打破后端限制! DefCon (China) 1, Beijing 2019

Size: px

Start display at page:

Download "打破后端限制! DefCon (China) 1, Beijing 2019"

沅选衡
4 years ago
Views:

1 打破后端限制! DefCon (China) 1, Beijing 2019

2 Hellfire Security Gregory Pickett, 获得 CISSP, GCIA, GPEN 等多项认证芝加哥, 伊利利诺斯州

3 概述交通系统逆向工程我的发现漏漏洞洞利利用经验总结

4 简史地铁黑客剖析 (2008) NFC 地铁黑客 (2012) 如何侵入全国交通网络 (2012) 利利用边信道攻击破解韩国交通卡 (2017)

5 有何不不同绝不不违法我们不不会偷偷溜溜进车站我们不不会攻击终端我们不不利利用社会工程学, 也不不攻击有线 / 无线网络无关硬件我们不不会破解任何人的密码我们不不会克隆隆磁条无线射频卡 NF C 等

6 有何不不同而是关于应用程序的逻辑缺陷好吧, 实际上用到了了克隆隆, 但不不是将其作为漏漏洞洞进行行利利用利利用应用程序安全来攻击现实世界中复杂的多层次解决方案

7 城铁曼谷捷运公司 (BTS) 曼谷城铁交通系统服务于整个曼谷地区由曼谷捷运公司 (BTSC) 运营两条城铁线, 沿途共 43 个车站

8 车票储值卡 (NFC) 单日票 ( 磁条 ) 和单程票 ( 磁条 )

9 车票设有两个磁条打孔穿过其中一个磁条薄厚仅 0.27 毫米

10 车票

11 车票

12 闸门进站出站

13 为什什么选择他们? 真的只有磁条吗? 一定还有其他东西! 长久以来饱受威胁不不得不不继续前进

14 设备标准读 / 写器器中国制造标准或原始读数错误罕见可靠的性能

15 问题数据位置编码方案数据变化数据含义系统响应数据篡改重复状态或无序转换

16 实验室工作读取磁条解码数据

17 实验室工作

18 实验室工作尝试标准解码国际标准化组织 6 位字符集和 4 位字符集有些使用奇偶校验, 有些则不不使用尝试对其前后数据解码未使用相关标准

19 实验室工作 * The section marked Known is always the price of the ticket

20 实验室工作没有加密没有奇偶校验没有纵向冗余检查 (LRC) 没有时间戳

21 现场工作在城铁系统中使用车票每次使用不不同输入值观察数据变化通过变化来确认其含义

22 现场工作

23 现场工作 GUID GUID GUID Dispenser Station Station Turn-style

24 现场工作 0x00E078401A327826E91E76ED00FF7400D20FE948AE0A41 Issued Buying 0x00E078401A327826E91E76ED00FF74801C0FE948D8681B Entering Used 0x00E078401A327826E91E76ED00FF74801C0FE948D8681B Exiting Collected

25 现场工作对于单日票, 已知部分或者 100+ 价格部分, 被用来追踪行行程单日票有一项独特的永不不变更更项

26 处理理规则进站, 购票前, 车票必须处于 collected 状态进站前, 车票必须处于 Issued 阶段出站, 出站前, 车票必须处于 Used 状态

27 军政府的研究局势合法权益

28 尽量量不不被逮捕躲避安检浸渍终极手段

29 当地文化因扰乱秩序而受罚不不会留留意不不会关心哪些规程? Avoiding Farang

30 利利用该系统当前已知信息系统安全措施 BTS 的假设对假设进行行攻击史诗般的失败!

31 当前已知信息基于对象物理理对象数据库对象属性识别值位置

32 当前已知信息状态 Issued Used Collected 历史

33 系统安全措施交通卡的组成和设计镜像物理理对象和数据库对象处理理规则定义了了如何有效使用对象使用周期限制为 24 小时交通卡用完后将被回收

34 BTS 的假设没人能复制我们的交通卡我们的系统只存在有效对象处理理规则能够防止车票并发使用使用周期的限制降低了了损害的发生使用后, 车票将在我们手中

35 对假设进行行攻击获取合适的车票捕捉有效对象绕过规则扩展攻击以增加损害

36 史诗般的失败! 制作空白车票复制大量量处于 Issued 状态的对象发现处理理规则中的缺陷在当前使用周期中寻找 Collected 状态覆盖其他所有状态! 对象最近的状态都为 Collected 运行行原始车票所有复制票立即生效

37 史诗般的失败! Collected Original Copy Copy Copy Issued Issued Issued Issued Entering Used Original Copy X Copy X X Used Used Used Copy Original Copy Copy Copy Exiting Collected Collected Collected Collected

38 史诗般的失败! Collected Issued Original X Original Issued Copy X X Issued Copy Copy Copy Issued Copy Copy Entering Used Used Used Used Original Copy Copy Copy Exiting Collected Collected Collected Collected

39 史诗般的失败!

40 史诗般的失败示范

41 将漏漏洞洞转为攻击车票计划

42 车票寻找卡片打孔

43 寻找卡片阿里里巴巴的建议邀请书运行行试验中标!

44 阿里里巴巴的建议邀请书成千上万的公司 ( 可能数百万 ) 告诉他们你想要什什么任何你需要的! 他们会为你做的

45 运行行试验很多提供者只有一家公司合格无法满足卡片所需的厚度花了了好几个月才找到他们

46 中标!

47 中标!

48 打孔

49 打孔

50 计划购票 ( 单日票 ) 复制车票使用原始车票分发复制品玩的开心! 明天接着来!

51 攻击结果 Extend the attack!

52 对 BTS 的影响数百万美元的损失丢脸!

53 BTS 的回应你哪位? 不不感兴趣!

54 经验总结对于我们对于 BTS

55 对于我们没有只针对硬件的解决方案解决方案通常很复杂软件无处不不在相信假设是危险的不不要害怕研究方向行行动前明确风险制定包含所有相关方的计划

56 对于 BTS 不不要让社会习惯蒙蔽双眼不不是所有人都按照你的想法和思维做事乐于沟通, 坦然交流用证据说话亡羊补牢, 为时不不晚

57 避免重蹈覆辙测试解决方案中的所有层级测试应用程序检查你的假设是否合理理使用补偿和缓解机制

58 他们如今在做什什么部署第二代系统仍然没有分享渠道仍然忽视错误的人仍然无视我

59 最终感想交通系统很有趣同时也会带来麻烦不不去尝试就永远不不会知道逆向工程是关键你有种! 不不要相信那些天花乱坠的宣传应用安全的胜利利之路路!

60 链接 Anatomy_of_a_Subway_Hack_ anderson-ryan-chiesa/47-zack-reply-to-mbta-oppo.pdf how-to-hack-all-the-transport-networks-of-a-country.html enables-travelers-to-ride-us-subways-for-free-- researchers-say.html Kim-Breaking-Korea-Transit-Card-With-Side-Channel- Attack-Unauthorized-Recharging-wp.pdf

61 链接 magnetic-card-reader-writer-encoder-msr607-msr608- msr705-msr

% % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % %,

: 单 % % % % % % % % % % % % % % (), % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % % %, % % % % %; % % % % %; % % % % % % % % %, % % %