在现代汽车的电子电气架构中，12V 电源接口、OBD-II 诊断端口以及信息娱乐系统构成了多条相互交织的攻击路径。这些入口点本意是为维修诊断和便捷功能服务，但如果缺乏有效的安全边界控制，攻击者可利用它们逐步提升权限，最终实现对车辆核心控制域的访问。本文将从攻击侧视角，系统梳理从物理接入到权限提升的典型路径，并给出可落地验证的参数阈值。

OBD-II 诊断端口：CAN 总线的直接入口

OBD-II（On-Board Diagnostics II）诊断端口是汽车安全研究中最受关注的物理入口之一。该端口通过 CAN 总线与车上几乎所有电子控制单元（ECU）相连，包括发动机管理模块、变速箱控制单元、车身稳定系统等关键节点。在没有实施网关过滤或访问控制的车型上，只要物理连接到 OBD-II 端口，攻击者即可直接发送任意 CAN 帧，理论上能够影响车辆的行驶功能。

实际的攻击链通常包含以下步骤：首先使用 CAN 总线分析工具（如 Candump、Can-utils 或商业级 OBD 采集设备）捕获正常通信流量，通过逆向工程识别出特定帧 ID 对应的功能命令。例如，研究显示车门解锁指令通常对应固定的 CAN ID 和数据模式，攻击者识别后可构造恶意帧直接触发解锁动作。在缺乏输入验证的车型上，OBD-II 接口对收到的诊断请求几乎不做权限校验，UDS（Unified Diagnostic Services）协议中的会话管理、内存读写和 ECU 编程功能可能被滥用。

值得注意的是，近年来配备无线连接能力的 OBD 设备（如基于蓝牙或 WiFi 的诊断适配器）大量流行。这些设备本身如果存在安全缺陷，会成为远程攻击的跳板。安全研究曾发现部分 OBD 蓝牙适配器采用默认配对 PIN 或明文传输指令，攻击者可在一定距离内（通常 10 至 30 米视具体设备天线增益而定）注入恶意 CAN 消息。这意味着即使不直接接触车辆，攻击者也能通过已部署的恶意后市场设备实现初步立足。

信息娱乐系统的根漏洞与横向移动

信息娱乐系统（In-Vehicle Infotainment，IVI）已成为现代车辆的第二大攻击面。与专注于功能安全的 ECU 不同，IVI 系统运行完整的操作系统（多为 Linux 或基于 Android 的定制版本），其代码复杂度高、攻击面广，且往往与车辆 CAN 网络存在软件层面的连接。研究表明，IVI 系统中的根漏洞可通过多种路径触发：多媒体解析漏洞、第三方应用供应链缺陷、不安全的 OTA 更新机制，以及车联网手机 App 的认证缺陷。

以苹果 CarPlay 和 Android Auto 为例，这些手机映射协议在车机端运行独立进程，处理来自移动设备的媒体流和导航数据。安全研究员公开的案例显示，CarPlay 实现中存在远程代码执行（RCE）漏洞，攻击者通过构造恶意音频文件或协议握手 payload，可在车机操作系统中获得与映射服务同等级别的代码执行权限。由于部分车厂在系统架构中将 IVI 进程配置为 root 权限运行，或通过 D-Bus 等系统进程间通信机制赋予过高权限，攻击者一旦突破 IVI 应用层，往往可以直接获取系统根权限。

获得 IVI 根权限后，攻击者可利用车机与 CAN 网关之间的软件桥接进行横向移动。大多数车型采用 IP 域（IVI、T-Box 等）与 CAN 域通过网关 ECU 隔离，但软件层面的网关配置如果存在缺陷（比如允许 IVI 侧进程直接发送诊断请求），攻击者即可绕过物理隔离，直接向 CAN 总线发送控制指令。更进一步，部分车型的 IVI 系统直接参与车辆舒适域控制（如空调、座椅、车窗），在这种情况下，IVI 根权限本身已等同于对车身控制域的完全访问。

攻击链整合与权限提升路径

将上述入口点串联，可以构建一条典型的攻击链：攻击者首先通过物理接触或无线 OBD 设备建立 CAN 总线访问，随后利用 UDS 协议的未授权会话或通过 IVI 根漏洞获取系统控制权限，最后通过 CAN 网关或软件桥接向关键 ECU 发送特权指令，完成权限提升。

在 OBD-II 直接注入路径中，攻击者需要掌握目标车型的 CAN 消息矩阵。这一信息可通过公开的车型安全研究获取，也可通过自行逆向获得。关键参数包括帧速率（常见为 125kbps 或 500kbps）、诊断会话超时（通常为 5 至 30 秒）、以及安全访问种子的位数（常见为 16 位或 32 位）。如果车辆未实施 UDS 安全访问种子随机化，攻击者可通过暴力猜解或已知种子表快速解锁诊断特权级别。

在 IVI 渗透路径中，攻击面更广但技术门槛相对较高。典型入口包括：利用 IVI 系统未修复的内核提权漏洞（部分车机 Linux 内核版本较旧，存在公开 CVE）、通过 U 盘或手机植入恶意应用、攻击车厂远程 OTA 服务器并推送恶意更新包。研究数据显示，2021 年至 2025 年间公开的 IVI 远程代码执行漏洞数量呈明显上升趋势，其中约六成涉及多媒体解码组件和 WebView 组件。

从防御视角，这些攻击路径的检测可围绕以下参数展开：OBD-II 端口的异常 CAN 帧频率（正常诊断会话通常每秒不超过 10 帧，攻击扫描可能产生数百帧突发）、UDS 安全访问失败重试次数（建议阈值：单次会话失败超过 5 次触发告警）、IVI 系统进程 CPU 占用异常（根漏洞利用期间通常出现瞬间满载）、以及 CAN 网关日志中的非预期诊断请求来源标识。

理解攻击侧的权限提升路径是构建纵深防御的前提。车辆安全工程师在设计防护策略时，应充分考虑 12V 电源接口延伸出的 OBD-II 物理攻击面、信息娱乐系统的代码执行风险，以及 CAN 网关在软件层面的隔离失效可能。唯有将攻击路径可视化、参数化，才能在安全测试中验证防御措施的实际有效性。

资料来源：本文技术细节参考公开的汽车安全研究文献，包括 OBD-II 端口的 CAN 总线威胁建模、IVI 系统漏洞利用分析以及车载网络架构的横向移动路径研究。