講真，當(dāng)阿里安全研究員五達(dá)跟我揭秘他是如何通過(guò)攝像頭、風(fēng)扇來(lái)模擬“紅外線(xiàn)信號(hào)”發(fā)射器，成功黑進(jìn)電視機(jī)、空調(diào)時(shí)，我是懵逼的。

后來(lái)，我轉(zhuǎn)念一想，畢竟他是搞出了一個(gè)“看片神器”的男人啊（雷鋒網(wǎng)老文新推《這個(gè)黑客搞出了一個(gè)看片神器，水印去無(wú)蹤｜Black Hat USA 2018》）。

就是這個(gè)以身試神器的男人—;—;五達(dá)

勇攀高峰，不走尋常路搞研究，說(shuō)的就是五達(dá)。

上一次，五達(dá)搞古典樂(lè)團(tuán)，從而想到了維護(hù)樂(lè)團(tuán)視頻的原創(chuàng)性。這一次，我很懷疑他的這項(xiàng)神奇的研究是從“走近科學(xué)”開(kāi)始的。

有一天，辛勤工作的安全研究員五達(dá)通過(guò)通宵奮戰(zhàn)，還是想不到接下來(lái)自己要破解什么新東東時(shí)，感受到了清晨的一縷陽(yáng)光。此時(shí)，正是萬(wàn)物蘇醒，五達(dá)精神一振：光！

太陽(yáng)光分為分為可見(jiàn)光與不可見(jiàn)光?？梢?jiàn)光的波長(zhǎng)為400～760nm，散射后分為紅、橙、黃、綠、青、藍(lán)、紫7色，集中起來(lái)則為白光。不可見(jiàn)光又分為2種：位于紅光之外區(qū)的叫紅外線(xiàn)，波長(zhǎng)大于760nm，最長(zhǎng)達(dá)5300nm，位于紫光之外區(qū)的叫紫外線(xiàn)，波長(zhǎng)290～400nm。

紫外線(xiàn)可以殺菌，紅外線(xiàn)則有巨大的熱效應(yīng)。聰明的人類(lèi)還利用紅外線(xiàn)干了一件事：紅外線(xiàn)遙控器，通過(guò)不同頻率的紅外線(xiàn)閃動(dòng)，“指揮”電視機(jī)、空調(diào)等工作。

如果這些電視機(jī)、空調(diào)沒(méi)有聯(lián)網(wǎng)，是否可能被入侵？五達(dá)的靈感來(lái)了：一個(gè)看似沒(méi)有安全風(fēng)險(xiǎn)點(diǎn)的挑戰(zhàn)項(xiàng)目—;—;沒(méi)有聯(lián)網(wǎng)的傳統(tǒng)設(shè)備可能有安全風(fēng)險(xiǎn)，被黑客入侵嗎？

五達(dá)想到了兩種方法：

如果紅外線(xiàn)遙控器控制的電視機(jī)、空調(diào)、家用攝像頭同處一室，以這個(gè)家用攝像頭為跳板，可以入侵電視、空調(diào)。

如果沒(méi)有攝像頭，有一臺(tái)風(fēng)扇也行。

第一種方法

首先，你要了解紅外遙控器“說(shuō)出的語(yǔ)言”：它發(fā)出的紅外光是多長(zhǎng)波長(zhǎng)的光？是以什么樣的頻次對(duì)電視機(jī)發(fā)出何種指令？

五達(dá)借助了三星Galaxy S10手機(jī)的“super slow motion”功能，正常攝像機(jī)的拍攝速度是 30 幀/每秒，但這個(gè)“super slow motion”可以慢到 960 幀/每秒。他利用這個(gè)功能錄制了遙控器與電視機(jī)通過(guò)紅外信號(hào)通訊的過(guò)程，并分析出對(duì)應(yīng)紅外光閃動(dòng)頻率的“語(yǔ)言”。

至此，你可以把這個(gè)手機(jī)理解為“信號(hào)分析儀”。

五達(dá)發(fā)現(xiàn)，紅外光要以38000次/秒的頻率閃動(dòng)，才能發(fā)出有效可激活的信號(hào)，并需要用過(guò)濾器過(guò)濾太陽(yáng)光中存在的紅外光，也就是說(shuō)，過(guò)濾其他頻次的雜信號(hào)。

此外，這種紅外光必須是 940 nm的光。

那么，問(wèn)題來(lái)了：與電視機(jī)同處一室的家用攝像頭發(fā)出的紅外光波長(zhǎng)是否達(dá)到 940 nm？黑客黑進(jìn)攝像頭后，能否讓攝像頭發(fā)出 38000次/秒的紅外光？

五達(dá)發(fā)現(xiàn)，XX品牌的攝像頭發(fā)出的剛好是這種波長(zhǎng)的紅外光，攝像頭被控制后也能發(fā)出這種頻次的光。

但是，無(wú)論是紅外遙控，還是紅外攝像頭，它們的控制距離都非常有限，就在幾米范圍之內(nèi)，有沒(méi)有辦法“遠(yuǎn)距離”控制，延長(zhǎng)控制范圍？

有的。

五達(dá)自制了一個(gè)“紅外補(bǔ)光燈”。“經(jīng)過(guò)實(shí)驗(yàn)，我發(fā)現(xiàn)增加了紅外光的功率后，可以將‘遙控器’的距離延長(zhǎng)到原來(lái)的3-4倍?！彼f(shuō)。

也就是說(shuō)，在一定條件下，黑客其實(shí)可以藏身在另一棟樓中，通過(guò)這些裝備，打開(kāi)你家沒(méi)有“聯(lián)網(wǎng)”的電視機(jī)、空調(diào)，甚至利用電視機(jī)搜索相關(guān)內(nèi)容。

“攻擊者可以利用這個(gè)東西用來(lái)控制一些其他的設(shè)備，有一些互聯(lián)網(wǎng)電視有瀏覽器，利用紅外燈閃爍可遙控電視機(jī)彈出一個(gè)軟鍵盤(pán)輸入地址?！蔽暹_(dá)說(shuō)。

五達(dá)第一種腦洞的實(shí)際場(chǎng)景

第二種腦洞

啟發(fā)五達(dá)的是卡巴斯基曾經(jīng)的一則廣告：一個(gè)首席安全官正在開(kāi)著他的生日派對(duì)，電風(fēng)扇突然被黑客入侵，黑客很?chē)虖埖卦陔婏L(fēng)扇的顯示屏上打出了字：給我XXX錢(qián)才恢復(fù)。

如果電風(fēng)扇被入侵，是否可以作為切割太陽(yáng)光中的紅外光的“斬波器”？如果可以，讓紅外光以上述特定頻率閃動(dòng)，豈不是生生造出來(lái)一個(gè)“遙控器”？

在五達(dá)的實(shí)驗(yàn)環(huán)境里，他并沒(méi)有扛出電風(fēng)扇，而是使用一個(gè)電鉆和光盤(pán)，嘗試造出一個(gè)“斬波器”。電鉆每秒可以達(dá)到 10000 轉(zhuǎn)-30000 轉(zhuǎn)，于是，他在光盤(pán)上打了 150 個(gè)均勻分布的小洞，結(jié)果發(fā)現(xiàn)，切割普通的光就可以構(gòu)造出紅外遙控信號(hào)。

五達(dá)制作的神器

腦洞再打開(kāi)一點(diǎn)

有紅色信號(hào)燈的飲水機(jī)能否被改造成遙控器？普通的 LED 燈能不能發(fā)出紅外光？

“我覺(jué)得可能性不太大，畢竟這種 LED 小燈的成本就是幾分錢(qián)，大部分廠商是不會(huì)這么做的。但是我們沒(méi)有做過(guò)這個(gè)實(shí)驗(yàn)，我覺(jué)得這個(gè)問(wèn)題很有意思?！蔽暹_(dá)說(shuō)。向五達(dá)拋出這個(gè)問(wèn)題的是 DEFCON2019 上的專(zhuān)業(yè)觀眾，自從五達(dá)在去年的 DEFCON 上演示過(guò)去水印的神器后，他又帶著這項(xiàng)腦洞大開(kāi)的研究到全世界最牛的黑客大會(huì)上演講。

“使用常見(jiàn)的機(jī)械結(jié)構(gòu)組成空間光調(diào)制器，從而實(shí)現(xiàn)使用純機(jī)械結(jié)構(gòu)通過(guò)切割紅外光源，生成可以控制傳統(tǒng)家電的遙控信號(hào)。通俗來(lái)講，攻擊者通過(guò)調(diào)制工業(yè)風(fēng)扇葉片轉(zhuǎn)速，切割攝像頭的紅外補(bǔ)光燈，將空調(diào)打開(kāi)。我們首次演示這一可行性的目的是，提醒大家在物聯(lián)網(wǎng)安全中，不要忽視非智能設(shè)備潛在攻擊面。”五達(dá)說(shuō)。

你可以看到，五達(dá)這次的研究跟我們一般認(rèn)知上的“hacker 研究”有很大的不同，但是以不同尋常的腦洞探索看上去不可被黑進(jìn)的領(lǐng)域，誰(shuí)又能說(shuō)，這不是一種純粹的 hacker 精神呢？