技能介绍

要解决的问题

智能家居生态大多建立在 802.15.4 mesh 协议之上，但各协议的默认配置差异巨大：Zigbee 部署最广，长期存在网络密钥复用和 Touchlink 弱认证问题；Thread 基于 IPv6，默认安全配置更强，但凭据分发环节仍是薄弱点；Matter 统一了入网模型，密码学强度更高，早期实现仍有实现层面的陷阱。攻击者一旦拿到网络密钥，就能解密整个 mesh 的通信，甚至伪装成任意设备下发指令。

技能如何工作

这套攻击方法围绕真实硬件与抓包展开，核心流程分为五步：

信号嗅探：在 2.4 GHz 的 11–26 信道上捕获目标网络流量，配合 Wireshark 的 dot15d4 与 zbee_nwk 解析器查看帧计数器、网络密钥（设备加入后可见）和 ZCL 命令
网络识别：定位网络协调器（coordinator）与所有加入设备，理清拓扑
Touchlink 滥用：Zigbee 3.0 照明设备普遍使用公开的传输密钥完成 Touchlink 入网。任何持有该密钥的近距离射频都能把自己的设备加入受害者网络，或把受害者设备「偷」到自己的网络
密钥捕获：设备入网时抓取 join-key 交换过程，获得网络密钥后即可在 Wireshark 中解密全部 mesh 流量
ZCL/ZHA 指令注入：借助 Zigbee Cluster Library 定义的 on/off/level/lock 等 cluster，攻击者可以冒充任意设备下发命令——开锁、关灯、调光，甚至向网络注入控制流量洪泛

硬件方面，廉价的 TI CC2531 USB dongle 配合 Zigbee2MQTT 或 KillerBee 即可起步；CC2652 和 Sonoff E Dongle 支持更现代的协议栈；ApiMote 支持多信道并搭配 scapy-dot15d4 做脚本化攻击；HackRF 则提供更底层的射频灵活性。

协议差异与边界

Thread 的凭据由 commissioner 分发的 PSKc 决定，攻击面集中在从 commissioner 端（手机 App、Apple Home、Nest app）窃取 PSKc，以及 6LoWPAN 路由层攻击（rank 操纵、sinkhole）。Matter 通过二维码或手动 setup code 授权入网，BLE 仅用于初始 commissioning，后续走 Wi-Fi 或 Thread——风险点在于 commissioning 窗口未关闭时的 setup-code 重放、BLE 中间人，以及早期实现的 fabric 认证缺陷。

需要注意：这套方法依赖物理邻近的射频环境，且许多环境的运维方根本不监控 802.15.4 流量（Wireshark/Sonoff 抓包在防守侧很少见），检测主要依赖协调器的入网日志和 hub App 的「新设备」通知——而这恰恰常被用户忽略。