1. 课程导入
当汽车从“机械产品”演变为“轮子上的移动计算平台”，安全问题的性质也随之改变。传统汽车安全关注碰撞、制动、功能失效，而今天的智能网联汽车还要面对远程攻击、数据泄露、非法控车等新型风险。车辆网络安全验证与渗透测试工程，正是围绕“如何证明一辆车足够安全、如何发现它还不够安全”而建立的一整套工程方法体系。
一、学习目标：从知道风险到能够验证
本课程不是单纯讲解攻击案例，也不是只介绍标准条款，而是希望学习者建立三层能力：
- 认知层：理解车辆电子电气架构、车载网络、ECU、网关、T-Box、OTA、诊断接口等对象的安全属性，知道攻击面在哪里。
- 方法层：掌握威胁建模、漏洞分析、测试用例设计、渗透测试执行、结果判定与复现的基本流程。
- 工程层：能够把安全验证嵌入 V 模型开发流程，与需求、设计、测试、运维形成闭环，而不是把渗透测试当作“最后补一次”的临时动作。
二、核心概念：验证、测试、渗透与确认
在车辆网络安全语境中，几个词经常被混用，但工程含义不同。验证（Verification）关注“是否按设计正确实现”，确认（Validation）关注“是否满足真实场景下的安全目标”，测试（Testing）是获取证据的手段，渗透测试（Penetration Testing）则是以攻击者视角主动寻找可被利用的路径。四者关系可以用下面的结构图表示。
图中可以看到，安全需求、威胁建模、测试设计、执行、证据判定与修复回归构成一个闭环。渗透测试只是其中“执行”环节的一种高强度手段，它不能替代需求分析和威胁建模，也不能替代修复后的回归验证。
三、整体框架：从车辆到后台的六层视角
车辆网络安全验证通常需要覆盖六个层面，每一层的对象、接口和测试方法都不同。
| 层级 | 典型对象 | 主要风险 | 验证/测试关注点 |
|---|---|---|---|
| 车内网络层 | CAN、CAN FD、LIN、FlexRay、以太网 | 报文伪造、重放、总线洪泛 | 报文鉴权、ID过滤、异常检测 |
| ECU与固件层 | 发动机、刹车、车门、网关控制器 | 固件提取、调试口滥用、刷写攻击 | 安全启动、调试锁定、签名校验 |
| 网关与域控层 | 中央网关、域控制器、SOA服务 | 跨域横向移动、权限提升 | 访问控制、隔离策略、服务鉴权 |
| 无线接入层 | 蓝牙、Wi-Fi、蜂窝、V2X、钥匙信号 | 中继攻击、伪基站、协议漏洞 | 配对安全、证书校验、抗重放 |
| 云端与APP层 | TSP、OTA、手机App、API | 越权、接口滥用、OTA投毒 | 身份认证、签名、回滚保护 |
| 流程与合规层 | ISO/SAE 21434、UN R155、CSMS | 流程缺失、证据不足 | 可追溯性、审计记录、持续监控 |
四、方法流程：一次完整的车辆渗透测试如何展开
工程实践中，一次车辆渗透测试通常遵循“准备—建模—执行—判定—复盘”的路径。下面给出一个可操作的流程清单：
- 范围界定：明确测试对象是整车、某个域、某个ECU还是云端接口，确认授权边界和禁止操作。
- 资产与接口梳理：列出所有物理接口、无线接口、诊断接口、调试接口和后台API。
- 威胁建模：使用STRIDE或攻击树方法，识别资产、信任边界、攻击路径和潜在影响。
- 测试用例设计：把威胁转化为可执行用例，例如CAN报文重放、UDS安全访问绕过、OTA包篡改。
- 环境搭建：准备台架、实车、总线分析工具、脚本环境和隔离网络。
- 执行与记录：保留报文、日志、截图、视频和复现步骤，确保结果可复核。
- 判定与分级：根据可利用性、影响范围和业务后果给出风险等级。
- 修复与回归：推动整改，并在修复后重新验证，形成闭环。
五、案例场景：一个典型的CAN总线攻击验证
假设某车型的车门控制报文通过CAN总线传输，测试目标是在不接触车门模块的情况下，验证是否存在未授权开门风险。测试人员可以通过OBD接口接入CAN总线，使用工具发送伪造报文：
# 示例：使用 can-utils 发送伪造车门控制报文
cansend can0 123#0102030405060708
# 监听总线报文，观察目标ECU响应
candump can0
# 记录时间戳与报文ID，用于后续复现
candump -l can0如果目标ECU没有报文鉴权、没有新鲜度校验、也没有网关过滤，那么伪造报文可能被接受，导致车门状态异常。这个案例的价值不在于“能否开门”，而在于它暴露了从物理接口到控制执行的完整攻击链。验证报告需要写清楚：接入点、报文ID、数据字段、触发条件、实际影响和修复建议。
六、常见误区与复盘
- 误区一：把渗透测试当成合规检查。合规是底线，渗透测试的目标是发现真实可利用路径，两者不能互相替代。
- 误区二：只测无线接口，忽略物理接口。OBD、USB、调试口往往是攻击者最容易接触的入口。
- 误区三：只关注单点漏洞，忽略攻击链。一个低危信息泄露加上一个弱鉴权接口，可能组合成高危远程控车路径。
- 误区四：测试结束就结束。没有修复验证和回归测试，漏洞依然存在，只是暂时没有被再次触发。