Check Point研究人员开发了一种可用于挟持DJI无人机用户账户的攻击

Check Point研究人员开发了一种可用于挟持DJI（大疆创新）无人机用户账户的攻击，账户中包含用户的敏感信息以及对设备本身的访问权。

据报道，Check Point研究人员开发了一种XSS攻击，该攻击可发布在成百上千名DJI客户使用的DJI论坛上，以拦截识别令牌，并借此以客户身份进行登陆。

该攻击证明了无人机云网络中存在漏洞且访问该漏洞不受地点限制，强调了双因素身份验证机制与优化身份（认证）机制的必要性，以及在IT网络中组织细分的重要性，以便控制以及限制由潜在攻击造成的损害。

攻击者进入网页论坛，窃取cookie ID并完成登陆，之后利用失窃信息或绕过SeNeo Mobile保护以访问DJI移动端应用程序，或访问DJI Flight Hub上的全部信息。

一旦完成以上操作，攻击者便可访问无人机飞行记录、飞行时所拍照片、支付详情、实时访问无人机摄像头、无人机飞行员摄像机及其位置。由于DJI客户识别过程存在漏洞，研究人员可挟持用户的账户并完全控制任一云平台及其中储存的数据。

无人机本身也被用于发起攻击。

DJI无人机应用于多个行业，包括关键基础设施、制造业、农业、建筑业、应急管理部、政府部门、军队及其他部门，这表示攻击者有机会借之窃取关键信息。

研究人员指出，无人机可通过飞行路径、照片、航拍录像与地图的形式提供有价值的侦察信息。那些针对关键基础设施的攻击者可通过发电站、水坝及其他设施窃取复杂的详情及图片信息。

针对快递与物流公司的攻击者可获取路线信息，并获知所运输的包裹为何物、在何处以及运往何人，以便对包裹进行拦截。

2018年3月，DJI发现了该漏洞，目前该漏洞得以修复。