搜索

[9229] 2015-08-13_最新黑客大会JEEP汽车91页破解报告（摘要版）

文档创建者：s7ckTeam
浏览次数：24
最后更新：2025-01-17
2015-08-13_最新黑客大会JEEP汽车91页破解报告（摘要版） 最 新 黑 客 大 会 J E E P 汽 车 9 1 页 破 解 报 告 （ 摘 要 版 ） F r e e B u f   2 0 1 5 - 0 8 - 1 3 微 信 号 微 信 号 : f r e e b u f 前 言 前 言 我 想 再 次 重 复 我 想 再 次 重 复 2 个 月 之 前 提 出 的 一 个 观 点 ： 个 月 之 前 提 出 的 一 个 观 点 ： 2 0 1 5 年 是 汽 车 安 全 的 元 年 ！ 年 是 汽 车 安 全 的 元 年 ！ 这 届 的 黑 客 大 会 掀 起 了 汽 车 攻 击 的 一 次 高 潮 ， 文 章 开 始 部 分 我 想 感 谢 C h i r s 等 安 全 人 士 在 汽 车 安 全 领 域 的 专 注 和 贡 献 ， 是 他 们 用 自 己 的 努 力 一 步 一 步 地 让 保 守 的 美 国 车 厂 将 之 前 只 有 内 部 知 道 的 汽 车 安 全 隐 患 不 得 不 慢 慢 让 公 众 了 解 ， 直 到 宣 布 召 回 1 4 0 万 辆 车 。 此 外 ， 还 有 早 在 2 0 1 0 年 发 表 汽 车 安 全 问 题 论 文 的 美 国 研 究 人 员 ， 使 他 们 掀 开 了 汽 车 安 全 隐 患 的 神 秘 面 纱 ； 还 有 那 些 致 力 于 义 务 推 动 汽 车 安 全 标 准 的 草 根 机 构 ， 他 们 不 惜 辞 职 ， 减 少 自 己 收 入 ， 用 更 多 的 时 间 投 入 到 汽 车 安 全 标 准 推 广 活 动 中 去 。
同 时 作 为 较 早 的 一 批 投 身 于 车 联 网 安 全 的 一 员 ， 我 也 欣 慰 地 看 到 过 去 两 年 中 ， 汽 车 安 全 如 何 从 一 个 偏 门 的 研 究 领 域 到 现 在 被 人 们 重 视 ， 而 且 这 群 “ 人 们 ” 里 面 包 括 了 车 厂 和 相 关 的 车 联 网 厂 商 。 1 .   克 莱 斯 勒 克 莱 斯 勒 J E E P 的 的 9 1 页 破 解 报 告 页 破 解 报 告 “ R e m o t e   E x p l o i t a t i o n   o f   a n   U n a l t e r e d   P a s s e n g e r   V e h i c l e ” 其 实 昨 天 8 月 1 0 号 的 时 候 ， 我 就 在 等 这 篇 报 告 出 炉 ， 但 是 等 到 半 夜 没 见 作 者 如 期 放 出 来 。 好 在 第 二 天 上 午 首 先 在 i l l m a t i c s . c o m 网 上 看 到 了 P D F 版 本 ， 9 1 页 足 够 多 了 。 h t t p : / / i l l m a t i c s . c o m / R e m o t e % 2 0 C a r % 2 0 H a c k i n g . p d f 我 不 可 能 把 里 面 的 细 节 一 一 描 述 ， 就 根 据 我 了 解 的 背 景 知 识 和 之 前 作 者 做 的 一 些 工 作 ， 来 向 读 者 介 绍 他 们 最 近 研 究 工 作 和 之 前 有 什 么 不 同 ， 实 现 思 路 和 用 什 么 方 式 来 进 行 防 护 类 似 黑 客 的 攻 击 。 我 会 根 据 自 己 的 理 解 写 我 的 感 受 ， 不 一 定 非 要 按 照 报 告 里 的 内 容 翻 译 。 注 意 报 告 里 的 “ u n a l t e r e d ” 这 个 词 ， 意 思 是 不 加 改 变 的 ， 不 包 括 插 上 不 加 改 变 的 ， 不 包 括 插 上 O B D 盒 子 ， 对 汽 车 内 部 做 手 脚 ， 接 入 盒 子 ， 对 汽 车 内 部 做 手 脚 ， 接 入 W I F I 热 点 等 热 点 等 等 。 这 个 词 背 后 的 意 思 就 是 叫 板 ， 我 不 做 手 脚 照 样 搞 掂 你 ！ 等 。 这 个 词 背 后 的 意 思 就 是 叫 板 ， 我 不 做 手 脚 照 样 搞 掂 你 ！ 报 告 前 面 几 页 介 绍 了 汽 车 安 全 研 究 工 作 ， 0 9 年 以 来 的 工 作 大 多 是 以 物 理 接 触 攻 击 为 主 ， 这 次 他 们 的 工 作 想 从 远 程 攻 击 入 手 ， 实 现 大 规 模 可 复 制 性 的 汽 车 攻 击 大 规 模 可 复 制 性 的 汽 车 攻 击 ， 这 恰 恰 是 病 毒 攻 击 的 特 点 也 是 车 厂 最 担 心 的 。 另 一 个 原 因 是 ： 物 理 攻 击 的 局 限 性 也 是 车 厂 反 馈 的 集 中 点 。 O B D 入 口 攻 击 ， 车 里 放 入 一 个 设 备 （ 例 如 这 次 黑 客 大 会 攻 击 O N S T A R 的 O W N S T A R 设 备 ） 都 是 通 过 这 个 理 由 而 遭 到 车 厂 有 选 择 性 的 忽 视 的 。 所 以 ， 这 次 的 远 程 攻 击 是 研 究 者 的 一 次 亮 剑 ， 看 看 到 底 车 厂 还 有 什 么 理 由 来 回 避 。 为 什 么 选 为 什 么 选 J E E P 不 是 偶 然 的 不 是 偶 然 的 J E E P 躺 着 中 枪 了 两 次 ！ 去 年 黑 客 大 会 上 ， 作 者 发 表 了 对 不 同 汽 车 的 一 项 调 研 成 果 ， 在 众 多 的 汽 车 中 ， J E E P 由 于 潜 在 的 风 由 于 潜 在 的 风 险 很 多 被 认 为 是 容 易 受 攻 击 的 一 种 车 辆 。 所 以 险 很 多 被 认 为 是 容 易 受 攻 击 的 一 种 车 辆 。 所 以 J E E P 才 被 荣 幸 的 成 为 候 选 车 辆 。 才 被 荣 幸 的 成 为 候 选 车 辆 。 所 以 如 果 你 也 了 解 这 段 历 史 ， 当 你 第 一 眼 看 到 J E E P 爆 出 漏 洞 的 时 候 ， 你 会 和 我 一 样 有 这 样 的 念 头 “ 怎 么 又 是 J E E P ？ ！ ” 另 外 一 个 插 曲 ， 作 者 的 研 究 经 费 是 由 D A R P A 提 供 的 ， 这 是 一 个 研 究 性 质 的 项 目 ， 而 不 是 由 作 者 所 在 公 司 提 供 的 。 我 猜 想 应 该 是 作 者 利 用 工 作 之 外 的 时 间 做 的 ， 所 以 报 告 里 没 有 过 多 现 在 公 司 的 信 息 。 所 以 说 ， 作 者 还 是 非 常 p r o f e s s i o n a l 的 ， 这 一 点 希 望 大 家 能 学 习 一 下 ！ 2 .   破 解 思 路 ： 为 什 么 选 择 从 娱 乐 系 统 入 手 ？ 破 解 思 路 ： 为 什 么 选 择 从 娱 乐 系 统 入 手 ？ 谁 让 你 把 娱 乐 系 统 直 接 连 到 C A N 总 线 上 ？ 攻 破 了 娱 乐 系 统 就 可 以 把 C A N 指 令 写 入 到 C A N 总 线 里 ， 之 前 作 者 积 累 的 私 有 协 议
C A N 指 令 就 有 用 武 之 地 了 。 第 9 - 1 9 页 介 绍 了 2 0 1 4 款 J E E P 的 一 些 辅 助 功 能 和 对 应 的 潜 在 攻 击 点 ， 不 是 特 别 重 要 。 值 得 一 提 的 W I F I 热 点 ， 作 者 就 是 通 过 这 个 攻 入 了 汽 车 。 之 后 的 几 页 介 绍 了 J E E P 的 U c o n n e c t ， 操 作 系 统 ， 文 件 系 统 等 等 。 其 中 的 I F S 越 狱 会 在 报 告 稍 后 部 分 介 绍 。 第 2 5 页 是 很 重 要 的 ， 因 为 这 次 破 解 工 作 的 出 发 点 ： 因 为 这 次 破 解 工 作 的 出 发 点 ： J E E P 的 的 W P A 2 密 码 设 置 很 弱 ： 按 照 固 定 的 时 间 加 上 车 机 启 动 的 秒 密 码 设 置 很 弱 ： 按 照 固 定 的 时 间 加 上 车 机 启 动 的 秒 数 ， 生 成 一 个 密 码 。 数 ， 生 成 一 个 密 码 。 这 样 ， 只 需 要 试 试 不 超 过 几 十 次 ， 密 码 就 可 以 攻 破 了 ！ 原 本 想 按 照 车 机 开 启 时 间 加 上 车 机 启 动 时 间 ， 但 是 车 机 无 法 知 道 何 时 启 动 的 ， 所 以 在 函 数 s t a r t ( ) 就 硬 编 码 了 一 个 固 定 的 时 间 ： 2 0 1 3 年 1 月 1 号 零 时 ， o o p s ! 然 后 ， 在 2 8 页 扩 大 战 果 ， 通 过 端 口 扫 描 发 现 了 一 系 列 开 放 的 端 口 ， 包 括 6 6 6 7 D - B u s ， 一 种 I P C , R P C 的 进 程 通 信 的 机 制 。 由 于 D - B U S 允 许 匿 名 登 入 ， 作 者 做 了 一 系 列 的 尝 试 ( P 2 9 ) 。 最 后 ， 通 过 对 D - B U S 服 务 的 分 析 ， 发 现 有 几 种 直 接 进 行 操 作 ， 比 如 调 节 车 机 音 量 大 小 和 获 取 P P S 数 据 ( P 3 1 页 ) 。 3 . 又 一 个 发 现 ： 移 动 供 应 商 内 部 网 络 又 一 个 发 现 ： 移 动 供 应 商 内 部 网 络 由 于 U c o n n e c t 可 以 连 接 到 移 动 运 营 商 S p r i n t , 后 者 提 供 t e l e m a t i c s 服 务 ， 使 用 的 高 通 3 G 基 带 芯 片 。 虽 然 车 机 里 面 的 T I O M A P 系 统 不 能 直 接 连 接 C A N 总 线 ， 但 是 作 者 发 现 了 另 一 个 绝 对 需 要 保 护 的 地 方 ， 就 是 我 们 俗 称 的 C A N 控 制 器 。 这 里 的 控 制 器 是 R e n e s a s ( 有 人 习 惯 称 为 N E C ) V 8 5 0   M C U , 这 是 一 个 比 较 常 用 的 处 理 器 ， 连 反 调 试 神 奇 I D A   P r o 都 有 相 应 调 试 模 块 ( P 3 3 ) 。 下 面 就 是 如 何 越 狱 U c o n n e c t , 作 者 指 出 这 不 是 必 要 的 ， 纯 碎 是 兴 趣 所 在 ， 所 以 众 位 看 官 可 以 跳 过 这 一 部 分 如 果 你 不 是 一 个 G E E K 。 第 4 0 页 开 始 再 次 回 到 攻 击 的 正 路 上 ： 利 用 利 用 U c o n n e c t 发 出 控 制 娱 乐 系 统 音 量 ， 空 调 风 扇 ， 收 音 机 甚 至 关 闭 频 幕 ， 更 改 开 发 出 控 制 娱 乐 系 统 音 量 ， 空 调 风 扇 ， 收 音 机 甚 至 关 闭 频 幕 ， 更 改 开 机 图 片 换 上 你 的 大 头 照 等 指 令 。 机 图 片 换 上 你 的 大 头 照 等 指 令 。 前 面 提 到 的 D - B u s 再 次 给 攻 击 者 提 供 了 新 的 攻 击 G P S ， 通 过 端 口 6 6 6 7 可 以 跟 踪 任 何 一 辆 运 行 U c o n n e c t 的 汽 车 ， 这 对 进 行 大 规 模 ， 任 意 性 攻 击 提 供 了 必 要 条 件 。 到 此 为 止 ， 报 告 我 讲 解 了 一 半 了 。 但 是 一 个 非 常 大 的 挑 战 是 ： 还 不 能 完 全 满 足 远 程 攻 击 和 不 进 行 修 改 （ u n a l t e r e d ） 汽 车 的 目 的 。 1 . 很 多 车 主 不 购 买 W I F I 热 点 服 务 ， 所 以 这 些 车 辆 你 无 法 攻 击 到 2 . W I F I 信 号 还 是 近 场 攻 击 。 所 以 ， 下 面 我 要 介 绍 如 果 利 用 S p r i n t 运 营 商 的 内 网 进 行 远 程 攻 击 。
移 动 运 营 商 的 内 网 移 动 运 营 商 的 内 网   P 4 3 - 4 8 作 者 发 现 了 2 个 A 类 I P 地 址 段 是 用 来 分 配 给 汽 车 的 ， 汽 车 每 次 启 动 的 时 候 都 会 自 动 分 配 一 个 I P 地 址 。 又 是 D - B U S 被 用 来 和 运 营 商 网 络 进 行 通 信 。 作 者 在 E B A Y 上 买 了 叫 S p r i n t   A i r a v e 的 设 备 并 利 用 了 这 个 设 备 公 开 的 一 个 漏 洞 通 过 T E L N E T 进 入 ！ 这 就 意 味 着 我 们 在 一 辆 车 上 尝 试 成 功 的 攻 击 手 段 可 以 通 过 运 营 商 网 络 传 播 到 所 有 的 这 就 意 味 着 我 们 在 一 辆 车 上 尝 试 成 功 的 攻 击 手 段 可 以 通 过 运 营 商 网 络 传 播 到 所 有 的 U c o n n e c t 车 辆 上 ！ 车 辆 上 ！ 这 里 面 有 一 个 S p r i n t 通 信 的 特 点 ， 可 以 允 许 不 同 的 设 备 （ 包 括 汽 车 ） 通 过 通 信 塔 可 以 自 由 通 信 ， 这 就 是 攻 击 传 播 通 道 。 （ 漏 洞 爆 出 后 ， S p r i n t 迅 速 修 改 了 这 个 机 制 ） P 4 6 ， 如 果 利 用 通 信 网 络 扫 描 所 有 的 车 辆 并 且 定 位 。 扫 描 结 果 发 现 不 仅 仅 是 J E E P 车 型 其 他 一 系 列 车 型 都 是 受 害 者 。 作 者 估 计 了 一 下 ， 大 概 有 作 者 估 计 了 一 下 ， 大 概 有 2 9 - 4 7 万 辆 车 收 到 波 及 ， 结 果 车 厂 召 回 了 万 辆 车 收 到 波 及 ， 结 果 车 厂 召 回 了 1 4 0 万 ！ 万 ！ 下 一 个 倒 霉 蛋 下 一 个 倒 霉 蛋 - V 8 5 0 V 8 5 0 本 来 没 有 往 C A N 总 线 写 指 令 的 功 能 ， 但 我 们 可 以 通 过 改 写 V 8 5 0 固 件 插 入 恶 意 代 码 进 行 控 制 汽 车 C A N 总 线 。 这 是 通 过 O M A P 芯 片 做 到 的 。 P 4 8 - 6 8 是 刷 写 固 件 的 具 体 方 法 。 在 利 用 S P I 机 制 刷 写 时 ， 作 者 发 现 V 8 5 0 固 件 更 新 没 有 采 用 签 名 机 制 保 护 固 件 更 新 。 P 7 0 页 描 述 了 如 何 通 过 V 8 5 0 发 出 C A N 指 令 的 。 P 7 1 页 对 发 现 的 漏 洞 进 行 了 总 结 。 后 面 介 绍 的 是 如 果 通 过 汽 车 诊 断 工 具 逆 向 C A N 协 议 。 P 8 6 页 向 车 厂 通 知 和 车 厂 反 应 的 进 度 表 里 包 括 了 很 多 有 些 意 思 的 信 息 。 我 的 理 解 ， 这 还 是 算 反 应 比 较 迅 速 的 ， 即 便 这 样 前 后 有 1 0 月 的 时 间 。 车 厂 不 是 没 有 做 什 么 工 作 来 弥 补 安 全 上 的 缺 失 。 实 际 上 ， 目 前 美 国 车 厂 都 成 立 的 安 全 小 组 负 责 车 联 网 安 全 问 题 ， 只 是 他 们 的 行 动 慢 了 。 同 时 这 张 表 格 还 解 释 通 了 我 之 前 对 美 国 车 联 网 安 全 进 展 的 几 个 疑 问 。 当 然 ， 这 和 这 篇 文 章 无 关 ， 我 就 不 多 说 了 。 最 后 ， 是 感 谢 列 表 和 参 考 文 献 ， 全 文 结 束 ！ 4 .   如 何 进 行 防 范 ？ 如 何 进 行 防 范 ？ 对 于 防 守 而 言 ， 万 变 不 离 其 宗 。 你 研 究 不 同 汽 车 攻 击 的 案 例 和 方 法 ， 就 会 发 现 在 几 个 关 键 点 和 响 应 机 制 布 局 ， 就 能 否 防 范 绝 大 多 数 的 汽 车 攻 击 。 实 际 上 ， 车 厂 本 来 应 该 有 很 好 的 时 间 窗 口 避 免 这 种 尴 尬 的 曝 光 式 的 漏 洞 发 布 ， 但 是 他 们 错 过 了 。 另 一 方 面 ， 目 前 汽 车 攻 击 还 是 停 留 在 通 过 点 渗 透 到 云 端 ， 再 进 行 其 他 车 辆 攻 击 ， 防 御 还 是 相 对 可 控 的 。 以 后 随 着 V 2 X 的 普 及 ， 那 将 是 灾 难 性 的 。 这 里 做 一 个 小 广 告 ： 8 月 底 我 会 做 一 个 汽 车 安 全 普 及 的 微 课 堂 ， 对 汽 车 安 全 ， 业 界 看 法 ， 攻 击 方 式 ， 防 御 体 系 做 一 个 概 括 性 的 介 绍 。 欢 迎 大 家 报 名 参 加 ！ 具 体 信 息 届 时 发 布 。 5 .   结 束 语 结 束 语 再 次 向 那 些 （ 大 部 分 是 美 国 的 ） 汽 车 安 全 研 究 人 员 致 敬 。 他 们 在 研 究 的 过 程 中 少 了 些 商 业 动 机 ， 多 了 些 白 帽 子 的 敬 业 精 神 。 无 欲 则 刚 ， 这 样 才 能 在 2 年 左 右 时 间 推 动 了 业 界 对 汽 车 安 全 的 重 视 。 我 希 望 更 多 的 传 统 安 全 人 士 投 身 到 汽 车 安 全 研 究 中 去 。 随 着 2 0 1 7 年 国 内 智 能 车 的 推 出 ， 汽 车 安 全 解 决 方 案 是 一 个 无 法 绕 过 的 议 题 。 * 本 文 作 者 ： t o f r e e b u g ， 属 F r e e B u f 原 创 奖 励 计 划 文 章 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理