4、嵌入式安全威胁模型：常见攻击面与典型漏洞类型

嵌入式系统一旦部署到实际环境中，便暴露在多样化的物理与逻辑攻击之下。与通用IT系统不同，嵌入式设备往往具备长生命周期、资源受限、难以频繁打补丁、且直接与物理世界交互等特点，这使得其威胁模型呈现出显著的“攻击面广、漏洞利用链短、后果直接”的特征。本章将系统梳理嵌入式系统面临的四大核心攻击面（网络、无线、物理接口、固件更新），并深入剖析三种最典型的漏洞类型（缓冲区溢出、命令注入、逻辑错误），帮助安全测试人员建立从“攻击面识别”到“漏洞机理理解”的完整认知框架。

上图展示了嵌入式系统攻击面与漏洞类型之间的映射关系。攻击面是攻击者可以触及的“入口”，而漏洞类型则是攻击者利用入口后实际触发的“缺陷”。理解这一映射关系，是开展模糊测试（Fuzzing）的前提——只有知道“从哪里测”和“测什么”，才能设计出高效的测试用例。

4.1 四大核心攻击面深度剖析

4.1.1 网络攻击面：最广泛的暴露入口

核心原理：网络攻击面是指设备通过网络协议栈暴露给外部的一切可达接口。在工业控制、智能家居、车载系统中，设备通常需要接入以太网或工业总线，这使得攻击者可以在不接触物理设备的情况下，通过网络发送恶意报文。网络攻击面的特殊性在于其“远程可达性”——攻击者可以在千里之外发起攻击，且难以被物理防护措施阻断。

判断方法：识别网络攻击面需要从三个维度展开：

• 监听端口：使用 netstat -tulnp 或 nmap -sS -p- <target> 扫描设备开放的所有TCP/UDP端口，重点关注非标准端口（如502 Modbus、1883 MQTT、47808 BACnet）。
• 协议栈暴露：检查设备是否启用了不必要的服务（如Telnet、SNMP v1/v2c、FTP），这些老协议往往缺乏加密和认证机制。
• 应用层接口：Web管理界面、REST API、命令行接口（CLI）都是网络攻击面的组成部分，需要逐一梳理其认证逻辑和输入处理方式。

4.1.2 无线攻击面：隐蔽的空中威胁

核心原理：无线通信（BLE、Wi-Fi、Zigbee、LoRa等）为嵌入式设备提供了便捷的互联能力，但也引入了独特的攻击面。无线攻击面的核心特征是“信号可被截获、注入和重放”，且攻击者无需物理接触设备。对于BLE设备，攻击者可以使用Ubertooth或nRF52840 Dongle进行嗅探和注入；对于Wi-Fi设备，则可通过Deauthentication攻击、Evil Twin等手段介入通信链路。

操作流程：无线攻击面测试通常遵循以下步骤：

1. 信号捕获：使用SDR（软件定义无线电）或专用嗅探器捕获设备通信的原始无线帧。
2. 协议逆向：分析帧结构，识别未加密的字段（如设备地址、序列号、控制命令）。
3. 注入测试：构造伪造的无线帧，尝试重放、篡改或注入恶意命令。
4. 密钥验证：检查配对/连接过程是否使用弱随机数、固定密钥或可预测的PIN码。

4.1.3 物理接口攻击面：硬件调试的“后门”

核心原理：物理接口攻击面包括UART（串口）、JTAG/SWD调试接口、USB端口、SPI/I2C总线等。这些接口通常用于开发调试、生产烧录和现场维护，但若在产品中未做充分保护，就会成为攻击者获取系统控制权的“后门”。例如，UART接口往往直接暴露root shell，而JTAG接口则允许攻击者读取Flash内容、修改内存数据甚至绕过安全启动。

判断方法：物理接口攻击面的识别需要拆解设备并检查PCB板：

4.1.4 固件更新攻击面：供应链的“咽喉”

核心原理：固件更新机制是嵌入式系统生命周期中不可或缺的环节，但也是攻击者最青睐的攻击面之一。攻击者可能通过以下方式利用固件更新机制：伪造恶意固件包诱导设备升级、篡改OTA传输中的固件镜像、利用回滚漏洞降级到存在已知漏洞的旧版本、或者直接提取固件进行离线逆向分析。

操作流程：固件更新安全测试的核心步骤包括：

1. 固件提取：通过UART、JTAG或芯片拆解（如使用热风枪取下Flash芯片，用编程器读取）获取固件镜像。
2. 签名验证：检查固件包是否包含数字签名，验证算法是否为非对称加密（如RSA-2048、ECDSA），密钥是否硬编码在设备中。
3. 加密分析：若固件加密，尝试从Bootloader或SoC的OTP区域提取解密密钥。
4. 回滚测试：尝试将设备降级到旧版本固件，观察是否被拒绝。

4.2 典型漏洞类型：机理与利用

4.2.1 缓冲区溢出：内存破坏的“经典之殇”

核心原理：缓冲区溢出发生在程序向固定大小的内存区域写入超出其容量的数据时。在嵌入式系统中，由于内存资源有限，开发者常使用静态数组和C语言指针操作，这大大增加了溢出的风险。根据溢出位置的不同，可分为栈溢出、堆溢出和全局数据区溢出。攻击者通过精心构造的输入数据，覆盖函数的返回地址、函数指针或堆管理元数据，从而劫持程序控制流。

判断方法：识别缓冲区溢出漏洞的关键在于审查所有涉及内存拷贝的代码路径：

• 查找 strcpy()、sprintf()、memcpy() 等不安全函数的使用。
• 检查循环中对数组索引的边界判断是否完整。
• 关注从网络、串口、无线接收的数据包长度字段是否被用于内存操作。

// 典型漏洞代码示例
void handle_packet(char *packet, int len) {
    char buffer[64];
    // 漏洞：未检查len是否超过64
    memcpy(buffer, packet, len);
    // 后续处理...
}

4.2.2 命令注入：系统控制的“直达通道”

核心原理：命令注入漏洞发生在程序将用户可控的数据拼接到系统命令（如system()、popen()、exec()）中，且未进行有效过滤时。在嵌入式设备中，命令注入通常出现在Web管理界面、SNMP Trap处理、AT指令解析等场景。攻击者通过注入shell元字符（如 ;、|、&、`、$( )），可以执行任意系统命令。

判断方法：命令注入的检测需要关注所有调用外部程序的代码路径：

1. 搜索代码中 system()、popen()、exec*() 函数的调用点。
2. 追踪这些函数的参数是否包含来自网络、串口、配置文件的外部输入。
3. 测试时使用 ;id、|uname -a、$(reboot) 等探针字符串。

4.2.3 逻辑错误：业务规则的“隐形裂缝”

核心原理：逻辑错误是指程序在业务逻辑层面的缺陷，而非内存或语法层面的错误。这类漏洞不涉及内存破坏，而是源于对状态机、权限校验、时序关系、边界条件的错误处理。例如，设备在“升级模式”下未禁用调试接口、用户认证成功后未正确设置会话超时、或者对设备操作顺序未做约束（如先校准后测量）。逻辑错误往往难以通过自动化工具发现，需要结合业务场景进行手工分析。

判断方法：逻辑错误的识别需要从“攻击者的视角”审视业务流程：

• 状态绕过：尝试跳过某些前置状态（如直接发送“执行”命令而不经过“初始化”）。
• 权限提升：以低权限用户身份尝试访问高权限功能。
• 条件竞争：同时发送多个请求，观察是否存在竞态条件（如重复扣费、重复升级）。
• 边界值：测试最大值、最小值、空值、超长值等边界输入。

4.3 攻击面与漏洞类型的关联分析

理解攻击面与漏洞类型之间的对应关系，有助于安全测试人员合理分配测试资源。下表总结了常见的攻击面-漏洞组合及其优先级：

在实际的模糊测试项目中，建议按照“网络→无线→物理→固件”的优先级顺序开展测试，因为网络和无线攻击面最容易远程利用，风险最高。同时，应结合威胁建模的结果，针对特定业务场景定制测试用例。

4.4 本章要点复盘

本章系统梳理了嵌入式安全威胁模型的核心内容，关键要点如下：

• 四大攻击面：网络（远程可达）、无线（隐蔽截获）、物理接口（硬件后门）、固件更新（供应链咽喉），每个攻击面都有其独特的识别方法和测试手段。
• 三类典型漏洞：缓冲区溢出（内存破坏）、命令注入（系统控制）、逻辑错误（业务缺陷），分别对应不同的利用机理和修复策略。
• 攻击面-漏洞映射：不同攻击面倾向于触发不同类型的漏洞，测试时应根据攻击面的暴露程度和业务重要性分配资源。
• 测试优先级：远程可利用的攻击面（网络、无线）应优先测试，但不可忽视物理和供应链风险。