注册
登录
| 关键词： 条码 扫描器 攻击 玄武 程式 指令 腾讯 讯息 电脑 键盘 |
骇进资讯系统，有时候只需要一张纸。这听起来像是天方夜谭，却是可能发生的。 想像一下在机场登机的情况，为了确认乘客登机，登机闸门的服务人员会逐一扫描乘客的登机证，而这个大家习以为常的验票程序，可能就是未来骇客入侵的第一步。 问题就出在登机证的条码，腾讯的资讯安全研究部门──玄武实验室，日前已成功验证这种恶意条码攻击「BadBarcode」的可行性，透过变造过、内含执行指令讯息的恶意条码，让条码扫描器把条码内含有执行指令的讯息送给电脑，达到操控电脑的效果。 当条码扫描器扫描到特定条码时，电脑就会自动执行程式。此一攻击主要利用目前多数条码扫描器都支援的HID键盘模拟功能，例如攻击者将键盘的快速键指令转换为ASCII码，再将其与条码讯息整合，印出一个肉眼根本看不出内藏诡计的条码，一旦条码扫描器解析了条码讯息后，将其传送给电脑，若电脑端无过滤机制，应用程式就会照着所接收到的键盘指令执行，像是应用程式往往内建许多可快速执行开启档案、储存档案等等的热键指令。 BadBarcode的另一种可行的攻击方法是利用条码扫描设备普遍支援的ADF（Advanced Data Formatting）功能，ADF可将条码扫描器扫描的资讯依照程式预先设定好的原则，先编辑组合成应用程式需要的特定格式，例如加上字元等，这对有心人士而言就有可乘之机。 腾讯玄武实验室负责人予旸在一次演讲中指出，BadBarcode甚至可以触发缓冲区溢位（Buffer Overflow）攻击、SQL Injection与XSS（Cross-site scripting）攻击等。由于条码在生活上的应用相当广泛，而此一攻击的问题亦非单纯是条码或扫描器的问题，而是整个条码应用系统的问题，所以予旸建议不要预设开启ADF功能、不要对于条码扫描器传来的ASCII码照单全收，同时最好也不要选择支援键盘模拟的条码扫描器，或是禁用热键功能。而从POS应用系统或Kiosk等系统端过滤不该使用的资讯，也是可行的解决方法。 腾讯玄武实验室进一步发现条码扫描器可以扫描Amazon Kindle电子书的电子纸萤幕，于是以Kindle来显示恶意条码，甚至可以达到更快速自动的攻击。 |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
