컨퍼런스 데프콘 27. 당신의 차는 나의 차입니다. 2 부

컨퍼런스 데프콘 27. 당신의 차는 나의 차입니다. 1 부

비디오가 끝날 때 딸깍 소리가 들렸습니다. 이것은 전자 장치를 사용하여 우회할 수 없는 기계식 스티어링 휠 잠금 장치의 잠금을 해제하는 것입니다. 기계적인 것을 사용해야 하거나, 잠금 실린더를 손으로 부수거나, 비슷한 일을 해야 하는데, 나는 그녀의 차에 그런 일을 하지 않으려고 했습니다. 이 비디오에서 시연된 모든 펌웨어는 강연이 끝난 후 GitHub에서 사용할 수 있으므로 슬라이드의 URL로 이동하여 OpenRemoteStart 파일을 다운로드하세요.

우리가 이 시스템에 인터넷을 추가하면 정확히 어떤 일이 일어나는지 이야기해 봅시다. 왜냐하면 인터넷은 우리에게 유익해야 하기 때문입니다. 그렇죠? 아까 말했듯이 저는 MyCar라는 원격 경보 제어 모듈을 구입했습니다. 다양한 수정이 가능했는데 Linkr LT-1 모델이 있었습니다.

MyCar는 단지 브랜드일 뿐이며 이러한 모듈은 Linkr LT-1, MyCar KIA, Visions MyCar, Carlink(CL6) 등의 이름으로 판매됩니다. 알고 보니 캐나다의 KIA 대리점에서는 한동안 이 시스템을 설치하거나 최소한 MyCar KIA라는 앱을 차량에 설치해 왔습니다. 흥미롭게도 이 앱은 더 이상 AppStore에서 다운로드할 수 없습니다. 또한 Fortin 및 MyCar 제품을 선택했지만 프리랜서 자동차 경보기 주제별 포럼의 사용자 리뷰에 따르면 다른 시스템도 더 이상 작동하지 않으며 비슷한 문제가 있습니다.

중요한 질문이 있습니다. 애프터마켓 자동차 경보기 시장에서는 왜 보안 문제가 있는 제품을 판매하는데 아무도 관심을 두지 않는 걸까요? 따라서 원격 시동 시스템에 관심이 있는 분이 계시다면 몇 가지 중요한 상황에 주의를 기울이십시오. 첫째, 앞에서 언급했듯이 수동 변속기가 장착된 차량에 DS 시스템이 올바르게 설치되지 않은 경우 원격으로 엔진을 시동한 후 일부 기어가 변속기에 연결되어 있으면 자동차가 운전자 없이 단순히 운전할 가능성이 높습니다. . 정말 위험해요. 두 번째 위험은 누군가가 붙어 있는 차고에 차를 주차한 후 실수로 원격으로 엔진을 켤 경우 축적된 일산화탄소로 인해 질식할 수 있다는 것입니다. 따라서 CO 시스템과 차고가 있는 경우 반드시 일산화탄소 감지기를 설치해야 합니다.

DS 시스템을 사용하는 경우 엔진 위치를 정확히 알지 못한 채 자동차 엔진을 시동하지 마십시오. 그 결과는 재앙이 될 수 있습니다.

두 개의 전선이 나오는 작은 블랙 박스인 MyCar 장치에는 8개의 포트가 있으며 그 중 123개는 디버거 인터페이스 전용입니다. 이 인터페이스에 연결하면 장치가 Linux를 실행하는 것으로 나타났으며 제조업체는 이에 대해 침묵했습니다. oelinux XNUMX 비밀번호를 사용하여 펌웨어 셸에 들어가는 것은 쉽지만 로그인하지 않고도 AE 엔진을 사용할 수 있습니다. 이를 통해 장치의 IP 주소를 변경하는 명령을 포함하여 명령줄에서 AT 명령을 입력할 수 있습니다. 이 모듈은 통신합니다.

아래 줄을 보면 MyCar 모듈이 펌웨어 업데이트를 받는 서버의 IP 주소를 확인할 수 있습니다. 장치에는 모듈에서 수신한 명령을 "듣기"할 수 있는 L 포트가 장착되어 있습니다. AE 엔진을 사용하고 페어링된 장치의 IP를 변경한 결과, 이 장치가 암호화되지 않은 UDP 프로토콜을 사용하여 DS와 통신한다는 것을 확인할 수 있었습니다.

자세히 살펴보진 않았지만 꽤 의미있고 흥미로운 사실이라고 생각합니다. 이 장치에 대한 더 많은 정보에 관심이 있다면 이 슬라이드를 살펴보십시오. 여기에는 3,3V의 전원 공급 전압, 115200보드의 데이터 전송 속도, 펌웨어 업데이트를 위한 서버 주소, 루트 비밀번호 및 링크가 나와 있습니다. 사용자 설명서에.

장치는 더 높은 공급 전압을 "견딜" 수 있습니다.

내가 말했듯이 여기는 꽤 추워요. 이 시스템을 여자친구에게 선물한 지 약 한 달 후, 저는 이 시스템을 차에서 꺼내서 잘 작동시켜 보기로 결정했습니다. 사실 저는 이번 달 내내 이 장치의 취약성에 대한 생각을 밀어내고 있었습니다. 다음 주에는 기온이 -30F°까지 내려갈 것이라고 예측했기 때문에 서둘러야 했습니다. 쉘에 연결하여 작동하게 했지만, 집 연구실의 셀룰러 수신이 좋지 않기 때문에 다른 컴퓨터에서 이 박스를 사용하여 작업하기로 결정했습니다. 제가 사용하는 FTDI 유닛은 코드가 짧은 편이라 긴 것을 찾아서 DS 유닛에 꽂고, 컴퓨터에 꽂고 전원을 켜자마자 유닛에서 연기가 나기 시작했어요!

여기서 배울 수 있는 교훈은: 하드웨어를 해킹하는 경우 예비 장치를 준비하십시오! 내 여자친구는 이 이야기의 교훈을 다음과 같이 말했습니다: 만약 당신의 연인이 해커라면, 그 사람이 당신의 크리스마스 선물을 가지고 장난치지 못하게 하세요! 이제 소프트웨어를 살펴 보겠습니다. 여기서는 아무것도 담배를 피우지 않을 것 같습니다.

중간자 프록시를 시작하고 휴대폰에서 SSL 확인을 비활성화한 다음 앱이 백엔드로 전송하는 트래픽을 관찰했습니다. 등록할 때 시스템이 내 이메일 주소를 가져와 웹 서비스에 전송하여 주소가 기존 계정과 연결되어 있는지 확인했습니다. 아직 계정을 만들지 않았기 때문에 시스템에서 기본 인증을 사용했다는 점이 흥미롭습니다. 이 정보를 어떻게 해야 할지 몰라 그냥 노트에 적어두고 넘어갔습니다. 계정을 만들고 로그인했는데, 로그인할 때 애플리케이션이 가장 먼저 하는 일은 현재 사용자를 확인하기 위해 웹 서비스를 호출하는 것입니다. 그래서 이전에 본 자격 증명을 사용하여 이 웹 서버를 호출했는데, 이 자격 증명은 내 이메일 주소가 존재하는지 확인하는 데 사용되었으며 이에 대한 응답으로 Mycar 관리자 액세스 권한이 부여되었습니다.

큰 소리에도 불구하고 권한이 낮기 때문에 이것이 실제 시스템 관리자 계정인지 의심했습니다. 결국, 우리 모두는 이런 사람들을 알고 있습니다.

따라서 다른 요청(EngineStart 명령)을 생성합니다. 이 계정에서 자동차를 시동하려면 "보내기"를 클릭하고 "200 OK"라는 응답으로 명령 상태를 수신하고 약 XNUMX초 후에 차가 움직이기 시작합니다.

알고 보니 Mycar 관리자 계정은 실제로 모바일 앱에 하드코딩된 관리자 계정이었습니다. 그러나 그것이 전부는 아닙니다. 이전 슬라이드 중 하나에서 API 키와 같은 것을 보았습니다. 이번에도 가짜 프록시 서버 트래픽을 모니터링하면서 이러한 API 키를 사용자 이름과 비밀번호 대신 사용할 수 있다는 사실을 알게 되었습니다. 사용자 이름으로 "API"를 사용하고 해당 키 중 하나를 사용하면 사용자를 인증할 수 있습니다.

그래서 “APIKey” 라인의 내용을 복사하여 POST 애플리케이션의 Password 라인에 붙여넣고 “Send” 버튼을 클릭했습니다.

그러나 그것은 작동하지 않았고 나는 5분 동안 그 이유를 알 수 없었습니다. 마침내, 복사한 API 키에서 따옴표와 쉼표를 제거하는 것을 잊어버렸다는 사실을 깨달았습니다. "SQL 구문에 실수가 있었습니다."라는 말을 들었습니다. 간단하게 기본 SQL 주입을 사용하여 전체 로그인 프로세스를 우회하고 관리자나 원하는 사용자가 될 수 있다는 것이 분명해졌습니다. SQL 인젝션을 사용해 자동차를 훔치려던 사람은 아무도 없을 것 같은데, 한번 시도해 보도록 하겠습니다.

일반적으로 내 계정에 로그인하고 "보내기"를 클릭하면 응답으로 "200 OK" 상태를 받았습니다. 이번에는 영상을 녹화해볼까 생각했습니다. 사무실 창가에서 밤늦게 촬영을 해서 좀 어둡네요. 그래서 명령을 입력하면 창문을 통해 아래 마당에서 자동차의 헤드라이트가 깜박이는 것을 볼 수 있습니다. 처음에는 빛이 약하지만 헤드라이트가 최대 전력으로 빛나기 시작합니다. 이것이 바로 엔진이 켜지는 것입니다. 그래서 SQL 인젝션을 이용해 차에 시동을 걸었습니다(청중 박수).

그러나 그것이 전부는 아닙니다. SQL 주입은 인증뿐만 아니라 URL, 쿼리 문자열 본문 매개변수 등과 같은 다른 매개변수를 대체하는 데에도 사용할 수 있습니다. 실제로 이 시스템은 어디에서나 SQL 주입을 사용합니다. 오류 메시지를 보면 비밀번호로 입력한 내용이 데이터베이스의 비밀번호 열과 직접 비교되는 것을 볼 수 있습니다.

이는 SQL 주입 시 일반 텍스트 비밀번호를 사용한다는 의미입니다. 그들이 말했듯이 "이것은 전혀 좋지 않으며 심지어 매우 나쁩니다!" SQL에 대해서는 충분히 설명했으니 원격으로 자동차 시동을 걸기 위해 수행할 수 있는 다른 작업을 살펴보겠습니다. 간단히 "EngineStart" 명령을 보내고 응답으로 이 명령의 식별자를 나타내는 정수 식별자를 받습니다(이 경우 ID = 3). 식별자를 알면 이 상태를 보고하는 서비스를 "풀"할 수 있습니다. 명령.

따라서 ID 값을 늘리거나 줄임으로써 해당 시스템에 전송된 모든 명령의 상태를 "가져옵니다".

하지만 특별히 흥미로운 점은 없으며 여기에 자동차 시동을 걸 때 사용할 수 있는 개체에 대한 직접적인 참조가 있는지 궁금합니다. 그래서 내 계정에서 합법적인 사용자로 "EngineStart" 명령을 실행한 다음 시스템에 접근할 수 없는 다른 사용자의 계정을 통해 호출을 시도했습니다. 이에 대한 응답으로 "이 계정은 계층 구조의 컨텍스트에 속하지 않습니다."라는 오류 메시지를 받았습니다. 따라서 이 해킹은 작동하지 않을 수도 있습니다. 그러나 이 API를 살펴보면 정보가 중복되어 있음을 알 수 있습니다. 즉, 사용자의 이메일 주소가 계정 ID에 매핑되어 있습니다.

API를 개발하거나 API를 해킹하는 경우 이 URL에 표시되는 정보의 중복이 오류의 원인이 될 수 있습니다. 이 경우 API 버그는 네 가지 다른 방식으로 나타날 수 있습니다.

빨간색 테두리로 표시된 사례 2와 3을 보면 해당 개체에 대한 직접적인 참조를 볼 수 있습니다. 두 경우 모두 시스템은 사용자에게 명령을 실행할 권한이 있는지 확인하지 않습니다. 사례 2를 시도했지만 작동하지 않았습니다. 사례 3은 어떻습니까? 여기서는 URL의 USER_EMAIL 계정 ID가 ACCOUNT_ID 계정 ID와 직접 관련되어 있으므로 교체하면 됩니다. 이전에는 피해자의 계정ID를 사용했으나 이제는 공격자의 계정을 사용합니다. 그래서 해커의 계정 ID와 피해자의 기기 ID를 이용해 명령을 보냈고 예상대로 "200 OK" 명령 상태를 받고 MyCar 앱에 대한 제어권을 얻었습니다.
따라서 세 가지 다른 공격 벡터를 통해 우리는 합법적인 애플리케이션 사용자가 할 수 있는 모든 작업을 수행할 수 있었습니다. 즉, 도시에 있는 모든 자동차를 찾고 애플리케이션에서 제조사와 모델을 설정한 다음 원격으로 자동차의 잠금을 해제하고 시동을 걸 수 있다는 의미입니다. 알람을 끄거나 켜고, 자동차의 서비스 메뉴를 변경하고, 모든 명령의 상태를 확인할 수 있습니다. 그리고 이 모든 것은 세 가지 다른 방법으로 이루어질 수 있습니다.

MyCar 개발자가 어떻게든 시스템 버그를 수정하려고 시도한 것은 분명합니다. 따라서 하드코딩된 비밀번호의 경우 인증에 사용되는 자격 증명을 숨기기 위해 애플리케이션 앞에 역방향 프록시를 배치하기만 하면 됩니다. 문제는 역방향 프록시가 마법이 아니며 모든 문제를 해결할 수 없다는 것입니다. 비밀번호가 없어도 사용자 확인 절차를 거쳐 사용할 수 있도록 SQL 인젝션을 제XNUMX자 서비스에 저장했습니다.

나는 URL 구조를 자세히 살펴보기로 결정했습니다. 시스템에서 사용되는 모든 주소에는 m2m이 포함되어 있음을 알 수 있습니다. 이것이 MyCar 애플리케이션의 승인 메커니즘에 대한 일종의 내부 상호 작용이라고 판단하고 Google에 이 편지를 입력한 후 M2M Suite 웹사이트를 발견했습니다. 이 양식을 볼 때 할 수 있는 유일한 일은 거기에 작은따옴표 몇 개를 넣고 무슨 일이 일어나는지 보는 것입니다. 무슨 일이 일어날지는 원하는 SQL 주입을 받게 된다는 것입니다(청중 박수).

그리고 이는 개발자들이 SQL 주입 문제를 보고한 지 몇 달 후에 나온 것입니다. 앱에 이런 문제가 있으면 최대한 빨리 고쳐야 하는데, 보시다시피 개발자들은 아무런 조치도 취하지 않았습니다. 나는 이러한 종류의 사용자 무시가 불쾌하다고 생각합니다.

MyCar 모듈에는 GPS 장치가 있어 자동차의 위치를 ​​추적하고 이를 애플리케이션에 표시할 수 있습니다. 그러나 결과적으로 그들은 자동차의 현재 위치만 저장하는 것이 아닙니다. 그들은 자동차의 현재 위치를 추적하는 데 필요한 것보다 훨씬 더 많은 정보를 저장합니다. 내 경우에는 애플리케이션을 사용한 지 13일이 넘도록 내 차가 방문한 장소의 지리 위치 포인트가 XNUMX개도 안 되는 포인트가 축적되었습니다. 마이카 개발사 개인정보취급방침에는 이러한 정보 수집에 대해 한마디도 명시되어 있지 않습니다.

그러나 상황은 더욱 악화됩니다. 이는 위치 서비스 구현의 부작용일 뿐이라고 주장할 수 있습니다. 하지만 문제는 단순히 자동차가 가는 장소의 목록을 만드는 대신 해당 데이터를 분석하고 자동차가 가장 자주 가는 장소를 결정하는 또 다른 API를 사용한다는 것입니다. 다시 한 번 말씀드리지만, 제가 아는 한 개인정보 보호정책에는 그러한 기능에 대한 힌트가 없습니다. 아마도 이것은 그렇게 놀라운 일이 아닐 것입니다. 왜냐하면 저는 수많은 검색 끝에 Procon Analytics라는 MyCar의 모회사를 발견하고 해당 웹사이트를 방문하여 FAQ 섹션을 방문했기 때문입니다. 여기서 나는 "데이터 보안을 어떻게 보장합니까?"라는 질문을 발견했습니다. 회사의 답변은 다음과 같습니다. “데이터 저장 우선권을 두고 경쟁하는 퍼블릭 클라우드와 달리 Procon Analytics는 자체 가상 클라우드를 사용합니다. 이 클라우드는 우리 애플리케이션 사용자에게만 사용되고 다른 사용자의 간섭으로부터 보호됩니다. 높은 수준의 보안을 갖춘 특별한 클라우드 환경으로, 쉬운 가용성과 서비스 제공 속도를 보장합니다. Procon Analytics와 협력하면 데이터가 안전하게 보호된다는 확신을 가질 수 있습니다.” 이건 무슨 말을 해야할지 모르겠어...

그들의 페이스북 페이지에 가시면 더욱 흥미로운 것들을 보실 수 있습니다. 여기에는 "차량에 대한 정보를 보호하는 것이 중요합니다!"라고 간단히 적혀 있습니다. 글쎄, 나는 그런 말에만 동의할 수 있다.

그래서 제가 시작한 질문으로 돌아가서 "이런 일이 어떻게 발생하며 어떻게 피할 수 있습니까?"라고 말했습니다. 그리고 더 중요한 것은, 커뮤니티로서 우리가 이런 일이 발생하는 것을 어떻게 방지할 수 있습니까?

이것으로 보고서를 마치지만, 여전히 몇 가지 질문에 답할 수 있을 것입니다. (청중 박수)

그들이 모든 것을 고쳤는지 묻고 있습니까? 현 시점에서는 제가 강연 마지막에 언급한 개인정보 보호정책의 결함을 제외하고 제가 보고한 모든 버그를 수정했다고 생각합니다. 지난번에 확인해 보니 모든 것이 바뀌지 않았습니다. 자동차 전자엔진제어장치(ECU)의 매개변수도 비슷한 방식으로 편집할 수 있느냐는 질문에 저는 자동차의 매개변수를 MyCar 애플리케이션에서만 편집하는 것이 제 임무였다고 대답하겠습니다. 이는 직접 개체 액세스, SQL 삽입 또는 기타 공격 벡터를 통해 편집된 차량의 디지털 표현을 저장합니다.

마지막 질문은: 내 차에 "시작" 버튼이 있는 키 없는 엔진 시동 시스템이 있습니까? 이 경우 스티어링 휠 잠금 장치의 상황은 어떻습니까? 내 대답은 MyCar에 그런 버튼이 있어서 이 시스템에는 핸들 잠금 장치가 없다는 것입니다. 이 시스템을 설치하면 스티어링 휠 잠금 장치에 의존할 수 없게 될 것이라고 생각합니다.

일부 광고 🙂

우리와 함께있어 주셔서 감사합니다. 우리 기사가 마음에 드십니까? 더 재미있는 콘텐츠를 보고 싶다면? 주문하거나 친구에게 추천하여 우리를 지원하십시오. $4.99부터 시작하는 개발자용 클라우드 VPS, 귀하를 위해 우리가 발명한 고유한 보급형 서버 아날로그: VPS(KVM) E5-2697 v3(6코어) 10GB DDR4 480GB SSD 1Gbps에 대한 전체 진실 또는 서버 공유 방법은? (RAID1 및 RAID10에서 사용 가능, 최대 24개 코어 및 최대 40GB DDR4).

Dell R730xd는 암스테르담의 Equinix Tier IV 데이터 센터에서 2배 더 저렴합니까? 여기서 만 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV $199부터 네덜란드에서! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - 최저 $99! 에 대해 읽다 인프라 공사를 구축하는 방법. 730페니에 5유로 상당의 Dell R2650xd E4-9000 vXNUMX 서버를 사용하는 클래스?

출처 : habr.com