用户意外发现扫地机器人漏洞，大疆奖励发现者3万美元

在上个月，媒体The Verge报道了一位用户意外发现大疆扫地机器人存在远程控制漏洞的事件。半个月后，发现问题的人表示，他拿到了大疆奖给他的3万美元。

DJI-ROMO-P-&-ROMO-A.jpg

这位幸运儿名叫Sammy Azdoufal，他是怎么发现大疆漏洞的呢？起因是他突发奇想，拿自己的PS5游戏手柄远程控制他新买的DJI Romo扫地机器人，然后他用自己开发的遥控程序与大疆的服务器通信时，突然发现响应的不止他家的那一台，而是遍布了全世界的7000多台。并且，他还可以看到机器人绘制出的每个房间的地图，并且通过机器人的IP大致定位它的位置，这个漏洞就很离谱了。

dji-romo-api-communications-reverse-engineered-v0-e3sgj2e3ewhg1-redacted.jpg

通过这个遥控程序，他能拿到每台机器人的序列号、正在清扫的房间、摄像头看到的东西，以及其他的运行数据。而他强调，他没有违反任何规则，也没有运用破解等手段，他只是提取了自家的大疆Romo私有令牌。结果他不仅能访问在大疆服务器上的自己的数据，也能看到其他人的数据。并且他还找到了另一个漏洞：不用输入PIN码，就能调取到自家扫地机器人的实时视频画面。

videoframe_5741.jpg

很快的，在他和The Verge都向大疆报告了漏洞之后，大疆次日早上就迅速修好了这个bug。后来，大疆发言人Daisy Kong在声明中提到，Sammy发现的无需安全PIN码就能查看DJI Romo视频画面的问题在2月底解决。而访问服务器的问题，大疆向The Verge表示这不仅仅存在一个漏洞，全面修复可能需要长达一个月的时间。

a5b48b276db5c5f6491f6cf7e01e7023@ultra.jpg

曾经出现在笔记本电脑和监控设备的摄像头漏洞，这回又出现在了扫地机器人上。摄像头既是个不可或缺的设备，有时也是个存在隐患的东西。只能说，每家企业都请对隐私保护多上点心吧。

作者：拖把