攻击性 Z-Wave 实操

要解决的问题

Z-Wave 跑在 800/900 MHz ISM 频段（US 908 MHz、EU 868 MHz），S0 组网方案用固定推导的网络密钥，长期被视为不安全。更麻烦的是，大量低端节点不强制认证，Hub 又常把 PSK 明文存本机，攻击者一旦能截获或拿到 Hub，就有机会接管整张 mesh。

技能如何工作

• 确认区域与硬件：先判断部署区域并选对频率。EZ-Wave（HackRF）可做收发；Aeotec Z-Stick 适合当合法节点；RTL-SDR + ZniffMobile 只能被动抓包。
• 抓加入帧：监听 inclusion/commissioning 窗口，密钥交换通常只有约 2 秒。
• 区分 S0 / S2：按帧格式判断。S0 可用已知全零 PSK 离线推导网络密钥；S2 走 ECDH + DSK 带外校验，明文密钥不出空口。
• 利用无认证节点：旧传感器、基础开关若接受明文命令，可重放或注入开锁、开灯、撤防。
• Hub pivot：SmartThings、Hubitat、Vera、Home Assistant 等 Hub 常在本地存 Z-Wave PSK（如 Home Assistant 的 zwave_js.json）；拿下 Hub 就等于拿到全网命令权限。

适用边界

仅限授权渗透、红队与安全研究。频率、芯片代际、固件版本都会影响结果；对 S2 设备，现实目标更可能是实现缺陷、DK 贴纸暴露或配置错误。生产环境几乎没有可比 Wi-Fi/Zigbee 的 IDS，检测依赖 Hub 日志；默认密钥暴力破解命中率很低，主要用于 IoT 实验与旧设备评估。