黑帽大会曝多种漏洞 Oracle 飞机 汽车皆浮云

　　1997年，知名黑客杰夫·莫斯创立了黑帽子大会，历经17年的发展，黑帽大会已经成为信息安全领域的风向标，每年黑帽大会讨论的安全议题大都成为了未来的趋势和方向。

　　如今对黑帽子们来说，拉斯维加斯就是一块巨形吸铁石，吸引他们蜂拥而至。2014年，约有1万人参加了黑帽大会，人数比去年增长了50%。

　　黑帽大会如此具有人气，是因为世界发展到今天，通过互联网编制的虚拟网络，使得现实世界的人得到了更紧密的联系，人们的工作和生活开始与网络休戚相关，而与此同时，人们的信息、财产甚至人身安全都开始与网络安全紧密相关。

　　在大会上，黑帽们展示了多种安全漏洞，小编带你一起来看看顶级黑帽们的顶级技术。

　　1.Oracle数据校订安全功能漏洞频出

　　数据库安全专家兼著名漏洞猎人David Litchfield展示了他最近在数据校订(data redaction)功能中发现的一些漏洞，Oracle公司在最新版本数据库12c中大肆宣传了这个安全功能。

　　基本上，数据校订功能是用于掩饰敏感信息，当返回的数据库查询包含敏感信息(例如社会安全号码、信用卡号码和其他个人身份信息等)，并且这些数据到达特定的校订卷时，这些数据会用X来替换，而在校订卷以外的数据则返回正常数据。

　　数据校订实际上是一个“好主意”，但遗憾的是，这个功能充满了基本的安全漏洞，攻击者可以很容易地绕过它。

　　“如果Oracle遵循微软的安全开发生命周期，我将展示的漏洞原本是可以避免的，”Litchfield表示，“我要谈论的漏洞并不是火箭科学，供应商不应该容忍其旗舰产品中包含这些漏洞。”

　　随后Litchfield现场演示了他发现的漏洞。第一个漏洞是在DML操作后使用“RETURNING INTO”条款，这允许数据返回一个变量，他表示这是Oracle的失误，这原本可以通过执行渗透测试来发现。另一个漏洞可能允许攻击者访问“SELECT'S WHERE”中的数据，主要通过迭代推理攻击来暴力破解数字，基本上就是设定一个数字范围直到猜测出正确的数字。Litchfield展示了利用这种方法的攻击者可以在几秒钟内获取信用卡号码，他们只需要从0到9猜测9个数字。

　　在存储卷自动更新的情况下，Litchfield表示还可以使用相同的值来更新ID卷，其中会返回未掩饰的数据，这意味着根本没有进行更新。Litchfield表示：“在Oracle工作了一年并且懂SQL的任何人都应该可以发现这些漏洞。”

　　2.全球20亿移动设备含远程管理程序漏洞

　　黑帽大会上有一场题目为“全球规模的移动网络攻击”(Cellular Exploitation on a Global Scale)的主题演讲，主要展示电信营运商为了远端控制移动设备并基于“开放移动联盟设备管理”(Open Mobile Alliance Device Management，OMA-DM)协议所导入的特定软件含有安全漏洞而产生的风险，被点名的则是由Red Bend所开发的vDirect Mobile客户端设备管理软件。

　　OMA-DM是一个设备管理协议，可用来管理手机、平板电脑、笔记本电脑、M2M，甚至汽车等各种可通过移动网络连网的设备，全球的电信营运商几乎都会在所销售的手机中安装基于该协议的软件，以用来进行远端的软件更新。

　　Solnik与Blanchou表示，移动营运商在这类的软件中部署了某些隐藏的控制功能，他们通过逆向工程来分析嵌入的基频与程序，找出潜藏的控制功能并了解其运作原理，然后挖掘出当中的一些漏洞，撰写出概念性验证程序，并展示如何破解锁定屏幕，远程执行程序以及越狱等。

　　Accuvant之所以锁定由Red Bend所开发的vDirect Mobile客户端设备管理软件，是因为全球由电信业者所售出的手机中，有7—9成安装该软件，同时Red Bend自己也宣布全球有超过20亿的设备、上百家制造商与移动营运商使用该公司的软件。

　　3.黑客展示如何攻击飞机和汽车

　　针对汽车的攻击很是微妙，但是麻烦也有不少。为了夺取对汽车的“控制权”，开发者Silvio Cesara花了1000美元来购买现成的设备。他打造了自己的钥匙，但仍通过无线门锁的数字信号来实现。从本质上来说，就是被攻击者的“数字车钥”被别有用心的人复制了过去。车主离开，就是小偷咧嘴笑的时候，因为它连砸窗撬锁的工夫都省了。

　　至于针对飞机的攻击，据说其整个系统都会受到威胁。通过车载无线网络，网络安全顾问Ruben Santamarta也展示了一名黑客是如何夺取控制权的。指导、娱乐、通信以及安全设备，都将可以从驾驶舱外进行控制。当然，攻击演示很费时间，因此在短时间内，我们还是不会在实际生活中看到有人这么做的。

　　据悉，在黑帽大会之后，亚洲地区最大的安全行业大会——第二届中国互联网安全大会(ISC2014)将于9月24日—25日在北京如期举行，多位参加了黑帽大会的大牛将再次来到中国，继续探讨安全行业领域的趋势和方向。