當(dāng)智能家居沒有想象中那么智能時(shí)，一位網(wǎng)絡(luò)安全研究員決定親自“動(dòng)手升級”。他選擇“黑”進(jìn)家中的聯(lián)網(wǎng)洗衣機(jī)，通過抓包分析、逆向工程乃至暴力破解，成功解密其通信協(xié)議，并接入 Discord 通知系統(tǒng)，讓這臺(tái)原本“半智能”的家電真正具備了互動(dòng)能力。從識(shí)別 API 接口到寫出狀態(tài)推送腳本，這不僅是一次技術(shù)實(shí)驗(yàn)，也是一場對現(xiàn)有智能家居生態(tài)的“輕松反擊”。

原文鏈接：https://nexy.blog/2025/07/27/how-i-hacked-my-washing-machine/-the-notification-script

作者 | nexy7574 責(zé)編 | 蘇宓

出品 | CSDN（ID：CSDNnews）

這兩天，我和一個(gè)朋友閑來無事，就動(dòng)手“黑”進(jìn)了家里的洗衣機(jī)。一方面是圖個(gè)樂子，另一方面，也確實(shí)有點(diǎn)實(shí)用價(jià)值。

背景介紹

簡單交代下背景：我最近和幾個(gè)朋友合租，搬到了大學(xué)附近的一所新家里。房子是帶家具的，電器也都配齊了，包括一臺(tái)洗衣機(jī)。按照典型的租房配置，這臺(tái)洗衣機(jī)是那種很便宜的“智能”型號，就自帶了個(gè) Wi-Fi 連接和一個(gè)可以用來遠(yuǎn)程控制的手機(jī) App，市面上很常見。

重點(diǎn)來了——合租這套房子里一半的人是學(xué)網(wǎng)絡(luò)安全的，所以我們一開始一臉嫌棄：洗衣機(jī)上網(wǎng)？搞笑的吧。

然后……我們還是讓洗衣機(jī)先連上了網(wǎng)看看情況。

意外的是，這洗衣機(jī)居然真的能在洗衣完成后給 App 發(fā)通知。雖然 App 還有什么“自清潔”之類的功能，但基本沒啥用（應(yīng)用本身就是一堆廉價(jià)的 HTML 頁面塞進(jìn) WebView 里）。

說實(shí)話，有洗衣完成的通知確實(shí)挺方便的，尤其是像我這種人，懶得買新衣服，一套衣服要輪流洗著穿，就更需要知道它什么時(shí)候洗完了。

不過，問題也來了：這洗衣機(jī)一次只能連一個(gè)人的賬號。要是別人也想接收通知，就得先把它從你的 App 上解綁，然后其他人再重新配網(wǎng)連上……整個(gè)流程相當(dāng)麻煩。

洗衣機(jī) App 的主界面，這個(gè) App 叫做 “Hoover Wizard”

洗衣完成通知

門鈴的故事

順便提一下，我們住的這棟房子是一座年頭很久的維多利亞式老房子，墻厚、地板厚、門也厚。住在一樓靠近門口的只有一個(gè)人，其他人根本聽不到有人敲門或門鈴響。幸運(yùn)的是，這個(gè)門鈴自帶一個(gè)可以插在別處的接收器，按下門鈴時(shí)會(huì)通過無線信號觸發(fā)接收器響鈴。它使用的是 433MHz 的頻率，這類設(shè)備中很常見。

我朋友買了個(gè)便宜的信號接收器，可以監(jiān)聽這種 433MHz 的信號，然后把門鈴按下的消息推送到我們的 Discord 服務(wù)器。以后我們還打算加個(gè)攝像頭，看清到底是誰按的門鈴。是不是還挺酷的？

門鈴響了，Discord 群里會(huì)推送通知

當(dāng)然，那個(gè)門鈴接收器還是會(huì)響的，這個(gè)通知更多是像一種備用方案。

正是看到這個(gè)門鈴項(xiàng)目取得了意想不到的成功，我們才靈機(jī)一動(dòng)：那洗衣機(jī)是不是也能整一個(gè)類似的通知系統(tǒng)？于是……我們開始謀劃了。

計(jì)劃

在開始這個(gè)項(xiàng)目之前，我已經(jīng)有過一些逆向工程和破解手機(jī)應(yīng)用的經(jīng)驗(yàn)。比如我曾試著逆向我們大學(xué)的考勤 app，當(dāng)時(shí)覺得挺有意思，不過后來因?yàn)樽兊迷絹碓劫M(fèi)勁，就沒再繼續(xù)。但正是這個(gè)經(jīng)歷讓我想到：可以先看看洗衣機(jī)的 App 連的是哪兒，然后從中推導(dǎo)出它的 API。這本該是個(gè)很簡單的操作：在手機(jī)上安裝一個(gè)自簽 TLS 證書，再用像 tcpdump 和 mitmproxy 這樣的工具抓取 DNS 請求和其他網(wǎng)絡(luò)流量。

但我們很快發(fā)現(xiàn)，大多數(shù)網(wǎng)絡(luò)通信其實(shí)都是洗衣機(jī)本身在進(jìn)行。這讓我靈機(jī)一動(dòng)：那干脆直接抓取洗衣機(jī)的流量，反向分析它的行為。于是我找出一臺(tái)支持 OpenWRT 的舊路由器，把它刷機(jī)后配置成監(jiān)聽 2.4GHz（因?yàn)橄匆聶C(jī)只支持這個(gè)頻段），通過 5GHz 連接到外網(wǎng)，中間再接上我的筆記本電腦（用以太網(wǎng)連著）。

路由器配置好之后，我設(shè)置了一個(gè)臨時(shí) SSID，把洗衣機(jī)連上去，記錄下它的 IP 地址，然后用 tcpdump 開始抓包。

不幸的是，那些抓包數(shù)據(jù)后來都沒保存下來。

我的洗衣機(jī)在和誰“說話”？

在跟蹤了一段時(shí)間的流量之后，我注意到四件事：

1. 洗衣機(jī)非常喜歡……和自己對話？我懷疑設(shè)計(jì)它網(wǎng)絡(luò)模塊的人可能不知道 loopback 接口的存在，因?yàn)樗l(fā)出的大量流量居然都是從自己發(fā)到自己 IP 地址的。我覺得這沒什么價(jià)值，就忽略了。

2. 它每秒都會(huì)向 255.255.255.255 廣播一些數(shù)據(jù)，也不清楚為什么，同樣沒管。

3. 它偶爾會(huì)連接 simplyfimgmt.candy-hoover.com。這是一個(gè)指向某個(gè) Heroku DNS 域名的 CNAME，我覺得有點(diǎn)奇怪，但也沒從中抓到什么有用信息。倒是注意到 URL 中有個(gè)參數(shù) &encrypted=1，挺引人注意的，尤其是它居然是通過 HTTP 連接的，而不是 HTTPS。

4. 洗衣機(jī)會(huì)直接和手機(jī) App 通信，App 通過 HTTP 向端口 80 發(fā)請求。

這四點(diǎn)中，只有最后一點(diǎn)比較有意思，于是我決定深入研究。我猜 simplyfimgmt.candy-hoover.com 這個(gè)域名可能和通知服務(wù)有關(guān)，但我從中也沒能拿到什么干貨。這時(shí)我朋友說了一句——我們要不就直接……輪詢洗衣機(jī)？

這句話說出來真是讓人哭笑不得。輪詢洗衣機(jī)？誰會(huì)想到要這么干啊。

逆向洗衣機(jī)的 API

于是，攔截洗衣機(jī)通知的想法基本被我放棄了——除非愿意投入大量額外精力。我轉(zhuǎn)而開始研究 App 的行為：比如打開 App 時(shí)它會(huì)做什么、嘗試和洗衣機(jī)交互時(shí)發(fā)生了什么等等。

看起來這個(gè) App 只會(huì)訪問兩個(gè)接口：

1. /http-read.json?encrypted=1

2. /http-write.json?encrypted=1

可能還有其他，但這兩個(gè)最顯眼，也被 App 頻繁調(diào)用。

http-write.json 似乎是用來向洗衣機(jī)發(fā)送命令的，比如啟動(dòng)自清潔模式什么的。但我們并不想主動(dòng)控制洗衣機(jī)，而是希望洗衣機(jī)主動(dòng)向我們“說話”，所以這個(gè)接口暫時(shí)擱置。

接下來就是 http-read.json，看起來是用來讀取洗衣機(jī)狀態(tài)的——但它是加密的！你沒看錯(cuò)，那個(gè) ?encrypted=1 參數(shù)確實(shí)起了作用。

我用瀏覽器直接打開這個(gè)接口，結(jié)果出現(xiàn)了一個(gè)非?！半x譜”的畫面：

HTTP/1.1 200 OK  
Content-Type: text/html
45D3EBF9E63886CD240D412B44973ECBCD96ADFF263D56E293C48B9F0C884D00...

沒錯(cuò)，洗衣機(jī)返回的是加密數(shù)據(jù)……以十六進(jìn)制編碼……還標(biāo)注為 HTML 內(nèi)容類型。這簡直讓人抓狂——現(xiàn)在我得設(shè)法解密這堆數(shù)據(jù)了。

破解加密方式

你可能會(huì)想：“不能直接把 encrypted=0 設(shè)上嗎？”

我也試過，但結(jié)果要么還是返回加密數(shù)據(jù)，要么直接是 400 錯(cuò)誤請求。具體為啥這樣我也懶得深究。

三月份的時(shí)候，我和朋友去蘭卡斯特大學(xué)參加了 Hackademia 2025 網(wǎng)絡(luò)安全會(huì)議。雖然現(xiàn)在已經(jīng)記不清大會(huì)上的很多細(xì)節(jié)，但我還記得我們參加過一個(gè)由 Interrupt Labs 組織的 IoT 攝像頭破解工作坊。我當(dāng)時(shí)學(xué)得并不好——太偏底層了，很多概念都不太熟。但我從中記住了一些關(guān)鍵點(diǎn)，后來確實(shí)派上了用場：

• 很多物聯(lián)網(wǎng)設(shè)備的安全性都很差；

• 固件通常是公開可下載的；

• 重用密鑰和憑據(jù)的情況非常普遍；

• 很多廠商會(huì)用自定義的、非常簡單的“加密”方式，比如直接對數(shù)據(jù)做 XOR 運(yùn)算。

這讓我想到兩個(gè)可能的辦法來獲取洗衣機(jī)的 XOR 密鑰：

1. 拆開洗衣機(jī)，讀出固件，然后再裝回去（太折騰）；

2. 直接暴力破解這個(gè)密鑰（簡單）。

但問題是，當(dāng)時(shí)我手邊只有一臺(tái)筆記本電腦，用這種設(shè)備在一無所知的前提下暴力破解密鑰并不理想。再說了，為了讀一串密鑰去拆一整臺(tái)洗衣機(jī)，也太不理智了。于是我決定用 CyberChef 來嘗試暴力破解。

CyberChef 正在處理來自洗衣機(jī)加密響應(yīng)的 XOR 爆破

但這個(gè)過程真的非常艱難。我們完全不知道解密后的內(nèi)容應(yīng)該長什么樣，也不知道密鑰的長度。我這臺(tái)輕薄本有 8 核 16 線程，嘗試破解長度 ≥3 的密鑰就已經(jīng)慢得不行了。

就在我們陷入僵局時(shí)，我朋友在查資料時(shí)發(fā)現(xiàn)，有人已經(jīng)干過這事了！他找到了一個(gè)項(xiàng)目 MelvinGr/CandySimplyFi-tool（https://github.com/MelvinGr/CandySimplyFi-tool）。這是個(gè)用 C++ 寫的小程序，里面已經(jīng)內(nèi)置了若干已知的明文特征，可以在幾秒鐘內(nèi)完成密鑰爆破。我立刻在筆記本上編譯并運(yùn)行了這個(gè)工具，果然成功解密了數(shù)據(jù)！

接下來我把得到的密鑰輸入到 CyberChef 中，也成功解密了洗衣機(jī)的響應(yīng)數(shù)據(jù)。

用找到的密鑰在 CyberChef 中成功解密洗衣機(jī)返回的數(shù)據(jù)

幸運(yùn)的是，后續(xù)每次請求返回的數(shù)據(jù)格式也都是一致的——也就是說，我們還獲得了一個(gè)穩(wěn)定的數(shù)據(jù)結(jié)構(gòu)！我后來借用了 ofalvai/home-assistant-candy （https://github.com/ofalvai/home-assistant-candy）這個(gè)項(xiàng)目的一些組件，省去了自己反復(fù)試探數(shù)據(jù)含義的麻煩。

接下來，才是最好玩的部分——?jiǎng)邮帧罢{(diào)戲”洗衣機(jī)，看看它會(huì)發(fā)生什么變化。

我們一開始只是簡單地開機(jī)，然后記錄狀態(tài)的變化。接著啟動(dòng)洗衣程序、讓它運(yùn)行一會(huì)兒、中途暫停、再重新開始，直到整個(gè)流程結(jié)束。

在多次測試之后，我們大致摸清了狀態(tài)字段的變化規(guī)律。不過在這個(gè)過程中，也發(fā)現(xiàn)了一個(gè)很大的問題——洗衣機(jī)里的 Wi-Fi 芯片如果 30 秒內(nèi)沒有收到請求，就會(huì)自動(dòng)進(jìn)入休眠狀態(tài)。除非它自己要連接遠(yuǎn)程服務(wù)器發(fā)送 ping，否則你就會(huì)發(fā)現(xiàn)它時(shí)不時(shí)就停止響應(yīng)，非常煩人。

我的解決方案是每隔三秒請求一次接口，保持它在線。

我們觀察到以下這些字段會(huì)發(fā)生變化：

• Pr：當(dāng)程序選擇旋鈕被轉(zhuǎn)動(dòng)，或者洗衣機(jī)開機(jī)時(shí)，這個(gè)值會(huì)變。很明顯，它代表當(dāng)前選擇的洗衣程序。

• PrPh：在洗衣過程中會(huì)變化，應(yīng)該是代表當(dāng)前所處的洗滌階段。

• Temp：當(dāng)程序變更或者手動(dòng)設(shè)置溫度時(shí)會(huì)變化。

• SpinSp：當(dāng)設(shè)定脫水轉(zhuǎn)速時(shí)會(huì)變化。

• RemTime：洗滌過程中頻繁變化，表示剩余時(shí)間（單位是分鐘）。

有趣的是，RemTime 值通常都還挺準(zhǔn)的，但有時(shí)候會(huì)莫名其妙地跳到 10。具體原因我至今也不清楚，猜測是洗衣機(jī)在不確定剩余時(shí)間時(shí)會(huì)默認(rèn)設(shè)為 10。在我后面寫的通知腳本里，干脆就忽略了 10 這個(gè)值——因?yàn)槲业南匆聶C(jī)根本不可能在 10 分鐘內(nèi)洗完，9 分鐘或 11 分鐘都可以，但 10 是假的。

還有一點(diǎn)挺煩的：SpinSp 顯示的不是當(dāng)前真實(shí)轉(zhuǎn)速，而是程序設(shè)定值。也就是說，就算我的洗衣機(jī)實(shí)際在以 1495 RPM 旋轉(zhuǎn)，它也只會(huì)告訴我“程序設(shè)置的是 1500”，太敷衍了。

寫個(gè)通知腳本

到這一步，我已經(jīng)掌握了以下幾樣?xùn)|西：

• 洗衣機(jī)的 API 數(shù)據(jù)結(jié)構(gòu)；

• 解密數(shù)據(jù)所需的密鑰；

• 輪詢洗衣機(jī)的能力；

• 解密洗衣機(jī)返回?cái)?shù)據(jù)的能力；

• 讀取洗衣機(jī)狀態(tài)的能力。

我接下來要做的，就是寫個(gè)腳本，定時(shí)輪詢洗衣機(jī)，并把信息通過 Discord 的 webhook 發(fā)出去。

實(shí)現(xiàn)細(xì)節(jié)我就不展開了，源代碼在這里你可以自己看看：

https://git.nexy7574.co.uk/nex/washing-machine-bot

腳本的主邏輯循環(huán)大致如下：

1. 輪詢洗衣機(jī)；

2. 如果狀態(tài)沒變，睡眠 3 秒，再來一次；

3. 如果狀態(tài)有變，嘗試更新上次發(fā)送的 webhook 消息；

4. 如果找不到之前的消息，那就新建一條；

5. 等 3 秒，再重復(fù)以上過程。

后續(xù)我打算加一些功能，比如讓用戶可以訂閱某次洗衣提醒，或者統(tǒng)計(jì)一些有趣的使用數(shù)據(jù)啥的。但目前這個(gè) bot 已經(jīng)能滿足我的需求了。

Discord 中顯示當(dāng)前洗衣機(jī)運(yùn)行狀態(tài)的消息

接下來干點(diǎn)啥？

當(dāng)然不止這些。目前我們已經(jīng)把門鈴接入 Discord，洗衣機(jī)狀態(tài)也實(shí)時(shí)更新，但就像我朋友說的：“我們還需要更多智能家居操作。”

問題來了，洗衣機(jī)是家里唯一一臺(tái)接入 Wi-Fi 的“智能”設(shè)備。那我怎么知道烘干機(jī)什么時(shí)候轉(zhuǎn)完？或者洗碗機(jī)什么時(shí)候洗完？我怎么能還在 2025 年用遙控器開電視？這不科學(xué)！

所以，未來的計(jì)劃是：既然有些設(shè)備本身“沒有大腦”，那就給它們接上一個(gè)。

洗碗機(jī)：這個(gè)最簡單，插個(gè)智能插座，用功率變化判斷運(yùn)行狀態(tài)。

烘干機(jī)：稍微麻煩點(diǎn)，因?yàn)樗碾姾艽?，一般的智能插座可能不支持，支持的大多也貴得離譜。我們可能得靠振動(dòng)傳感器來搞。

電視：用個(gè)廉價(jià)的紅外發(fā)射器加個(gè)控制板，應(yīng)該就能搞定遙控控制。

除此之外，我們還可能在前后窗戶邊裝幾個(gè)蹩腳的攝像頭，名義上是“安防監(jiān)控”，但實(shí)際上嘛……純粹是圖個(gè)樂。

2025 全球產(chǎn)品經(jīng)理大會(huì)

8月15–16日·北京威斯汀酒店

互聯(lián)網(wǎng)大廠&AI 創(chuàng)業(yè)公司產(chǎn)品人齊聚

12 大專題，趨勢洞察 × 實(shí)戰(zhàn)拆解

掃碼領(lǐng)取大會(huì) PPT，搶占 AI 產(chǎn)品新紅利