青骥外宣 l 2023 SAE汽车网络安全Workshop 乙方视角下的智能网联汽车渗透测试实践

一、测试方法

WP.29 R155 提到 “车辆制造商应在型式认可之前进行适当和充分的测试，以验证所实施安全措施的有效性”。“进行适当和充分的测试”——在不同的测试目的和预期结果下，采用的测试方法有所不同，这也体现被选择的不同身份角色测试人员，即内部团队和外部安全团队。内部安全团队能够采用黑白灰三种测试方法，而外部安全团队往往采用黑盒测试，部分情况可能涉及灰盒测试的一小部分。

1）白盒测试 

白盒测试中渗透测试人员能够获取到所有信息（源代码、二进制、各类设计文档），执行过程多为审计审查（代码审计、文档审查等）。由于资料和数据敏感程度较高，一般只有企业内部团队才有机会开展白盒测试。正如这里说的是有机会，虽然主机厂对整车系统拥有所有权，但对其中的代码并不一定拥有所有权。所以主机厂的安全部门和乙方安全公司一样开展白盒测试的机会相对较少。正因如此，部分甲方安全团队的人员有时候就会造成一种误解，渗透测试只有黑盒，做渗透测试不需要提供任何信息，一切需要渗透测试团队只能自行取得。

2）黑盒测试

黑盒测试中渗透测试人员无法获取车辆系统的内部资料，尝试从任何可能的内外部发起攻击，找到脆弱点。实际开展的项目大多是黑盒，主要信息需要通过逆向分析获得，如IPC/RPC通信方式、私有协议字段定义、OTA升级包分发方式等。

3）灰盒测试

灰盒测试中渗透测试人员对系统有一定的了解，能够获取到设计文档，如算法、系统架构、内部数据结构等。渗透测试人员可以根据详细的设计文档，构建测试用例。内部团队能够获取到的设计文档较多，而外部团队以安全设计规范文档为主。

二、测试流程

本文是站在乙方视角智能网联汽车渗透测试实践。整个渗透项目的流程与渗透测试标准流程 所定义大体相同，但在智能车场景下，需要做一些调整，添加一些与项目管理、信息收集相关的项。

1. 前期沟通

此阶段包括首次相关相关人员会议，目的是确定渗透测试范围、测试环境、测试规则、资料收集、测试时间以及测试实施人员、测试地点、项目目标等信息。

•测试对象：零部件或整车

•测试环境：整车测试是否提供台架；台架有哪些零部件，环境是否完整；

•测试规则: 开发版或正式版，有无调试权限；硬件是否拆解等；

•测试时间：确定测试开始的时间与持续时间；

•测试人员：根据项目与甲方需要确定需要人员数据与技能点；

•资料收集：与客户沟通获取项目所需的资料，具体内容见 甲方需提供的资料；

•项目目标：项目完成时需要达到的目标等

2. 前期信息收集

在上阶段中与客户沟通，收到后整理客户提供的资料，对测试对象形成初步映像。以及准备测试设备。

主机厂采用 模块化平台 缩短研发周期，降低研发成本，所以新车上往往有其他已发布的车型的影子。所以无法从客户获取资料（主机厂/供应商提供的信息有限），可以发挥主观能动性，掌握主动权，利用 OSINT 搜集开发泄露资料(企标、代码27算法、DID)，车友圈玩车的方法(任意应用安装)等。 

3. 测试环境适应与调整

此阶段开始接触被测设备，首先需要验证被测设备的是否满足测试条件。发现测试台架和测试车辆存在的问题，并联系相关负责人解决。

这一步是在实际测试中，总结出来的看似不重要，但实际是影响项目推进的重要因素。理想是美好的，很多情况下客户说环境准备好了，但测试发现环境还是一团糟，由于测试车辆在SOP(Start Of Production，开始量产)之前，不免出现问题，在正式测试之前需要解决存在的问题。以下总结了几个重要的点供参考大家避坑。

•硬件问题，高低配版本

•测试系统版本，刷新到完整稳定版

•软件版本问题，功能不完整

•网络问题，Wi-Fi不能开启、蜂窝网络无法连接

•账号问题，APP未绑车

•停车问题，室内与室外

4. 信息收集

在信息收集阶段要尽量收集关于被测设备软硬件的各种信息（硬件、网络、系统、应用、业务）。

•通过表格记录目标的基本信息

•通过拆解分析目标使用芯片、调试接口、丝印

•获取网络、系统、应用信息梳理出之间的关系并以图形方式呈现，实现团队共享

•业务信息梳理，如OTA等

5. 威胁建模

根据上一阶段收集信息的对目标分析后制定测试方案，包括渗透内容、测试路径、测试重点、时间安排、分工与协作等。

•资产识别，对信息收集阶段的信息进行汇总分析，识别出需要分析处理的资产。

•威胁场景识别，对资产进行初步分析，识别存在的威胁场景。

•攻击路径分析，根据对目标设备的信息确定攻击路径。

•制定测试方案，根据项目需求和被测目标的实际情况制定。

6. 漏洞挖掘

确定出最可行的攻击通道之后， 考虑如何取得目标系统的访问控制权。 综合分析前几个阶段获取并汇总的情报信息， 找出潜在可被利用的未知安全漏洞， 并开发利用代码。同时展开动态分析，对协议、业务安全进行漏洞挖掘。

7. 漏洞验证

验证静态分析中将所有潜在的漏洞记录并形成利用代码，此次阶段验证这些漏洞是否能够被利用。

8. 后渗透

在拿到一个模块的权限，确定是否可对目标进行内网渗透和权限维持,通过横向移动发现更多的漏洞。

•Android 反弹 Shell 可使用 Msfvenom 生成

•扫描其他ECU及开放服务，发现更多的暴露点

•内网穿透可使用 FRP，纵深到内网之中，建立通道方便测试

•寻找固件残留，固件是重要的数据，尝试分析利用漏洞横向移动

•漏洞利用，实现攻击效果，如控制车辆、窃取敏感信息等

•最终形成攻击链，拍摄视频/录屏记录

9. 编写报告

通过报告，清晰、简明的向客户传达在渗透测试期间发现的漏洞，以及这些漏洞可能造成的影响。

•合规报告，汇总测试项，统计漏洞数量

•漏洞挖掘报告，梳理漏洞挖掘情况，整理漏洞挖掘报告

•过程记录报告，记录过程

10. 回归测试

三、思考

以上内容根据去年 SAE Workshop 整理而成。去年邀请了星舆实验室的安全研究员以乙方视角分享了渗透测试，今年邀请了来自极氪的安全研究员，他将从甲方视角分享《整车渗透测试实战》，内容涉及监管要求、基准测试 、车辆攻击面、黑客、思考等方面。

本篇是针对2023 SAE的workshop系列文章之“智能网联汽车渗透测试”篇，最后欢迎大家报名参加本次SAE的workshop，10月17--18日，上海，我们不见不散！