Tânia Silva、António Pinto、Pedro Pinto 和 Sara Paiva
拒绝服务（Denial of Service, DoS）攻击旨在使目标系统过载，使其逐渐无法响应发送给它的所有请求。这样一来，合法用户便会失去对某项服务的访问权限，而根据应用领域的不同，这项服务可能对其流程至关重要。针对这一问题，我们分析了提供混合现实（Mixed Reality, MR）体验的 HoloLens 头戴设备。HoloLens 1 和 2 提供了一个框架，用于远程管理和操作 HoloLens 上的内容与功能。该工具称为 ”Device Portal”（设备门户），如图 1.1 所示，允许用户管理存储在头戴设备上的应用程序、文档和多媒体内容。该工具还能实时可视化用户在该设备上的活动，并支持即时录像或屏幕捕获。此外，该工具还可以监控系统组件，并管理系统当前正在运行的进程。
图 1.1：HoloLens Device Portal
图 1.2 描绘了所执行攻击的架构。要实施攻击，恶意攻击者需要与目标连接到同一网络。这种连接使黑客能够使用安全扫描器分析整个网络，以识别网络上可用的设备。
任何连接到网络的设备，只需在浏览器中输入对应的 HoloLens IP，即可访问 ”Device Portal”。借助扫描器收集到的信息，攻击者可以识别该 IP，并利用它尝试访问远程管理服务。通过分析在 ”Device Portal” 上执行操作时的网络流量，黑客可以获取发送到设备 API 的请求。凭借这些信息，他们可以编写脚本，连续不断地向 API 发送这些请求。收到所有这些请求后，CPU 会过载，系统随之无法响应合法用户的命令，从而阻断 HoloLens 的使用。即使用户决定重启头戴设备，只要 IP 保持不变，或者攻击者不决定停止攻击，攻击就会持续下去。
图 1.2：HoloLens DoS 攻击架构
正确复现此攻击所需的必要条件如下：
执行该攻击不需要特定的操作系统。用于 DoS 的脚本必须根据所选脚本运行工具的要求进行调整。
恶意攻击者首先选择一款网络扫描工具来识别连接到网络的头戴设备的当前 IP。要访问 ”Device Portal” 主页，只需在浏览器中输入头戴设备的 IP。在该页面上，系统会提示用户输入登录凭据。然而，一旦连续输错达到 3 次，用户就会被重定向到一个页面，在该页面可以请求与头戴设备重新配对，随后即可创建新用户。通过检查该网页的元素，可以分析发送到 HoloLens API 的网络请求。这些请求包含请求正文（body）和请求头（headers）的信息，可以轻松地在另一个工具中复现，如图 1.3 所示。发送这些请求的能力正是本次识别出的攻击向量。
图 1.3：HoloLens API 请求
每当发出新的配对请求时，HoloLens 的进程便会暂停，并在用户视野中覆盖显示一个 PIN，用户必须在网页上输入该 PIN 才能继续完成设备配对，如图 1.4 所示。只有当这个 PIN 消失后，HoloLens 才会恢复正常运行。要让 PIN 消失，用户可以在网页上完成配对流程，或打开设置菜单（Settings Menu）返回 HoloLens 的常规视图。
图 1.4：HoloLens 配对 PIN
为了测试此问题，我们开发了一个脚本，反复向 API 发送配对请求，并忽略可能出现的任何错误，直到攻击者手动停止该过程（参见图 1.5 和附录 A）。该脚本是为 Windows PowerShell 开发的，因为可以安排脚本在每次计算机开机时自动运行。这样，攻击者就可以将该脚本安装到目标机器上（这些机器通常与 HoloLens 处于同一网络）。攻击在后台运行，用户毫无察觉，从而使设备无法使用。PowerShell 提供了 ”New-ScheduledTask” 命令，可以创建触发器，在计算机每次开机时运行该恶意脚本。
图 1.5：PowerShell 脚本
每当发出配对请求时，配对 PIN 就会覆盖显示在用户视野中。使用前述脚本进行的测试结果表明，持续发送请求会导致 HoloLens 不断在用户视野中覆盖新的 PIN，使用户无法执行任何其他任务。用户可以选择在该 PIN 上打开一个菜单，但由于头戴设备持续接收新请求，用户没有时间在该菜单中执行任何操作。随着时间的推移，眼镜开始出现故障，HoloLens 难以理解用户的手势或语音命令。这样一来，在攻击停止之前，用户将无法再使用该设备。
该攻击在不同场景下进行了测试，被证明是全面有效的。当用户尝试重启 HoloLens 时，正如预期的那样，API 会停止响应。然而，按照脚本中的设定，服务器返回的错误会被忽略，从而使脚本能够在后台继续运行。一旦检测到 HoloLens 重新建立了网络连接，攻击便会持续，阻止用户执行任何其他任务。测试还在一台受信任设备已经与头戴设备配对的情况下进行，结果相同：只要发送方的 IP 与已配对的 IP 不同，攻击即可实施。
在测试过程中，观察到头戴设备因 CPU 过载而出现过热现象。图 1.6 展示了攻击期间头戴设备的 CPU 和内存处理情况。从图中可以看到，在某些时刻 CPU 会飙升到非常高的水平，导致设备过热，并延迟了其对其他服务的响应。
图 1.6：CPU 与内存处理
从本质上讲，这种 DoS 攻击是通过配对请求使 HoloLens API 过载。这样一来，新的 PIN 会在几秒钟内不断覆盖到用户视野中。这种行为会阻止合法用户在攻击停止之前在 HoloLens 上执行任何其他任务。针对此类攻击的适当缓解方法应在 API 层面实施，即对来自特定 IP 的配对请求加以限制。然而，如果攻击者打算在请求中伪造 IP，这种方法很容易被绕过。因此，还建议限制在短时间内发出的请求总数。
