扫码骑车很方便?这妹子分分钟黑了你

  2017国际安全极客大赛“GeekPwn”年中赛日前在香港“云顶梦号”邮轮上落幕。在本次大赛上,全场唯一一个女黑客“tyy”,利用漏洞获取了现场评委老师的共享单车账号、骑行记录等等隐私信息,并且通过场外连线就能借用评委的共享单车账号开锁骑行。

给共享单车“降降温”

  2016年共享单车呈现“野蛮生长”的态势,而进入2017年后这种现象持续升温,使用共享单车的人数也在持续增加,甚至最近还被外国人评为中国新“四大发明”之一。然而,共享单车在方便了大家的出行的同时,由于单车本身也属于智能硬件的一种,能够与手机互联实现互动,其自然而然存在着有漏洞的风险。

1

  而本次“GeekPwn”上,昵称“tyy”的女程序员就现场展示了入侵他人账户,远程解锁共享单车的整个过程。tyy表示,由于部分共享单车存在着云端逻辑漏洞,只要通过篡改输入的参数就能直接登录并且控制其他人的账户,获取用户的个人信息。

  tyy在现场演示中入侵的账户包括小鸣单车、永安行、享骑和百拜这四家共享单车,而其在上海的朋友则通过远程连线的方式帮忙解锁单车。tyy采用的方法是,构想虚拟网络伪装成免费WiFi,只要用户连接并打开共享单车app,她就能直接入侵用户账号,获取相应的信息。百拜和小鸣可以在不同的WiFi下进行入侵,而永安行和享骑则需要黑客和用户使用同一WiFi。值得一提的是,tyy之前也曾发现过摩拜的漏洞,不过摩拜在当天就迅速修复了该漏洞。

1

  可能操控单个账户的实际意义只在获取用户的个人信息,毕竟共享单车单次骑行的费用微乎其微,单个账户的余额也不会很多。不过联想到目前摩拜、ofo推得水深火热的“红包车”策略,只要批量控制某些账户,输入在某个区域中存在的共享单车车号获取密码后,在一定的时间后定时设置虚拟锁车,就能获取一定金额的红包。背后操控整个过程的黑客不用出门,可谓是“躺着赚钱”。

平衡车也被黑

  平衡车作为近两年出现的新的出行解决方案,其合理的重量、较好的巡航表现赢得了不少用户,各种各样的平衡车不断出现在街头。不过,就在本次GeekPwn上,来自Hat Lab,昵称“rainman”的黑客就展示了利用组合漏洞绕过密码,直接遥控小米9号平衡车,使得该车能够被锁定,无法移动、无法关机,并且能够被黑客自由操控。不过,该车被黑的前提是其处于无人状态下。

1

  现场演示中,rainman通过电脑蓝牙连接平衡车,在电脑上运行脚本,绕过设备密码直接修改密码,通过程序就能够完全远程控制平衡车。不过在平衡车有人使用时,是无法实现远程控制的。

1

  编辑点评:智能设备在兴起的同时,其安全问题也不容小觑。可能有些共享单车平台将资源更多的投入到扩张当中,没想到真的会有人能够对共享单车下手。账户被黑,里面的钱没了是小事,个人身份信息的泄露才是最要命的。而且在最近南京设立了共享单车用户黑名单之后,如果有心之人黑了用户账号随便解锁单车,不排除用户要为黑客“背锅”,承受无法考驾照等后果的可能。

汽车科技

热门评论
相关阅读