把你家汽車開到溝里，黑客是如何辦到的？

編者注：作者@fenggou，烏云漏洞平臺聯合創始人。

還記得前幾天媒體鋪天蓋地宣傳的黑客攻陷克萊斯勒汽車的案例么？具體新聞：兩名黑客的入侵演示 致使克萊斯勒召回140萬輛汽車。

其中黑客在遠程控制了記者駕駛汽車的雨刷、音響、中控大屏、剎車甚至是低速情況下的遠程駕駛權限，給車開到溝里去鳥……隨著BlackHat大會的首日召開，這次汽車攻擊細節也公布于眾，其中有令人眼前一亮的漏洞與分析，我們一起來看。

這個議題名為”REMOTE EXPLOITATION OF AN UNALTERED PASSENGER VEHICLE“。其中，Charlie Miller是twitter的安全研究員（就是上圖比較清涼的這位GG），是工業安全界非常有名的人物。

汽車經絡圖，這個汽車大保健呢，應該按這里，這里，還有這里。哦對，這個部位的激烈震動有益汽車的身心健康。

回到正題，這次議題中講了兩種可以遠程攻擊到汽車的方法：

1、首先是通過Wi-Fi入侵車載系統Uconnect。

Charlie Miller先逆向了汽車Uconnect系統WPA2密碼的生成方式，發現WPA2的密碼是根據設定密碼的時間作為種子生成的隨機密碼，并且首次生成以后并不會改變。所以說當知道了生成密碼的時間，就可以暴力破解出密碼。

簡單來說就是知道你是哪一天設置的密碼，那黑客就可以在1小時內暴力猜出你的Wi-Fi密碼。

進入汽車Uconnect系統的Wi-Fi內網后，Charlie發現汽車打開了6667端口運行D-BUS服務。D-BUS是以root模式運行，其中有一個服務（NavTrailService）存在任意命令注入漏洞，然后就這樣獲取到了Uconnect系統的root控制權（就是這套系統最高控制權，相當于你媳婦在家里的地位）。

編者注：Uconnect系統是克萊斯勒旗下的車載娛樂信息系統，支持播放音樂、導航、手機app遙控等。默認情況下，它可以讀取汽車控制系統的狀態，但不能控制。  詳細可參考官方說明：Services and Apps from Uconnect）

2、另一種方式是通過蜂窩網絡入侵汽車。

這種方式更酷一些。首先采用 femto-cell 的方法讓Uconnect接入偽基站，然后對區域內的 IP 進行掃描尋找打開了6667端口的設備，也就是打開D-BUS服務端口的汽車。隨后采用和Wi-Fi攻擊手段一樣的命令注入方法獲取到root權限（相當于你跟媳婦有了孩子后，這小兔崽子在你家中的地位）。

編者注：femto-cell，偽造蜂窩基站。可被用作偽基站群發垃圾短信等非法用途。具體案例可參考烏云的分析案例。

你以為這就黑掉汽車了？非也，畢竟這對好基友（黑客）研究了一年的漏洞，可不會就這么簡單輕松。因為Charlie有講到，即使得到了Uconnect車載系統的root權限也只能進行一些媒體控制，放個音樂，放個小電影。想要控制汽車的底層功能，還需要對Uconnect這套車載系統的固件進行修改。

除此之外，Charlie 他們還發現目標汽車有個嚴重的安全漏洞。那就是汽車的系統不會驗證固件的簽名，因此通過修改固件系統并加入后門功能變為了可能。

就這么理解吧，你手里的iPhone手機現在可以刷自帶1024客戶端的iOS10系統啦。

至于這自制固件做了啥，烏云君之前的猜測是黑客利用了OBD的私有協議進行攻擊，但目前看來，Uconnect可能是直接與自己的汽車總線控制系統或者是汽車ecu（汽車真正的電子大腦，可以控制一切）進行的交互，所以可以控制剎車等底層功能。但正常固件功能無法隨便的控制，所以自制固件所做的應該就是打通了黑客直接接觸到目標汽車底層系統的會話通道。

最后，放上幾張Charlie Miller演示的各種控制汽車的視頻截圖福利：

看得熱血沸騰了吧？也想研究汽車安全成為汽車黑客？這個簡單！首先你得有輛車......

更多關于漏洞信息，可移步烏云知乎專欄。

雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。