前言：它们是谁？它们是各类智能家居产品，它们是物联网领域不可计数的感知终端。它们很小，最小的仅仅是一个还没有指甲大的芯片，里面只有几十K字节的代码。但当数百万的它们被“联合”起来，一场DDoS风暴席卷美国！

这不是一篇技术解读性文章，但它会帮助你认清更多物联网攻击背后的秘密。

你还敢忽视它们吗？！

美国东部时间2016年10月21日7点10分-17点（北京时间21日19点10分-22日5点），黑客操控数百万网络摄像头及相关DVR录像机作为“肉鸡”，通过Mirai僵尸网络以DDoS劫持攻击方式瘫痪了美国主要域名服务器（DNS）供应商Dyn公司的服务器，导致包括Twitter、Paypal、Spotifyy、Netflix、Airbnb、Github、Reddit以及纽约时报等在内的美国知名网站无法访问，半个美国陷入断网状态。

秘密1：黑客物联网攻击战略布局

这是一次突发事件？安全情报说——不！

这是一次毫无征兆的突发事件？这是一次偶然事件？梆梆安全的威胁情报搜集系统说：不！

早在本月初，就已经有安全人员发布了物联网恶意代码Mirai分析报告。梆梆安全威胁情报搜集小组更是持续通过“梆情报”平台发布物联网攻击预警信息：IoT僵尸网络Mirai分析→恶意软件Mirai感染全球物联网设备→Mriai IoT DDoS木马瞄准蜂窝网络设备→国外黑客发现国产摄像机存在XXE漏洞→利用Mirai发动DDoS攻击源码公布。

从时间节点来看，“Mirai发动DDoS攻击源码公布”新闻爆出仅仅间隔1天后，黑客组织便使用Mirai僵尸网络对Dyn公司服务器发起三波DDoS劫持攻击，而且后继两波次攻击都是在Dyn工程师“成功”解决上一波次攻击后所发起。这一切都使得本次“美国断网DDoS攻击事件”更像是一次目的性明确地实战验证演练。

Mirai发动DDoS攻击的源码在今年9月份就已经在黑产世界里被公布出来，其后各种升级版本不断出现，并参与到多次DDoS攻击行动里，直到其被暴露在大众面前。当人们开始对其进行更为深入剖析并尚未来得及找寻到有效防御方法时，黑客抓住了这个时间差，发起了此次更像是用于验证的超大范围物联网DDoS攻击。

由此可见，黑客物联网攻击的战略布局过程已经十分明显：

第1步：挖掘物联网安全漏洞，使用恶意软件感染物联网设备；

第2步：布设IoT僵尸网络；

第3步：检验并升级物联网攻击恶意代码；

第4步：感染针对性物联网设备，完善僵尸网络；

第5步：继续找寻、挖掘物联网设备漏洞，发现适合度高的攻击目标；

第6步：在合适时间节点发起测试性广度、深度攻击，验证物联网攻击效果；

第7步：继续完善物联网攻击生态环境；

第8步：潜伏；

第9步：在关键时间节点发起致命攻击；

第10步：探寻新物联网恶意攻击面……循环步骤1-10。

秘密2：老套的物联网安全危机

貌似神秘、复杂的物联网世界，对于黑客而言，攻破它就像捅破一张纸。

刨除种类繁多的CPU底层硬件设备，以及版本杂乱的操作系统平台，物联网设备自身的安全隐患与PC时代、互联网时代IT产品所面临的安全问题几乎完全相同，或者说是“一脉相承”。借用梆梆安全产品副总裁付杰先生的一句话，“只是要开的那扇门变得更加复杂、麻烦了而已。”

智能摄像头、智能手机、智能汽车……物联网终端的硬件平台早已不复PC、互联网时代那么单一，操作系统类型更是五花八门。这意味着黑客需要针对不同硬件平台、不同操作系统找到分别适合的“撬锁工具”——入侵方法。“原先的门可能只有几扇或者十几扇，一套或者几套撬锁工具就能搞定。但物联网时代的门可能会有成百上千，所需要的撬锁工具更可能是需要数以十计或者更多。”

一旦推开了门，生存于其中的程序、应用里所暗藏的安全隐患与PC、互联网时代则如出一辙。早在2013年左近，梆梆安全在给各类移动应用做安全检测时就发现，漏洞多多、问题重重、千疮百孔，“PC里的安全问题在这里一个都没少，一切都是那么老套。”

随着物联网所关联的利益链变得庞大起来，黑客发起攻击的“性价比”愈发高涨，特别是当物联网攻击难度大多聚焦在“开门”这个环节时，老套的安全隐患将进一步降低恶意攻击成本，诱导恶意攻击者通过对物联网发起攻击获取惊人收益。

在物联网世界里拼搏的人们，当您依然将产品性能、用户体验放在第一的位置，当您依然弱视、无视安全性把它放在遥远的第N位置时，这意味着您已经将本应自己收获的累累果实，“无私”地“奉献”给了恶意攻击者，并为其予取予求“大开方便之门”。

物联网时代下，忽视安全，就等同于放弃了生存的权利！

秘密3：脆弱的物联网应用程序体让黑客窃喜

毫不设防的程序代码，让黑客轻松得手。

Mirai病毒通过扫描物联网设备，尝试默认通用密码进行登录操作，一旦成功即将这台物联网设备作为“肉鸡”纳入到僵尸网络里，进而操控其攻击其他网络设备。

在本次攻击事件中被攻击控制的网络摄像头、DVR，其模组中的密码被写入到了固件里，一方面用户对于这个密码毫不知情，另一方面还没有任何工具能够修改这个模组的密码，这给了黑客可乘之机。黑客在扫描发现这一安全漏洞后，通过默认密码就打开了大门，进而修改了应用程序的访问网络地址，再控制其发起DDoS攻击，一切都是如此的“水到渠成”、“毫无阻碍”！对安全性的忽视，使得物联网设备里的应用程序体异常脆弱，很容易被攻击者发现漏洞、利用漏洞。

实际上，现在大多数移动应用程序、物联网终端里的应用程序，都“惯例性”的没有对自身进行任何安全增强，虽然设置了登录密码，但很容易被攻击者找到获取密码或者绕过密码的方法。一番反编译下来，就能对应用程序了解个底朝天，篡改操作实在是得心应手，借用一句网络语“简单的不要不要的”！

“梆”你粉碎物联网攻击，从程序安全开始！

付杰先生一针见血的指出，如同安全隐患、恶意攻击在IT各个时代延续下来的继承性一样，物联网安全的攻防将更为聚焦在程序本体，物联网自身的特性更是决定了其安全的本质就在于代码层面的安全防御。

而梆梆安全口袋里的一个个“金手指”，则能针对物联网安全危机的本质——程序安全，布下层层防线，从源头化解针对物联网设备的恶意攻击。

梆梆安全金手指1

强健应用程序自体安全。借助安全加固、白盒密钥等技术，加强程序代码自身安全健壮性，可以提升物联网终端设备漏洞挖掘的难度，避免“密码固化”这类缺陷被发现。还可以大幅增加物联网设备自身漏洞被利用的难度，就算设备被攻陷获得控制权限，也不致于轻易让物联网终端发起非法请求，成为DDoS攻击里的“肉鸡”。“明知道钱放在抽屉中，可就找不到抽屉在哪里，这个痛苦可以让骇客们尝一尝。”

梆梆安全金手指2

纳入移动威胁感知体系。从长期而言，基于对海量设备的监测、数据采集及关联分析，可以发现密码尝试、僵尸网络等潜在威胁，在攻击大规模爆发之前识别并予以阻截。梆梆安全的移动威胁感知系统，就是针对移动互联网、物联网的智能设备、应用程序所构建的威胁感知体系，其感知范围甚至可以在人工智能时代扩展到人工智能的信息搜集终端。一切异常的程序行为动作，都将在移动威胁感知系统里无所遁形。

梆梆安全金手指3

安全要多大？能多大就多大！当攻击者在应用程序的攻击上碰得头破血流时，其会转为对传统攻击面下手，近几年一些“老式病毒发新芽”的现象无不印证了这一点。更进一步，黑客还将对被攻击目标的上下游关联IT系统动手，实现迂回攻击。

对此，梆梆安全的忠告是：IT系统安全防护的任何一个环节、任何一个层面都不能厚此薄彼。在物联网时代，在安全投入上多省一点银子，就意味着在将自己的命运多交一分到恶意攻击者的手上。这里透露个小秘密，梆梆安全如今正在通过合作等方式，与不同行业领域里的友商携手共筑“大安全”生态系统。物联网时代下，安全可以变得更大，但千万莫要变得更小！

谈在最后

物联网时代的恶意攻击面将会越来越多，将更加让人“意想不到”。此时只有抓住其本质——程序安全，让程序自身更为强壮，再围绕于此构建全维度的安全防护体系，自可无惧于“狡诈”的骇客攻击！

安全的代码、安全的程序，能够让其所附身的设备“天然”拥有安全的属性，那么当这些设备第一次接入网络时，将不是削弱而是增强了整个网络生态系统的安全健壮程度。随着“家庭”这个元素与物联网更为紧密、深入的融合，程序安全度足够高的智能产品将成为人们地最佳选择。

原文发布时间为：2016年10月24日

本文来自云栖社区合作伙伴至顶网，了解相关信息可以关注至顶网。