大疆無人機漏洞致飛行日誌、照片、視訊非授權訪問

大疆無人機漏洞致用戶帳戶和資訊通過廠商基礎設施被非授權訪問，洩漏的資訊包括裝置飛行日誌、視訊、影象，實時視訊流和麥克風音訊流，以及飛行地圖。

研究人員共發現DJI論壇使用的DJI身份識別過程的三個漏洞，分別是XSS，secure cookie bug和Certificate Pinning漏洞。黑客組合這三個漏洞就可以在DJI論壇釋出含有惡意植入連結的帖子，並傳播惡意payload。

研究人員發現DJI提供給使用者的登入web賬戶、線上論壇、Go和Go 4手機APP端，以及 ofollow,noindex" target="_blank">DJI FlightHub web app設計存在漏洞，可能導致使用者資料被非授權訪問。

Check Point安全研究人員 Dikla Barda 和 Roman Zaikin 發現DJI識別和訪問多個所屬平臺的cookie是一樣的。攻擊者竊取cookie後就可以劫持使用者帳戶並以合法使用者處理。

很快，研究人員就發現可以通過DJI論壇發起XSS攻擊獲取使用者和無人機資料的訪問許可權。攻擊者只需要在DJI論壇釋出一個簡單的POST就可以觸發XSS漏洞。

通過payload獲取的使用者cookie

攻擊場景首先是一個含有惡意內容的連結，該連結中包含有JS注入。如果論壇使用者點選該連結，JS就會抓取使用者的DJI cookie和帳戶token。然後攻擊者可以從目標中匯出secure cookie到外部域名。然後竊取的使用者token可以被用於識別DJI帳戶持有人的身份，攻擊者就可以訪問帳戶持有人的雲服務，訪問儲存的無人機圖片、飛行計劃和支付資訊等。因為DJI論壇上有成千上萬的使用者，所以攻擊者都不需要分享該連結，使用者在轉發訊息時會自動轉發該連結。

安全機制Certificate Pinning存在錯誤配置，攻擊者可以利用該錯誤配置來在DJI手機APP環境中使用系統的認證token。這樣攻擊者不僅可以劫持使用者帳戶，還可以訪問實時飛行影象和飛行資料。

Check Point研究人員稱，今年3月份就將漏洞通報給了DJI，希望DJI可以在公佈技術細節前獲取解決該技術設施的安全問題。大疆在9月份對該漏洞進行了修復。大疆對該漏洞的評級為高風險，但表示幾乎不可能發生。

通過手機同步DJI雲的飛行記錄資料，攻擊者還可以本地瀏覽飛行日誌，檢視地圖和無人機拍攝的視訊和照片。

FlightHub web app可以提供自動飛行日誌同步，編隊管理選項，以及實時視訊流記錄。

漏洞技術細節參見：https://research.checkpoint.com/dji-drone-vulnerability/