小伙伴们,要警惕自动贩卖机的漏洞了

发布时间:2018-10-19 06:31        

一名对自动贩卖机使用的付款方式感兴趣的黑客在查看了机器随附的移动应用程序的内部运作方式之后找到了免费获取商品的方法。

自动售货机来自Argenta,意大利一家颇受欢迎的咖啡连锁机构,现已被Selecta Group BV 收购。Argenta的自动贩卖机遍布全国,销售的产品从清凉饮料到香烟,应有尽有。它们支持蓝牙低功耗(BLE)和近场通信(NFC)技术,允许用户连接到他们并使用智能手机进行支付。

发现漏洞

为了找到弱点,意大利黑客、RemoriaVR的首席技术官Matteo Pisani反编译了与自动售货机交互的Argenta移动应用程序并对其进行调试。然后,他将其重新包装后安装在智能手机上并监控其活动,以查找可能被操纵的任何内容。

很快,他便发现了RushOrm,这是一个将Java类映射到SQL表的Android工具,这意味着它可以用来访问数据库,而数据库总是拥有宝贵的信息。

保护不当的数据库

因此,Pisani确定移动应用程序使用了一个名为“argenta.db”的数据库,他在笔记本电脑上找到并提取了该数据库。但是,打开它需要密码。

再说回应用程序的源代码,黑客发现了RushOrm配置文件,发现RushOrm使用手机的IMEI(国际移动设备识别码)以限制对数据库的访问。

该数据库中包含多个表,但引起Pisani注意的是一个名为“UserWallets”的表,它附带了可编辑的“walletCredit”字段。顾名思义,此条目告诉应用程序用户需要付多少钱。为了方便起见,他开发了一个Android的工具,自动监管数据库与付款金额之间的交互。

Pisani表示,不需要初始信用证就可以改变价值。为了证明这一点,他发布了一张显示需支付999欧元的图片。

“通过对所有反向源的宏观检查,我发现了很大一部分干净的代码----没有被混淆----这意味着应用程序开发者没有采取很好的措施来保护用户数据并使应用程序完全安全,” Pisani指出。

近年来,自动售货机越来越普及,地铁里,公交站台上,几乎遍地都是,既节省了人力,也方便了顾客。但是少有人知道的是,大部分自动售货机存在安全漏洞。而这些机器一旦被入侵,那些年你曾刷过的卡、按过的指纹,都可能被黑客窃取。

研究员表示,虽然演示的漏洞是针对厂家的,他们可以帮助售货机以及其他厂商提升整体安全能力,防止黑客利用漏洞获利。但是对于消费者而言,这种漏洞更需要注意,黑客黑进支付程序把收款账号改成自己的是分分钟的事,消费者很有可能扫码支付成功却拿不到商品,而且与此同时支付账号ID、订单甚至指纹等用户信息也会被泄露给黑客。

美国一家自动售货机供应商 Avanti Markets 曾经就遭遇过这样的困境:黑客入侵了其内网,在终端支付设备中植入恶意软件,并窃取了用户信用卡账户以及生物特征识别数据等个人信息。这个公司的售货机大多分布在各大休息室,售卖饮料、零食等副食品,顾客可以用信用卡支付、指纹扫描支付或现金支付的方式买单,Avanti Markets的用户多达160万。

恶意软件目的就是搜集一些支付卡信息,包括持卡人的姓名、信用卡/借记卡卡号、到期日期甚至邮箱地址等。此外,如果有用户在被攻击的自动售货机上使用指纹支付功能,那么指纹这种生物特征识别信息也有可能被窃取。