MQTT安全威胁概览：常见攻击类型
MQTT协议设计之初优先考虑了低带宽、低功耗和弱网环境下的可靠传输，而非安全性。默认情况下，MQTT Broker（代理服务器）不加密通信、不校验客户端身份、不限制发布订阅权限，这使得MQTT系统在真实网络环境中暴露于多种攻击之下。理解这些威胁是构建安全机制的前提。本章将MQTT面临的主要攻击归纳为五类：窃听、篡改、重放、拒绝服务（DoS）和未授权访问，并逐一分析其原理、攻击路径与典型场景。
3.1 窃听（Eavesdropping）
窃听是MQTT系统中最基础也最容易被忽视的威胁。MQTT默认使用TCP 1883端口进行明文传输，所有Topic名称、Payload内容、Client ID、用户名密码（如果使用）都以明文形式在网络上传输。攻击者只需在网络链路中部署抓包工具（如Wireshark、tcpdump），即可被动收集所有MQTT报文，无需向Broker或客户端发送任何数据。
核心原理：MQTT报文结构清晰，固定报头中的报文类型、可变报头中的Topic名和报文标识符、有效载荷中的业务数据均可直接解析。即使攻击者不理解业务语义，也可以通过流量分析推断设备类型、上报频率和通信模式。
窃听攻击的典型场景包括：
- 公共Wi-Fi环境：智能家居设备通过公共网络连接云端Broker，攻击者在同一热点下抓包获取温度、门锁状态等隐私数据。
- 运营商骨干网：在ISP层面进行大规模流量采集，分析工业控制系统的MQTT通信规律。
- 云环境VPC内：云租户之间若未做网络隔离，恶意租户可在同一宿主机或虚拟网络中抓取其他租户的MQTT流量。
误区提醒：许多开发者认为“我的数据不敏感，被窃听也无所谓”。但MQTT通信中往往包含设备凭据（用户名/密码）、设备唯一标识、控制指令等敏感信息。一旦被窃听，攻击者可能进一步利用这些信息实施未授权访问或篡改攻击。
3.2 篡改（Tampering）与重放（Replay）攻击
篡改攻击指攻击者截获MQTT报文后，修改Topic、Payload或报文头中的字段，再转发给Broker或订阅端。由于MQTT协议本身不提供完整性校验，Broker和订阅端无法察觉报文已被修改。重放攻击则是攻击者记录合法的MQTT报文（如“打开门锁”指令），在后续某个时间点重新发送该报文，使设备重复执行指令。
篡改与重放的攻击路径通常如下：
- 截获：在网络链路中捕获目标MQTT报文（与窃听攻击相同）。
- 修改或记录：篡改Payload中的数值（如将温度从25改为80），或原样保存报文用于后续重放。
- 注入：将修改后的报文或保存的报文重新发送到Broker。
- 执行：Broker根据Topic路由转发，订阅端收到恶意报文后执行错误动作。
关键区别：篡改攻击改变报文内容，破坏数据完整性；重放攻击不改变报文内容，但破坏操作的时序性和唯一性。两者都利用了MQTT缺乏报文认证和新鲜性校验的弱点。
一个典型的工业场景是：攻击者截获了写入PLC寄存器地址的MQTT报文，将寄存器值从“0”（停止）改为“1”（启动），然后注入Broker，导致工业设备异常启动。重放攻击则常见于智能门锁系统——攻击者记录“开锁”指令，在房主离开后重放该指令即可开门。
3.3 拒绝服务攻击（DoS/DDoS）
MQTT Broker作为集中式消息中枢，一旦不可用，所有依赖它的客户端通信都将中断。拒绝服务攻击的目标就是使Broker资源耗尽、崩溃或网络带宽被占满。MQTT协议的特性使其面临多种DoS攻击向量：
| 攻击方式 | 利用的MQTT特性 | 攻击效果 |
|---|---|---|
| CONNECT洪水 | 客户端可频繁发起CONNECT报文 | 耗尽Broker连接线程和内存 |
| 超大Payload | 协议允许最大256MB的报文 | 占满Broker缓冲区，阻塞正常消息 |
| 通配符订阅 | 客户端可订阅“#”主题 | 大量消息转发导致带宽和CPU过载 |
| 慢速连接 | TCP连接建立后不发送CONNECT | 占用Broker连接槽位，阻止合法客户端接入 |
| 遗嘱消息风暴 | 客户端异常断开触发遗嘱发布 | 大量遗嘱消息冲击Broker和订阅端 |
分布式拒绝服务（DDoS）攻击中，攻击者常利用僵尸网络控制大量物联网设备（这些设备本身可能因未授权访问被植入恶意程序），同时向目标Broker发起CONNECT洪水或订阅风暴，使Broker在短时间内完全瘫痪。
3.4 未授权访问（Unauthorized Access）
未授权访问是MQTT系统中最常见的实际威胁。默认配置下，MQTT Broker允许任何客户端连接（allow_anonymous=true），且不限制Topic的发布和订阅权限。攻击者可以：
- 匿名连接：直接使用任意Client ID连接Broker，无需任何凭据。
- 订阅敏感Topic：订阅“#”或“$SYS/#”获取所有消息和系统状态。
- 发布恶意指令：向控制类Topic（如“device/command”）发布伪造指令。
- Client ID碰撞：使用与合法设备相同的Client ID连接Broker，迫使合法设备被踢下线（MQTT协议规定同一Client ID只能保持一个连接）。
攻击链示例：攻击者先通过窃听获取合法设备的Client ID和密码（如果使用弱密码），然后使用该身份连接Broker，订阅所有以“factory/”开头的Topic，获取生产线实时数据；进一步向“factory/actuator”发布恶意控制指令，篡改设备运行状态。
3.5 综合攻击场景复盘
下面通过一个完整的智能楼宇攻击案例，展示上述威胁如何组合利用：
场景：某智能楼宇使用MQTT协议管理照明、空调和门禁系统。Broker部署在楼宇内网，默认配置无认证。
- 信息收集（窃听）：攻击者接入楼宇访客Wi-Fi（与设备网络未隔离），抓包发现MQTT明文流量，获取门禁控制Topic为
access/door/ctrl，Payload格式为{"door":3,"action":"unlock"}。 - 权限获取（未授权访问）：攻击者使用MQTT客户端直接连接Broker（匿名允许），订阅
access/#，实时监控所有门禁事件。 - 指令注入（篡改）：攻击者向
access/door/ctrl发布{"door":3,"action":"unlock"}，成功打开3号门。 - 持续控制（重放）：攻击者记录管理员发送的“全楼门禁关闭”指令，在夜间重放该指令，导致所有门禁锁定，引发安全事件。
- 系统瘫痪（DoS）：攻击者使用脚本每秒建立100个MQTT连接但不发送CONNECT报文，Broker连接数达到上限，合法门禁控制器无法连接，整个门禁系统离线。
核心误区：很多团队认为“内网部署就安全”，但MQTT的明文传输、无认证、无授权校验等设计缺陷，使得内网中的任何一个小型入侵（如钓鱼Wi-Fi、恶意USB设备）都能迅速升级为全面控制。安全机制必须在协议层或传输层系统性构建，而非依赖网络边界防护。
综上所述，MQTT的五类常见攻击并非孤立存在，它们往往相互配合形成攻击链。窃听为后续攻击提供情报，未授权访问扩大攻击面，篡改和重放实现具体恶意操作，DoS则作为最后的破坏手段。理解这些威胁的关联性，有助于在设计安全方案时采取整体性防护策略，而非零散地修补单个漏洞。