攻防速写｜越狱的宇树机器狗

GeekPwn 2022 比赛现场，选手通过利用 UWB 模块

数据包校验设计缺陷，实现对宇树机器狗 GO1 劫持控制

2022年极棒我们曾验证宇树机器狗存在可以被远程劫持的安全漏洞，联络宇树进行负责任披露（但未收到回复）。2023 年 7 月，宇树发布了新一代机器狗 GO2，其具备更先进的处理器、传感器以及 AI 能力。新版机器狗在安全性上是否有更好的表现？

在本篇攻防速写中，DARKNAVY 团队将分享对宇树机器狗 GO2 的初步安全和越狱探索。

GO2 机器狗在运行过程中，主要涉及与 Mobile APP 和 Cloud Service 的交互。同时，设备内部的各个模块、服务之间，也会通过数据分发服务中间件进行协作。

GO2系统架构图 ^[1]

• AP 模式：手机直接连接机器狗自带的热点。
• Wi-Fi 模式：手机辅助机器狗配网，连接至已有的 Wi-Fi。

WebRTC 是 Web 实时通信（Real-Time Communication）的缩写，协议规定了两个 WebRTC Agent 如何协商并进行双向安全实时通信。WebRTC 本身主要强调的是端到端（Peer-to-Peer，P2P）通信，中心服务器并不是必须的，但在实际使用过程中也常会使用信令服务器（Signaling Server）、中继服务器（TURN Server）等。除了进行音频视频等媒体传输，WebRTC 也支持建立 DataChannel 进行数据传输。

DDS 是数据分发服务（Data Distribution Service）的缩写，这是一种以数据为中心的发布-订阅通信协议，采用分布式的架构，通常没有中心服务器。机器人操作系统 ROS 2.0 引入了 DDS 中间件，用于替换原本 ROS 1.0 自研的发布-订阅机制。

在 DDS 协议中，Publisher 负责发布数据，其通过创建不同的 DataWriter 来向不同 Topics 发布特定类型的数据；Subscriber 负责订阅并接收数据，其通过创建不同的 DataReader 来订阅不同的数据类型。其中，Topic 由唯一的名称、数据类型、服务质量（QoS）策略集合来标识。

DDS 发布-订阅机制示意图

GO2 采用 CycloneDDS 协议，这是 ROS 2.0 的默认 DDS 实现之一。GO2 的各个服务之间通过 DDS 进行数据交互，其状态可以通过Mobile APP的相关界面查看（如下图）。此外，宇树官方提供的 SDK 工具^[3]也允许用户直接与这些服务创建的 DDS Topics 进行交互，从而支持更深入的研究测试和二次开发。

事实上，已有开发研究者社区致力于 GO2 机器狗的越狱等研究^[4]。用户在机器狗越狱后可以获取 root 权限 shell，使得基础版本的机器狗能够解锁更高级别 EDU 版本的一些特性，从而拥有更大的二次开发自由度。

GO2 Pro 机器狗

1. 建立连接
   通过用户指定的 GO2 设备 IP 地址建立 WebRTC 连接，为后续指令传输创建通信通道。
2. 检测版本
   向 GO2 的 WebRTC 客户端发送消息（type="req"，topic="rt/api/bashrunner/request"），触发 bash_runner 模块，执行内置的 get_whole_packet_version.sh 脚本，以验证设备固件版本是否在越狱工具支持范围内。
3. 替换脚本
   发送 type="rtc_inner_req" 的控制消息，并在 data 字段中指定 req_type="push_static_file"，实现文件上传并覆盖设备内置脚本 test_success.sh。
4. 获取SSH权限
   再次触发 bash_runner 模块，执行被替换的 test_success.sh 脚本：对 root 用户密码进行重置，并修改 /etc/ssh/sshd_config 配置文件允许 root 登录。
5. 还原文件
   完成上述越狱操作后，自动还原所篡改的脚本文件。

GO2 Pro 主板

rkdeveloptool 显示固件分区信息