315晚会报道的无人机是怎么被劫持的？

图1 拆开的精灵3代遥控器（左图）和无人机主机（右图）

从下面的图中能识别出来，主控芯片选择的是知名大厂NXP的LPC1765系列，120MHz主频，支持USB 2.0，和射频芯片使用SPI接口进行通讯。而射频芯片则是国产BEKEN的BK5811系列，工作频率为5.725GHz – 5.852GHz或者5.135GHz – 5.262GHz，共有125个频点，1MHz间隔，支持FSK/GFSK调制解调，使用ShockBurst封包格式，并且支持跳频，使用经典的SPI接口进行控制。

而这个参数强大的国产射频芯片激起了我们的兴趣，经过一些挖掘，发现这个芯片原来山寨自NORDIC的nRF24L01+，没错，就是这个号称性价比之王的nRF24L01+ 2.4GHz射频芯片的5.8GHz版本，更有意思的是这两个不同厂家芯片的datasheet中绝大部分内容都是通用的。

通过这些基本的硬件信息确定了射频的频段后，我们马上拿出HackRF在gqrx中观察5.8GHz的信号。看着瀑布图（下图4）中跳来跳去的小黄线，我们意识到精灵3的射频通讯应该是跳频的，而在不知道跳频序列的情况下，无法对射频信号进行完整解调。此时HackRF的射频分析基本上派不上用处，唯有通过逻辑分析仪来看看射频芯片是如何跳频的。

0x0201 不得已的控制逻辑追踪 
    从上一节获得的硬件信息中，我们已经知道主控芯片和射频芯片之间是采用SPI接口进行通讯和控制的，因此只要从BK5811的引脚中找到SPI需要的那四个引脚，连上逻辑分析仪，对这四个引脚的电位变化进行采样分析，我们就能看到主控芯片是如何控制射频芯片的跳频了。

0x020100 SPI接口定义 
SPI协议本身其实挺简单的，在CS信号为低电位时，SCK通过脉冲控制通讯的时钟频率，每个时钟周期里，SI为输入，SO为输出，通过SI和SO在每个时钟里高低电位的切换构成一个bit，每八个时钟周期构成一个字节，从而形成一个连续的字节流，一个字节流代表一个命令，由射频芯片的datasheet约定好。SPI协议通讯示意图如下所示，其中四个引脚分别为：

SO（MISO）：主设备数据输出，从设备数据输入。
SI（MOSI）：主设备数据输入，从设备数据输出。
SCK（CLK）：时钟信号，由主设备产生。
CS（CSN）：从设备使能信号，由主设备控制。

0x020101 连接逻辑分析仪 
通过BK5811的datasheet，我们定位到了SPI通信的那几个引脚（如图6），通过万用表确认引脚连通性，然后在可以电焊的地方通过飞线连上逻辑分析仪的测试钩，折腾了很久总算连上了（如图7）。

 

随后，从逻辑分析仪中，我们得到了作为安全人员来说最喜欢的二进制数据流。

0x020102 射频芯片控制命令解析 
在BK5811的datasheet中，明确定义了它所支持的每一条SPI命令。通过连续的电位变化传过来一个完整的SPI命令如下所示：

其中0x30是命令号，高3位代表操作是写BK5811的寄存器，而寄存器id由这个字节中的低5位决定，是0x10，而0x10代表写的内容是ShockBurst的发送地址（类似以太网的mac地址）。而后面五字节（0x11 0x22 0x33 0x44 0x19）则是发送地址本身。

0x020103 跳频逻辑总结 
通过一段时间的观察，我们发现SPI命令颇为简单，为了方便观察大量命令的序列，我们按照datasheet中的定义写了一个解析脚本，在脚本的帮助下终于整理清楚了跳频的流程。

在大疆的定义下，完整的跳频序列有16个频点，这些频点在遥控器和无人机主机配对（一般发生在出厂前）时通过随机产生，一旦确定后就存储固定起来，除非手动重新配对。

遥控器打开后，会以7ms的周期，按照跳频序列指定的顺序来变化射频发射的频率，16次（112ms）一个循环，而在每一个周期内，发射一次遥控的控制数据。一个典型的SPI命令序列如：<跳频> 1ms <发包> 6ms

对于无人机主机，则是以1ms的周期来变化接收信号的频率，一旦收到来自遥控器的射频信号（BK5811会使用上文所说的发送和接收地址来识别通过），则转而进入7ms的周期，和遥控器保持同步。一旦信号丢失，马上又恢复1ms的跳频周期。一个典型的SPI命令序列如：<跳频> <查包> 1ms <查包> 1ms <查包> 1ms <查包> 1ms <查包> 1ms <查包> 1ms <查包>。

从上面的分析我们能注意到，遥控器只负责发送数据，无人机主机只负责接收数据，两者之间并无射频上的交互。这为我们后面覆盖遥控器的信号打好了基础。

0x0202 模拟信号到数字信号的鸿沟 
在搞清楚遥控的工作流程后，我们知道是可以对其进行完全的模拟（先假设射频序列已知），创造出一个以假乱真的遥控来。但在加工二进制命令前，如何完成二进制命令中数字化的数据和真实世界中连续的电磁波之间的转换困扰了我们很久，笔者甚至很长一段时间都在想重回大学修满通信专业的科目。

0x020200 电磁波和GFSK制式的基本原理 
先补一点从学通信的同事那里偷师回来的基本常识。
电磁波在我们的世界中连续的传播，通过特定的方式可以使其携带二进制信息，这个方式称为调制解调。发送数据时，一般是将的调制好的基带信号（含二进制信息）和载波信号叠加后进行发送，通常基带信号的频率会比载波信号频率低很多，如BK5811的载波信号频率在5.8GHz左右，但基带信号的频率仅为2MHz。而接收方通过解调和滤波，将基带信号从接收到的载波信号中分离出来，随后进行采样和A/D转换得到二进制数据。
FSK（Frequency-shift keying）是一种经典的基于频率的调制解调方式，其传递数据的方式也很简单。例如约定500KHz代表0，而1000KHz代表1，并且以1ms作为采样周期，如果某1ms内基带信号的频率是500KHz，这表明这是一个0，而如果下1ms内基带信号的频率为1000KHz，那表明下一位二进制比特是1。简单来说，FSK制式就是通过这样连续的电磁波来连续的传递二进制数据。

而GFSK制式仅仅是在FSK制式的基础上，在调制之前通过一个高斯低通滤波器来限制信号的频谱宽度，以此来提升信号的传播性能。

0x020201 GFSK解调和IQ解调 
在理解了GFSK制式的原理后，接下来我们尝试在HackRF的上写出GFSK解调脚本，从一段遥控实际发出的电磁波中提取二进制数据（如下图13）。需要注意的是HackRF收发的射频数据另外采用了IQ调制解调，代码上也需要简单处理一下。

由于没有找到现成的解调代码，只好在MATLAB上（如下图14）摸爬滚打了许久，并恶补了许多通信基础知识，折腾出（如下图15）GFSK解调脚本，并成功模拟遥控器的跳频逻辑，能够像无人机那样获取每一次跳频的数据。至此， 我们再次得到了作为安全人员来说最喜欢的二进制数据流。

0x020202 遥控控制数据总结 
经过分析，一条典型的遥控控制数据如下（图16）所示（最新版本固件和稍旧版本的固件协议，格式略有不同）：

最开始的5个字节为发送方的ShockBurst地址，用于给无人机验证是不是配对的遥控器。

接下来的26字节为遥控数据本身（上下，左右，油门，刹车等遥控器上的一切操作），我们详细来讲解下。

遥控器上的控制杆的一个方向（如上+下，左+右）由12bit来表示。如表示左右方向及力度的数值power_lr由上数据的第5个字节和第6个字节的低4位决定，控制杆居中时power_lr为0x400（1024），控制杆拉至最左时power_lr为0x16C（364），而拉至最右时power_lr为0x694（1684）。也就是说，遥控器可以将控制杆左和右，力度可分为660级，并在控制数据中占用12bit传输给无人机主机，主机针对不同的力度执行不同的飞行行为。

其他遥控控制杆的数据也非常类似，故不再赘述。值得注意的是，所有26字节的遥控控制数据是一次性的发给无人机的，故上下，左右，前进后退，油门刹车等所有行为都是并行无干扰的。这也是无人机遥控性能指标中经常说的支持6路信号，12路信号的含义。
控制数据中最后的1个字节位CRC8校验位（旧版是CRC16），是前面的31字节的CRC8/CRC16校验结果，校验错误的数据将被抛弃。

0x0203 遥控器和无人机通讯逻辑总结 
通过以上漫长的分析过程，我们总算完全搞懂了在遥控器上拨动控制杆的行为，是如何一步步反馈到无人机的飞控程序来完成对应的飞行行为。简单整理下：
a) 遥控器和无人机开机后，遥控器负责发送数据，无人机负责接收数据。它们通过共同的跳频序列的高速跳频来保持一个数据链路，链路故障有一定能力能迅速恢复。
b) 无人机每7ms就会收到一次遥控器发出的32字节控制数据，控制数据只有一条命令一种格式，所有控制杆和开关的状态会一次性发送到无人机。无人机收到数据后会进行地址校验和CRC校验，确保数据是正确无误的。
c) 用户在操纵遥控器的过程中，操控的行为和力度都会在7ms内通过那32字节控制数据反馈至无人机，接着由无人机的飞控程序来完成对应的飞行行为。

0x03 各个击破：完全控制无人机 
从遥控器的通讯逻辑来看，想要通过HackRF这类SDR设备覆盖遥控器发出的射频数据来劫持无人机。必须解决以下几个问题：
a) 虽然通过HackRF来收发GFSK数据已经没有问题，但不知道跳频序列根本无法和无人机保持同步。
b) 如何打断遥控器原本和无人机之间的稳定射频链路，并同时建立和无人机之间新的稳定链路。
c) 大疆遥控器的射频功率做了大量优化，有效控制距离达一公里，HackRF的射频频率难以企及。
下面我们来看看如何逐个击破这几个问题。

0x0300 伪造遥控器：信道的信息泄漏漏洞 

在通过脚本对遥控器信号进行GFSK解调时，我们发现了BK5811芯片一个奇怪的现象：芯片在某个频道发送数据时，会同时向临近的特定频道发送同样内容数据内容。举个例子来说，同在+7ms这一时刻，除了会向13号频道发送属于这个频道的数据外，还会向其他一些特定的频道发送原本属于13号频道的数据。
+ 7ms: Channel 13,
+ 7ms: Channel 09,
+ 7ms: Channel 21,

这个奇怪的现象虽然不会影响射频的功能，只是多了一些冗余数据，但却成了我们得到遥控器跳频序列的突破点，实实在在的构成了一个信息泄露漏洞。

我们可以通过脚本，从5725MHz到5850MHz进行遍历，每次隔1MHz，刚好覆盖BK5811的每一个频道。遍历监听时，考虑单个频点的情况，我们能得到冗余数据（假设监听61号频道）如下：
+ 0ms: Channel 61,
+ 7ms: Channel 13,
+ 21ms: Channel 09,
+ 112ms: Channel 61,

因为我们已经明确112ms是一次跳频序列的循环，那么从冗余数据中我们可以推论：
ch61 + 1 Step(7ms) = ch13
ch13 + 3 Step(21ms) = ch09
ch09 + 12 Step(84ms) = ch61
换成文字结论即是：如果61号频道是跳频序列的第1个，那么13号频道是第2个，9号频道是第4个，一个一个频道的去遍历，就可以把这个序列补充完整。实际遍历时我们发现，HackRF脚本仅需要30到120秒，不需要遍历全部127个频道，即可推论和补齐完整的16个频点及跳频序列（如下图所示）。

通过这个特殊的信息泄露漏洞，配合遥控器的调频规律可快速得到跳频序列，但我们也不清楚为什么BK5811芯片会存在这样的信息泄露漏洞。随后我们拿nRF24L01+也做了类似的测试，发现nRF24L01+也同样会产生同样的问题。

0x0301 劫持无人机：信号覆盖漏洞 
    下面来看看信号覆盖的问题如何解决。有个关键的前提是遥控器只发数据，无人机只收数据，它们之间没有交互。
在之前进行逻辑分析的时候我们发现，不管无人机是1ms跳频一次还是7ms跳频一次，它实际上只会接收跳频完毕后最早发给它的合法数据包。正常情况下可能是跳频完毕后的第5ms时，收到了遥控器发过来的数据，再下一次跳频后的5ms时，再收到遥控器发过来的下一次数据。
那如果我们能一直早于遥控器发出数据，无人机岂不是就直接使用我们的数据了？确实是这样的。假设我们的控制脚本中设置为6ms跳频，我们很快能夺取无人机的控制权（7次跳频内）。但遥控器也会夺回控制权，最终就会出现无人机有1/7的数据来自遥控，6/7的来自黑客的局面。
这其实是一场信号争夺战，那么有没有办法让无人机更稳定的更稳定接收我们的信号呢？如果我们把跳频时间设置为 6.9ms，跳频后每隔0.4ms（Arduino UNO R3的速度极限）发送一次遥控控制数据的话，虽然夺取无人机控制权需要更长的时间（约10s），但一旦获得控制权，在0.4ms发送一次数据的高刷新率覆盖之下，遥控器基本没可能夺回控制权。

至此，劫持无人机的基本技术问题已经通过一个信息泄漏漏洞和一个信号覆盖漏洞解决了。

0x0302 稳定性 & 可用性优化 
    在实现控制脚本的过程中，HackRF存在的两个严重限制：一方面HackRF使用USB通讯接口决定了它的通讯延迟巨大（指令延迟约为30ms），上文中动辄0.4ms的控制精度HackRF做不到；另外一方面，HackRF在5.8GHz频段的信号衰减严重（信号强度仅为遥控器的1%，可能是通用天线在高频段增益偏低），估计只有在贴着无人机射频芯片的情况下才有作用。天线问题故无法使用HackRF劫持无人机。

灵机一动，我们想到了和遥控器类似的做法：通过Arduino UNO R3单片机平台来操作BK5811芯片，直接在Arduino上实现我们的控制逻辑。当然，再加一个某宝上淘的有源信号放大器，如下图所示。根据测试，有效控制范围为10米左右。

最终，通过了漫长的分析和各种漏洞利用方法的尝试后，我们完成了对大疆无人机的劫持。通过HackRF遍历和监听，然后将序列输入到Arduino中，在Arduino中完成对无人机信号的劫持，最后来通过Arduino上连接的简易开关来控制无人机。控制效果可以参看这个央视315中的视频片段。