CAN总线协议诞生初期聚焦通信可靠性与实用性，并未设计身份认证、数据加密、节点准入校验等安全机制，存在天然的安全短板。

随着智能网联汽车快速发展，车载外部接口增多、总线交互场景复杂化，CAN总线的安全漏洞逐渐成为车载网络攻击的核心突破口。本文系统性梳理主流CAN总线攻击的底层原理、软硬件实现方式，结合实际攻击场景分析危害为车载网络安全防护提供技术参考。

CAN总线所有安全风险均源于协议设计的先天不足，也是各类网络攻击能够落地的基础。首先，总线无身份认证机制，协议仅通过报文ID区分设备功能，无法校验报文发送节点的合法性，任意接入总线的设备均可冒充合法车载控制器（ECU）发送指令。其次，数据全程明文传输，无加密保护，攻击者通过简单监听即可解析刹车、转向、动力控制、车门管控等核心敏感数据。同时，总线无准入校验规则，OBD接口、车载调试网关、外接终端均可直接接入总线，不存在接入鉴权与权限管控。

除此之外，CAN总线仲裁机制存在明显漏洞，报文ID优先级随数值减小升高，恶意低优先级报文可抢占全部总线通信资源；协议内置的CRC校验仅用于排查线路传输误码，无法抵御人为的数据篡改、报文伪造与恶意注入攻击。多重缺陷叠加，导致CAN总线极易被入侵、劫持、瘫痪，引发严重的安全事故。

正常状态下总线各ECU按ID优先级有序收发报文、总线负载均衡；攻击状态下恶意设备持续推送高优先级/畸形报文，抢占总线仲裁权，正常报文持续仲裁失败、大面积丢包，最终ECU触发错误计数阈值进入BusOff离线，总线通信彻底瘫痪。

在硬件层面，DoS攻击拥有完整的高、中、低三档硬件实现方案，覆盖专业测试、民用学习、物理层攻击全场景，硬件结构与适配场景细节明确。

高端商用测试硬件以Vector VN1630/VN1640、PEAK PCAN-USB Pro、同星TSMaster工业CAN卡为主，硬件板载专用CAN收发芯片、高速总线缓存与硬件故障注入模块，支持CAN/CAN FD双协议、纳秒级报文时序控制，可精准模拟错误帧、位错误、总线过载状态，是车企与安全实验室的标准测试设备。中端低成本开源硬件为广大安全研究者主流选择，核心硬件组合为MCP2515 CAN控制器+TJA1050高速CAN收发器+STM32/ESP32主控，整体硬件架构分为，MCP2515负责报文解析、帧过滤与协议封装，TJA1050负责总线差分信号收发与总线电平适配，STM32/ESP32作为主控单元实现自定义发包、循环泛洪、错误帧生成逻辑，整套设备成本低廉、体积小巧，可直接通过OBD接口插接车辆总线。

图 TSMaster SecOC测试软件

此外，CandleLight、OBDLink、CANtact等成品OBD直插设备即插即用，无需自主开发固件，适配快速抓包与泛洪攻击。极端物理层攻击则采用信号发生器、总线短路探针，通过强制短接CAN-H、CAN-L差分信号线，破坏总线差分电平，触发整车总线物理瘫痪，属于最直接的硬件层攻击方式。

软件实现层面拥有成熟的商用软件、开源工具、脚本开发三套实现体系，实操细节清晰、可落地性强。Windows平台主流使用CANoe/CANalyzer、TSMaster商用软件，依托CAPL编程语言编写自动化攻击脚本，可自定义报文ID、数据长度、发送周期，实现不间断高优先级报文泛洪，软件内置总线负载监测面板，可实时查看总线负载率、错误帧计数、ECU总线状态，精准把控攻击强度。

图 CANoe总线DoS攻击仿真界面图

界面展示报文发送窗口、总线负载实时曲线、错误帧统计面板，直观呈现高频报文泛洪下总线负载飙升、正常报文丢包的攻击效果。

Linux平台以SocketCAN开源工具链为核心，是车载安全渗透的主流环境，可直接通过系统指令实现全自动DoS泛洪攻击，核心实操命令如下：

#虚拟CAN接口持续高频泛洪，模拟总线DoS攻击

cangen vcan0 -i 5 -I 00000000 -L 8

#定向持续发送最高优先级0x00报文，抢占总线所有仲裁资源

cansend vcan0 000#1122334455667788

同时可基于Python-can库编写自定义循环发包脚本，灵活变异报文参数；嵌入式场景可通过烧录STM32专属固件，驱动MCP2515硬件持续生成位错误帧、填充错误CRC，迫使ECU错误计数器快速溢出进入BusOff离线状态。该攻击实际危害极强，车辆行驶过程中可直接导致刹车、转向助力失效，仪表黑屏、整车无法下电，长期攻击还会造成车载蓄电池亏电抛锚，严重威胁行车安全。

#虚拟CAN接口持续高频泛洪，模拟总线DoS攻击

cangen vcan0 -i 5 -I 00000000 -L 8

#定向持续发送最高优先级0x00报文，抢占总线所有仲裁资源

cansend vcan0 000#1122334455667788

同时可基于Python-can库编写自定义循环发包脚本，灵活变异报文参数；嵌入式场景可通过烧录STM32专属固件，驱动MCP2515硬件持续生成位错误帧、填充错误CRC，迫使ECU错误计数器快速溢出进入BusOff离线状态。该攻击实际危害极强，车辆行驶过程中可直接导致刹车、转向助力失效，仪表黑屏、整车无法下电，长期攻击还会造成车载蓄电池亏电抛锚，严重威胁行车安全。

(二) 节点伪造攻击：ECU功能劫持攻击

节点伪造攻击是危害性最高的主动攻击，核心原理依托CAN总线无身份认证的缺陷。攻击者接入总线后，精准复刻合法ECU的报文ID、数据长度、发送周期与数据格式，伪造合法控制指令，欺骗车载终端执行异常操作，直接接管车辆核心功能。常见攻击场景包括冒充制动ECU发送虚假制动数据、冒充动力ECU篡改油门开度、冒充车身ECU解锁车门等。

图4 CAN节点伪造攻击原理架构图

展示合法ECU、攻击设备、车载总线的组网关系，攻击设备模拟合法节点报文参数，替代原ECU发送虚假控制报文，车载终端无校验机制直接执行恶意指令。

该攻击硬件适配性极强，所有常规CAN监听、注入设备均可实现基础伪造攻击，而双CAN接口STM32中间人硬件设备是高阶劫持攻击的核心硬件，设备搭载两路独立TJA1055收发模块，可串联在目标ECU与整车总线之间，硬件一端监听原始总线报文，一端实时转发篡改后的数据，实现无感中间人劫持，隐蔽性极强，不会改变总线设备接入数量与流量特征。

图 双CAN中间人劫持硬件接线示意图

展示STM32双CAN模块、TJA1055收发器、ECU端、总线端的接线逻辑，实现报文透传、篡改、转发的中间人攻击架构。

软件实操层面的主流工具操作流程如下，通过CANoe搭建虚拟ECU节点，导入车辆DBC协议文件，复刻合法ECU的报文时序、数据格式与周期；利用SavvyCAN、CANToolz图形化工具抓取总线正常报文样本，分析报文数据值域、发送间隔，批量复刻并注入伪造报文；

图 伪造安全报文界面

嵌入式开发中，可通过自研固件实现实时报文监听、数据替换、闭环转发，动态篡改油门、刹车、车门控制等核心报文，完成长效ECU劫持。

图 SavvyCAN抓包界面

相较于DoS攻击，节点伪造攻击无需瘫痪总线，攻击行为更加隐蔽，不易被基础流量监测识别，可直接篡改车辆核心控制逻辑，引发油门失控、制动失效、行车中车门解锁等高危风险，是车载网络安全防护的重点防控攻击类型。

(三) 重放攻击：无破解低成本入侵攻击

重放攻击的核心原理是CAN报文无时序校验、无时效性限制，攻击者无需解析报文具体数据含义，仅需通过硬件监听设备录制车辆正常运行、休眠状态下的合法报文，后续在任意时间重复推送录制报文，复现车辆操作行为。该攻击门槛极低，是最常见的轻量化CAN攻击方式，多用于车辆非法解锁、私自启动车辆、篡改挡位等场景。

图 CAN重放攻击流程示意图

分为报文录制、日志存储、报文重放三个阶段，直观展示攻击者监听抓包、保存日志、定时重放触发车辆异常操作的完整流程。

硬件层面，专业测试可采用VN系列、PCAN系列专业CAN卡，支持高精度报文录制与时序保存；轻量化方案采用MCP2515+STM32搭建的离线OBD报文记录仪，可脱离电脑独立抓取行车、驻车全场景报文，离线保存完整日志文件。软件实操流程极简、攻击门槛极低，Linux环境下可依托cansniffer工具抓取总线全部报文并生成日志文件，再通过cansend指令批量循环重放，核心实操命令如下：

#抓取CAN总线所有报文并保存为日志

cansniffer vcan0 -w can_log.log

#重放录制的车辆解锁、启动等敏感报文

cansend vcan0 19B#00000E000000

CANoe软件可导入离线日志，精准复刻原始报文时间戳、发送顺序，实现毫秒级高精度重放；各类离线报文记录仪可设置循环播放模式，实现无人值守、长时间持续重放攻击，隐蔽性与持续性极强。

#抓取CAN总线所有报文并保存为日志

cansniffer vcan0 -w can_log.log

#重放录制的车辆解锁、启动等敏感报文

cansend vcan0 19B#00000E000000

CANoe软件可导入离线日志，精准复刻原始报文时间戳、发送顺序，实现毫秒级高精度重放；各类离线报文记录仪可设置循环播放模式，实现无人值守、长时间持续重放攻击，隐蔽性与持续性极强。

重放攻击最大的特点是欺骗性强、难以溯源，录制的报文完全合法，传统的ID过滤、数据校验无法拦截，主要危害为车辆停放状态下被非法解锁、私自启动，严重威胁车辆财产安全。

(四) 模糊测试攻击：ECU漏洞挖掘攻击

模糊测试攻击属于漏洞挖掘类攻击，核心原理是利用CAN总线无数据合法性校验的缺陷，批量向总线注入畸形、异常报文，包括随机ID、非法数据长度、超量程数值、乱码载荷等非常规数据，突破ECU解析逻辑边界，触发ECU内存溢出、程序卡死、自动重启、功能锁死等漏洞问题。

图 CAN模糊测试报文变异模型图

上面展示正常报文与畸形报文的字段差异，包含ID变异、DLC长度异常、数据位翻转、超量程数据填充等各类模糊测试变异方式。

硬件设备区分专业与民用两类，专业漏洞测试采用VN1640、TSMaster高精度故障注入CAN卡，硬件支持位翻转、CRC错误、DLC异常、时序偏移等精细化故障模拟，可全覆盖ECU解析边界场景；通用测试场景可使用STM32+MCP2515设备，通过固件随机生成异常ID、非法长度、超量程数据的畸形CAN帧，满足基础模糊测试需求。软件实操体系成熟，CANoe vTESTstudio可搭建自动化模糊测试工程，批量变异报文ID、数据长度、数据字节、发送间隔，全程自动化测试并记录ECU死机、重启、丢包等异常状态；

图 CANoe模糊测试工程配置界面图

以上展示报文变异规则配置、自动化测试流程、ECU异常状态监控面板，呈现完整的漏洞挖掘测试环境。

同时可基于Python模糊测试框架、CANToolz自动化引擎，批量生成海量畸形报文，持续遍历ECU协议解析漏洞，实时监控总线与ECU运行状态，快速挖掘潜在安全缺陷。

该攻击主要用于挖掘车载ECU底层软件漏洞，实际攻击中可造成中控黑屏、整车控制器频繁重启、动力瞬时中断、诊断端口锁死等问题，影响车辆运行稳定性，同时为高级持续性渗透攻击预留漏洞入口。

(五) 中间人攻击与UDS诊断注入攻击

中间人攻击是典型的复合型隐蔽攻击，核心硬件为双CAN通道嵌入式设备，依靠两路独立CAN收发电路串联在目标ECU与主干总线之间，硬件实时旁路监听所有明文报文，同时对指定ID报文进行数据篡改、替换后转发，全程无流量波动、无设备新增，传统流量监测手段无法识别。攻击者可借此实现窃听敏感数据、篡改控制指令、劫持设备功能多重操作。

图 CAN中间人攻击拓扑结构图

ECU设备---攻击设备---车载总线三级串联架构，直观展示报文监听、篡改、转发的中间人攻击全过程。

UDS诊断注入攻击则聚焦车载标准化诊断协议漏洞，车载ECU默认开放27安全访问、34固件下载、2E内存写入、10会话控制等诊断服务，攻击者可通过CAN工具批量发送功能寻址诊断请求，泛洪占用ECU诊断资源，同时可通过破解安全访问密钥，非法获取高权限，实现ECU固件篡改、密钥擦除、参数篡改，配合DoS攻击可彻底瘫痪整车诊断与控制功能，实现深度持久化入侵。

针对各类CAN总线攻击的原理与特征，结合车载网络架构特点，可构建物理层、链路层、应用层、入侵检测、运维管理五层闭环防护体系，全方位抵御各类入侵攻击。

图 CAN总线五层安全防护体系架构图

分层展示物理防护、链路加固、应用层加密认证、入侵检测、运维管理的层级关系与防护侧重点，形成完整闭环防护逻辑。

(一) 物理层防护：阻断非法硬件接入与物理干扰

物理层是防护的第一道屏障，核心是管控总线接入渠道与硬件环境。首先，严格管控OBD接口权限，量产车辆关闭外部接口的诊断写入、固件刷写权限，仅保留故障码读取基础功能，同时可加装物理防盗锁，杜绝非法设备接入。其次，采用总线分段隔离架构，通过车载网关将动力CAN、底盘CAN、车身CAN、娱乐CAN物理分隔，实现网段隔离，单一网段遭受攻击时不会横向扩散，保障核心行车系统稳定。此外，选用具备过压、短路、静电保护功能的专业CAN收发器，抵御物理短路、电磁干扰等硬件攻击，对核心动力线束增加屏蔽层，提升物理抗干扰能力。

(二) 数据链路层防护：加固总线基础通信机制

链路层聚焦协议基础漏洞修复，通过技术手段弥补原生协议缺陷。一方面，升级传统CAN总线为CAN FD总线，扩展数据载荷长度，升级21位高精度CRC校验，大幅降低畸形报文漏检概率，同时为安全认证字段预留承载空间。另一方面，建立总线流量管控机制，ECU设置报文周期白名单，超出正常频率1.5倍的异常报文直接丢弃，网关实时监控总线负载，负载超70%时自动限流、屏蔽异常高频ID。同时设置错误帧阈值机制，短时间内累计大量错误帧时，临时屏蔽通信通道，防止ECU进入BusOff离线状态。

(三) 应用层防护：实现报文可信认证与防篡改

应用层是抵御伪造、重放攻击的核心核心环节，行业主流标准化防护方案为部署AUTOSAR SecOC安全车载通信机制，也是目前智能网联汽车标配的CAN总线安全方案。其核心原理为每一条动力、刹车、转向等高安全等级报文绑定安全校验信息，发送端基于AES-CMAC、HMAC-SHA256加密算法生成唯一MAC消息认证码，同时搭载单调递增的新鲜度计数器，将校验字段嵌入CAN FD报文载荷中同步传输；接收端ECU内置专属校验密钥，同时校验报文MAC签名与时序计数器，非法伪造、篡改、时序滞后的回放报文会被直接丢弃，从协议层面彻底杜绝伪造与重放攻击。整套机制软硬件深度绑定，有效解决CAN总线无认证、无防重放能力的核心短板。

图 SecOC安全通信机制报文封装示意图

展示CAN FD报文原始载荷、新鲜度计数器、MAC认证码的封装结构，以及收发两端加密、校验、弃包的完整流程。

针对低端无硬件加密模块的低成本ECU，行业通用轻量化方案为AUTOSAR E2E端到端保护机制，通过报文序列号+自定义高位CRC校验的极简方式，低成本实现报文完整性与时序校验，适配入门级车载总线防护需求。同时，高端整车搭载HSM硬件安全模块，将SecOC加密密钥、整车诊断密钥固化在硬件加密区域，禁止明文存储、禁止外部读取与篡改，从硬件底层杜绝密钥泄露风险，保障整套认证防护体系的安全性与稳定性。

(四) 入侵检测防护：构建主动实时防御能力

车载入侵检测核心依靠CAN IDS总线入侵检测系统，构建静态基线+动态识别的双重主动防御体系。静态基线阶段，通过采集车辆长期正常行驶、休眠、启停的全量总线流量，建立标准化安全基线，严格校验所有报文的ID合法性、发送周期区间、数据值域范围、标准DLC长度，精准拦截陌生ID、畸形报文、超量程异常数据。动态识别阶段依托机器学习算法，持续学习总线正常通信行为模型，可精准识别高频泛洪、报文时序紊乱、异常重放、批量畸形帧注入等攻击行为。系统检测到攻击后可自动执行多级处置策略：即时屏蔽恶意报文ID、限制异常流量、加密存储攻击日志、触发车载仪表安全告警，快速阻断攻击扩散，保障总线通信稳定。

图 CAN IDS入侵检测防御流程图

上面展示流量采集、基线比对、异常识别、攻击处置、日志留存的全流程主动防御机制。

(五) 运维管理防护：完善全生命周期安全管控

建立整车密钥全生命周期管理体系，依托PKI架构统一完成密钥分发、更新、轮换，避免长期固定密钥带来的泄露风险。实行诊断权限分级管控，区分外部售后、厂家研发、线下调试权限，严格限制外部设备的高权限诊断操作。同时强化OTA升级安全，对ECU固件进行加密校验、签名认证，防止攻击者通过篡改固件植入恶意逻辑。此外，车辆量产下线、日常运维阶段，需常态化开展CAN模糊测试、DoS攻击测试、报文伪造测试，提前挖掘并修复总线安全漏洞。

CAN总线的安全风险本质是无认证、无加密、无管控的协议设计缺陷导致，各类攻击虽软硬件实现方式、危害程度各不相同，但均围绕总线广播透明、报文可信性缺失的核心漏洞展开。DoS攻击通过软硬件配合破坏总线通信可用性，伪造、中间人攻击篡改数据破坏通信真实性，重放、模糊测试攻击挖掘协议与ECU漏洞实现非法入侵。在智能网联汽车高速发展、车载攻击面持续扩大的背景下，单一的软件或硬件防护手段已无法应对复杂的链式网络攻击，只有通过物理隔离、协议加固、硬件加密认证、智能入侵检测、全生命周期运维管控的多层闭环防护体系，才能全方位抵御CAN总线各类攻击，从硬件、软件、协议、管理多维度保障车载网络通信安全与车辆行车安全。本文的源起是内部的CAN防护设计需要。所有技术内容仅用于合规安全测试与学术研究，未经厂商授权私自入侵、攻击车辆CAN总线属于违法行为，需承担相应法律责任。

（说明，本文全部15张图中有12张精美图片由AI生成，提示词由笔者撰写，原理人工检查过。）