GeekPwn大赛:攻破奇酷手机、大疆无人机等产品

知名安全团队KEEN主办的GeekPwn 2015嘉年华在上海举行。安全极客现场成功演示攻破360奇酷手机指纹验证系统,用任何一个人的手指都可解锁手机。



随后360方面回应称,对于现场演示的360奇酷手机的Root等漏洞,由于主办方暂未提供具体的漏洞细节,目前我们还无法验证其有效性,奇酷手机将就此与相关人员积极沟通。

360奇酷手机还表示,他们为每一位用户准备了全年最高赔付12万的奇酷财产险。即使用户遭遇安全风险,也能最大程度挽回损失。

在这场被业内誉为“黑客奥运会”的国际性智能软硬件挑战赛上,超过40款主流软硬件产品成为选手攻破对象,移动支付、O2O、智能家居等领域的安全问题成为今年的热点。

在智能硬件领域:一架大疆无人机在GeekPwn评委“老鹰”的操作下起飞,按照评委的遥控指稳定飞行,评委将无人机遥控器放置在一边,不料,此时无人机旋翼开始缓缓转动并飞行起来。这是GeekPwn嘉年华选手在外场演示劫持无人机的画面。

GeekPwn主办方KEEN公司CEO王琦表示,目前的智能硬件领域的很多产品所谓的智能只是通过终端控制,而真正的智能应该是基于数据的,目前来看国内的大量智能硬件厂商都缺少数据积累。

手机领域:包括小米、华为等主流手机品牌纷纷被选手攻破。选手通过在安卓手机上安装一个普通权限的app,利用本地提权漏洞获取系统权限后,该app会替换手机的开机画面。

智能路由器:多名白帽黑客演示了360、小米、联想、D-link、TP-link等十个品牌的路由器被攻破的场景,三组参赛选手分别选择了某电商网站十款销量最高的路由器,利用智能路由器的未知漏洞,完成获取ROOT权限,演示本来要打开正常的GeekPwn官网,却链接到另外一个黑客山寨的被PWN掉的GeekPwn官网。

移动支付:选手还轻松攻破了拉卡拉收款宝POS机,使卡内余额莫名消失。同样被攻破的还有盒子支付POS机。此外,通过银联账户交易系统,黑客可以盗刷用户银行卡。


O2O:白帽黑客现场演示了如何利用嘟嘟美甲充值系统项目的漏洞,通过在自己手机上调用支付宝,在实际支付1分钱的情况下,完成任意价格的订单充值。

现场选手还进行了利用“阿姨帮”系统未知漏洞, 进行任意充值的的演示,其实,除了“阿姨帮”很多O2O产品都在支付接口有着类似的漏洞。

王琦表示,举办此项赛事的目的,第一不要吓唬用户,第二不要威胁厂商。坚持科学中立的评判和负责任的漏洞披露是GeekPwn始终坚持的原则。

据悉,在GeekPwn参赛项目确定前,组委会邀请所有项目涉及的厂商现场观看,对厂商和用户负责。
免责声明:文章内容不代表本站立场,本站不对其内容的真实性、完整性、准确性给予任何担保、暗示和承诺,仅供读者参考,文章版权归原作者所有。如本文内容影响到您的合法权益(内容、图片等),请及时联系本站,我们会及时删除处理。查看原文

为您推荐