大疆無人機漏洞致用戶帳戶和信息通過廠商基礎設施被非授權訪問，泄漏的信息包括設備飛行日志、視頻、圖像，實時視頻流和麥克風音頻流，以及飛行地圖。
研究人員共發現DJI論壇使用的DJI身份識別過程的三個漏洞，分別是XSS，secure cookie bug和Certificate Pinning漏洞。黑客組合這三個漏洞就可以在DJI論壇發布含有惡意植入鏈接的帖子，并傳播惡意payload。
研究人員發現DJI提供給用戶的登錄web賬戶、在線論壇、Go和Go 4手機APP端，以及DJI FlightHub web app設計存在漏洞，可能導致用戶數據被非授權訪問。
Check Point安全研究人員Dikla Barda和Roman Zaikin發現DJI識別和訪問多個所屬平臺的cookie是一樣的。攻擊者竊取cookie后就可以劫持用戶帳戶并以合法用戶處理。
很快，研究人員就發現可以通過DJI論壇發起XSS攻擊獲取用戶和無人機數據的訪問權限。攻擊者只需要在DJI論壇發布一個簡單的POST就可以觸發XSS漏洞。
通過payload獲取的用戶cookie
攻擊場景首先是一個含有惡意內容的鏈接，該鏈接中包含有JS注入。如果論壇用戶點擊該鏈接，JS就會抓取用戶的DJI cookie和帳戶token。然后攻擊者可以從目標中導出secure cookie到外部域名。然后竊取的用戶token可以被用于識別DJI帳戶持有人的身份，攻擊者就可以訪問帳戶持有人的云服務，訪問保存的無人機圖片、飛行計劃和支付信息等。因為DJI論壇上有成千上萬的用戶，所以攻擊者都不需要分享該鏈接，用戶在轉發消息時會自動轉發該鏈接。
安全機制Certificate Pinning存在錯誤配置，攻擊者可以利用該錯誤配置來在DJI手機APP環境中使用系統的認證token。這樣攻擊者不僅可以劫持用戶帳戶，還可以訪問實時飛行圖像和飛行數據。
Check Point研究人員稱，今年3月份就將漏洞通報給了DJI，希望DJI可以在公布技術細節前獲取解決該技術設施的安全問題。大疆在9月份對該漏洞進行了修復。大疆對該漏洞的評級為高風險，但表示幾乎不可能發生。
通過手機同步DJI云的飛行記錄數據，攻擊者還可以本地瀏覽飛行日志，查看地圖和無人機拍攝的視頻和照片。
FlightHub web app可以提供自動飛行日志同步，編隊管理選項，以及實時視頻流記錄。
漏洞技術細節參見：https://research.checkpoint.com/dji-drone-vulnerability/
| 
