wǎng)絡(luò)使用的 Amazon Echo 都已經(jīng)更新到安全的系統(tǒng)版本。

FAQ

Q1：漏洞是否已經(jīng)修復(fù)?

是的，所有漏洞在 7 月已經(jīng)全部修復(fù)并自動(dòng)更新。

Q2：漏洞是否影響其它廠商的智能音箱產(chǎn)品?否，文中提到的漏洞只影響 Amazon Echo，其它廠商的智能音箱設(shè)備我們還在研究中。

Q3：影響范圍與危害?所有第二代 Amazon Echo 家族設(shè)備。攻擊者可以在局域網(wǎng)內(nèi)攻擊并控制 Amazon Echo，如控制其靜默（無(wú)需喚醒，LED 燈不會(huì)閃爍）的情況下竊聽用戶說話內(nèi)容并將錄音內(nèi)容發(fā)送到攻擊者控制的遠(yuǎn)程服務(wù)器。

Q4：研究過程遇到的最大問題與解決方案?固件獲取與漏洞利用。Amazon Echo 正常情況下的交互方式只有語(yǔ)音與網(wǎng)絡(luò)通信，而且官方?jīng)]有提供固件，也 無(wú)法通過一些常規(guī)手段獲取固件，這對(duì)前期的固件分析與后期的漏洞調(diào)試造成了很大困難。經(jīng)過一段時(shí)間的練習(xí)， 我們現(xiàn)在可以在 10 分鐘內(nèi)使用人工焊接的方法將存儲(chǔ)固件的 Flash 芯片從主板取下并提取固件，然后在 5 分鐘 內(nèi)修改固件并重新將 Flash 焊接回設(shè)備主板，成功率接近 100%，我們用這種方法制造了很多個(gè)已經(jīng) root 的 Amazon Echo 設(shè)備，加速了后期的漏洞利用與調(diào)試速度。

Q5：是否能提前分享演示視頻?否，請(qǐng)期待 DEF CON26 上的現(xiàn)場(chǎng)演示視頻。