選手利用無線劫持技術(shù)介入獲取對大疆無人機的控制權(quán)
10月25日消息，昨日世界級黑客大賽GeekPwn嘉年華在上海舉行，在本次大賽上，黑客成功攻破無人機、金融支付工具、O2O應用、智能家居等，看了以下這些你還覺得安全嗎？
大疆無人機被黑客劫持
自從大疆在攝影圈掀起無人機的熱潮，無人機便頻頻出現(xiàn)在人們的視野中：金球獎頒獎典禮上，無人機實時傳送航拍畫面；歌手汪峰利用無人機運送戒指向章子怡求婚……無人機日趨平民化，使用范圍也越來越廣。
但與火爆相應的是，無人機正面臨著火爆發(fā)展與安全瓶頸的兩廂博弈。在本次GeekPwn嘉年華，選手就在外場演示了劫持無人機。
一架大疆無人機在評委“老鷹”的操作下起飛，按照老鷹的遙控指穩(wěn)定飛行，老鷹將無人機遙控器放置在一邊，不料，此時無人機旋翼開始緩緩轉(zhuǎn)動并飛行起來。
選手介紹稱，他是利用無線劫持技術(shù)介入并獲取對大疆無人機的控制權(quán)，成功劫持無人機。
移動支付POS機被操控可轉(zhuǎn)走任意金額
隨著移動支付的普及，相信不少人已經(jīng)習慣出門少帶或者不帶現(xiàn)金，選擇使用更為便捷的移動支付，但是這種“方便”的支付方式卻存在著“可怕”的安全隱患。
在本次大會上，選手就成功破解了拉卡拉收款寶POS機、盒子支付POS機和蘇寧易付寶，可轉(zhuǎn)走銀行可和賬戶任意金額。
選手演示了通過安卓手機綁定拉卡拉收款寶POS機，并在手機上安裝Xposed模塊去劫持交易信息，接著再用銀行卡完成一次查詢余額的動作，之后會將交易信息劫持下來，用另一張卡去刷卡轉(zhuǎn)帳，輸入任意密碼就可以轉(zhuǎn)走前面銀行卡上的余額。
整個過程選手本身并未直接接觸該銀行卡，更沒有獲得該卡密碼。
同樣，卡內(nèi)資金被消費的現(xiàn)象也出現(xiàn)在了GeekPwn智能軟硬件挑戰(zhàn)賽中選手攻破蘇寧易付寶的現(xiàn)場。選手讓銀行卡輕松“易主”。用戶僅通過一次刷卡消費，選手便可輕松劫持易付寶的帳號、密碼以及支付密碼，然后設(shè)置轉(zhuǎn)帳金額，即可從易付寶余額或者綁定的銀行卡轉(zhuǎn)走任意金額。
O2O支付接口漏洞讓黑客任性買買買
最近兩年O2O領(lǐng)域涌現(xiàn)出一大批創(chuàng)業(yè)公司，這些公司為用戶提供了便捷、高效、高性價比的服務(wù)，但由于技術(shù)薄弱，在支付接口方面存在漏洞，很多O2O易被黑客攻破，可以完成任意價格的訂單充值，任性買買買。
白帽黑客現(xiàn)場演示了如何利用嘟嘟美甲充值系統(tǒng)項目的漏洞，通過在自己手機上調(diào)用支付寶，在實際支付1分錢的情況下，完成任意價格的訂單充值。
現(xiàn)場選手還進行了利用“阿姨幫”系統(tǒng)未知漏洞，進行任意充值的的演示，其實，除了“阿姨幫”很多O2O產(chǎn)品都在支付接口有著類似的漏洞。
有趣的是，這位選手原本報名的是一個名為“e家潔”的O2O項目，因為在大會當天，官方關(guān)閉了云服務(wù)，經(jīng)過選手短暫的協(xié)商后，臨時改為“阿姨幫”。
智能家居產(chǎn)品存隱患智能攝像頭被肆意控制
現(xiàn)在，智能家居類產(chǎn)品已逐漸步入尋常百姓家， 數(shù)據(jù)顯示，2014年中國的攝像頭出貨量大約是3500萬，到2018年預估會達到7500萬。
目前市面上的智能攝像頭都主打安全牌，主要為用戶提供實時監(jiān)控功能。然而GeekPwn選手現(xiàn)場演示證明，黑客可以讓智能攝像頭變成侵犯用戶隱私的道具。
在本次GeekPwn嘉年華上，長亭科技的參賽選手一次性攻破7款智能攝像頭。選手接入攝像頭所在的網(wǎng)絡(luò)，遠程向攝像頭發(fā)起攻擊，遠程獲得攝像頭ROOT權(quán)限，并進一步竊取視頻、控制攝像頭運動、播放篡改音頻。
除了攝像頭，選手還現(xiàn)場演繹攻破智能烤箱，隨意調(diào)節(jié)其溫度、頻率等。電影中烤箱爆炸的情景或許真的可能在現(xiàn)實生活中上演并威脅生命安全。
GeekPwn選手表示，智能家居軟硬件如果被攻破，你可能在睡夢中被忽明忽暗的燈光驚醒；在不經(jīng)意間，用以遠程操作的手機APP被不法分子入侵，個人信息被盡收眼底；智能門鎖被任意操控，大門洞開……各種家居智能設(shè)備都可能成為噩夢，期望的智能安全生活將被攪的一塌糊涂。
此外，在本次大賽上，參賽的黑客選手還成功演示破解了華為、360奇酷手機等手機產(chǎn)品。
看了上面幾個黑客的演示，你可能會覺得害怕，但是不要過于擔心。GeekPwn嘉年華是一個白帽黑客大賽，主張“問題被發(fā)現(xiàn)和解決的越早，產(chǎn)品越安全。”
在活動結(jié)束后，GeekPwn組委會將第一時間負責任地向廠商提供漏洞報告，幫助廠商修復漏洞，提高產(chǎn)品安全性。據(jù)主辦方介紹，在去年GeekPwn現(xiàn)場攻破演示后，錘子科技、特斯拉、奇虎360等廠商都利用GeekPwn提供的漏洞報告及早修補了產(chǎn)品系統(tǒng)漏洞，從而避免了潛在的安全隱患。
京公網(wǎng)安備 11010502049343號