3. IoT攻击链分析：攻击者入侵IoT设备的典型步骤
做IoT安全这些年，我见过太多设备被攻破的案例。说实话，攻击者的套路虽然花样百出，但核心步骤就那么几步。今天我就把这套攻击链掰开揉碎了讲给你听。
你想想看，一个攻击者要拿下你的IoT设备，他得先知道设备在哪，然后找漏洞钻进去，再往里面塞点东西，最后控制设备干坏事。这套流程，我称之为「IoT攻击五步曲」。
3.1 第一步：扫描——攻击者的「踩点」阶段
攻击者要入侵，首先得知道目标在哪。这个阶段，说白了就是「踩点」。我见过最典型的场景：攻击者用Shodan或者Masscan全网扫描，专门找开放了Telnet（23端口）或SSH（22端口）的IoT设备。
为什么会盯上这些端口？因为很多IoT设备出厂默认开启Telnet，密码还是admin/admin。你想想看，这跟把家门钥匙挂在门上有什么区别？
扫描阶段的典型特征：
- 网络层： 短时间内大量SYN包、ICMP探测包
- 应用层： 针对特定端口（23/22/80/8080）的批量连接尝试
- 源IP： 通常来自Tor出口节点或云主机
3.2 第二步：漏洞利用——找到突破口
扫描到设备后，攻击者就开始找漏洞了。IoT设备的漏洞类型其实很固定，我总结下来就三类：
| 漏洞类型 | 典型例子 | 攻击难度 | 常见设备 |
|---|---|---|---|
| 弱口令/默认口令 | admin/admin, root/root | 极低 | 摄像头、路由器 |
| 固件漏洞 | 命令注入、缓冲区溢出 | 中等 | 智能网关、NAS |
| 协议漏洞 | UPnP、CoAP协议缺陷 | 较高 | 智能家居设备 |
我个人习惯把弱口令攻击叫做「躺平式漏洞利用」。为什么？因为攻击者根本不需要什么高超技术，拿个字典跑一遍，十台设备里至少能中两三台。我曾经帮客户做渗透测试，用「admin/123456」这个组合，一口气登进去了17台摄像头。
3.3 第三步：植入——往设备里塞「东西」
拿到权限后，攻击者要干的第一件事就是植入恶意软件。这一步，我称之为「落盘」。常见的植入物包括：
- Mirai变种： 专门针对IoT设备的DDoS木马，感染后设备会变成僵尸网络的一员
- 挖矿程序： 利用设备CPU挖门罗币，我见过一台路由器被植入后CPU直接飙到100%
- 后门程序： 比如反向Shell、持久化SSH密钥
- 代理工具： 把设备变成跳板机，用于攻击内网其他目标
植入阶段的检测要点：
- 文件变化： 检查/etc/init.d/、/etc/cron.d/等目录是否有新增脚本
- 进程异常： 出现不明进程，比如名为「.bash」或「httpd」的挖矿程序
- 网络连接： 设备主动向外发起连接，尤其是非标准端口
3.4 第四步：C2通信——攻击者的「遥控器」
植入完成后，恶意软件会尝试连接攻击者的C2（Command & Control）服务器。这一步，说白了就是建立遥控通道。C2通信有几个典型特征：
- 心跳包： 每隔几分钟或几小时发送一个短连接，告诉C2「我还活着」
- DNS隧道： 把数据藏在DNS查询里，绕过防火墙检测
- 加密通信： 使用HTTPS或自定义加密协议，隐藏真实流量内容
我记得有一次分析一个僵尸网络样本，它的C2心跳包特别有规律——每5分钟发一次，数据包大小固定为128字节。这种规律性，就是构建检测规则的好素材。
3.5 第五步：横向移动——从一台设备到整个网络
这一步是最危险的。攻击者控制了一台IoT设备后，会利用它作为跳板，扫描内网其他设备。你想想看，如果攻击者控制了你的智能灯泡，他可能通过这个灯泡去攻击你的NAS、电脑甚至服务器。
横向移动的常见手法：
- ARP扫描： 被控设备发送大量ARP请求，探测内网存活主机
- 密码喷洒： 用同一组弱口令尝试登录内网其他设备
- 漏洞利用： 利用内网设备间的信任关系，比如SSH免密登录
3.6 攻击链的完整视角
讲完这五步，我想强调一个观点：攻击链不是线性的。实际攻击中，攻击者可能会跳过某些步骤，或者循环执行。比如植入后C2连不上，他会换一种方式重新植入。
但对我们做检测的人来说，只要抓住攻击链中任何一个环节的IoC，就能发现失陷。你不需要在所有环节都部署检测，抓住一两个关键点就够了。