搜索

[14431] 2019-08-04_开裂的挡风玻璃让我获得了特斯拉$10,000的漏洞赏金

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2019-08-04_开裂的挡风玻璃让我获得了特斯拉$10,000的漏洞赏金 开 裂 的 挡 风 玻 璃 让 我 获 得 了 特 斯 拉 $ 1 0 , 0 0 0 的 漏 洞 赏 金 c l o u d s   F r e e B u f   2 0 1 9 - 0 8 - 0 4 能 有 机 会 对 能 有 机 会 对 T e s l a   M o d e l   3 进 行 安 全 测 试 是 一 件 有 趣 的 事 ， 因 为 进 行 安 全 测 试 是 一 件 有 趣 的 事 ， 因 为 T e s l a   M o d e l   3 的 内 置 系 统 有 网 页 浏 览 器 、 免 费 高 级 的 的 内 置 系 统 有 网 页 浏 览 器 、 免 费 高 级 的 L T E 和 用 于 软 件 更 新 的 和 用 于 软 件 更 新 的 O T A 空 中 无 线 技 术 ， 说 白 了 ， 它 就 是 一 台 在 空 中 无 线 技 术 ， 说 白 了 ， 它 就 是 一 台 在 飞 驰 车 轮 之 上 的 联 网 计 算 机 。 飞 驰 车 轮 之 上 的 联 网 计 算 机 。 所 以 ， 在 今 年 年 初 我 买 了 一 辆 T e s l a   M o d e l   3 ， 无 论 摆 弄 它 还 是 驾 驶 它 ， 我 都 乐 在 其 中 。 新 车 到 手 的 那 几 天 ， 我 在 车 库 里 琢 磨 了 很 长 时 间 ， 试 图 让 它 执 行 一 些 本 不 该 做 的 操 作 ， 看 看 有 什 么 漏 洞 发 现 ， 非 常 幸 运 ， 我 从 中 有 所 发 现 。 2 0 1 9 年 年 4 月 月 首 先 ， 我 研 究 的 就 是 T e s l a   M o d e l   3 的 “ N a m e   Y o u r   V e h i c l e ” （ 命 名 你 的 车 辆 ） 功 能 ， 该 功 能 允 许 车 主 为 自 己 的 爱 车 设 置 昵 称 ， 并 将 其 保 存 到 个 人 账 户 中 ， 当 车 辆 推 送 充 电 完 成 等 操 作 通 知 时 ， 这 个 车 辆 昵 称 可 显 示 在 车 主 的 手 机 端 移 动 应 用 上 。 “ N a m e   Y o u r   V e h i c l e ” 功 能 在 以 下 右 上 角 图 示 按 钮 ： 刚 开 始 ， 我 把 车 辆 昵 称 设 置 为 了 “ % x . % x . % x . % x ” ， 想 看 看 它 是 否 像 2 0 1 1 款 宝 马 3 3 0 i 一 样 存 在 格 式 字 符 串 漏 洞 （ C V E - 2 0 1 7 - 9 2 1 2 ） ， 但 遗 憾 的 是 ， 没 有 。 C V E - 2 0 1 7 - 9 2 1 2 ： B l u e t o o t h   s t a c k 是 应 用 在 B M W   3 3 0 i 中 的 一 个 蓝 牙 传 输 协 议 ， B M W   3 3 0 i   2 0 1 1 版 本 中 的 B l u e t o o t h   s t a c k 存 在 安 全 漏 洞 ， 远 程 攻 击 者 可 借 助 设 备 名 中 的   % x 或 % c 格 式 字 符 串 说 明 符 利 用 该 漏 洞 造 成 C D / M u l t i m e d i a 软 件 崩 溃 。
我 继 续 把 玩 “ N a m e   Y o u r   V e h i c l e ” 功 能 的 用 户 输 入 点 ， 后 来 发 现 它 可 允 许 输 入 内 容 的 长 度 非 常 长 ， 于 是 ， 我 把 它 命 名 为 了 一 个 X S S   P a y l o a d - “ > ， 看 看 它 会 否 被 其 它 功 能 调 用 执 行 。 接 着 ， 我 又 研 究 了 其 内 置 的 网 页 浏 览 器 ， 通 过 载 入 文 件 或 构 造 U R I ， 也 没 能 在 其 上 面 实 现 任 何 可 远 程 实 现 的 操 作 ， 但 整 个 过 程 很 有 意 思 。 那 天 晚 上 我 一 无 所 获 ， 就 早 早 收 场 休 息 ， 也 忘 了 把 车 辆 昵 称 改 回 来 ， 还 是 之 前 设 置 的 那 个 B l i n d   X S S   P a y l o a d 。 2 0 1 9 年 年 6 月 月 在 一 次 公 路 旅 行 中 ， 一 块 大 石 头 突 然 从 什 么 地 方 冒 出 来 ， 砸 裂 了 我 的 挡 风 玻 璃 。 之 后 ， 我 在 特 斯 拉 手 机 端 A P P 中 预 约 了 一 次 车 检 ， 就 又 继 续 日 常 驾 驶 了 。 第 二 天 ， 我 手 机 邮 箱 收 到 了 一 条 X S S   H u n t e r 提 醒 消 息 ， 其 中 提 示 有 人 查 看 了 我 的 X S S   P a y l o a d ， 也 就 是 我 之 前 设 置 的 那 个 X S S 昵 称   -   “ > 。 这 就 有 意 思 了 不 是 。 经 检 查 ， 我 发 现 特 斯 拉 后 台 存 在 漏 洞 的 页 面 U R L 为 ： h t t p s : / / r e d a c t e d . t e s l a m o t o r s . c o m / r e d a c t e d / 5 0 5 7 5 1 7 / r e d a c t e d X S S 被 执 行 的 域 为 ： h t t p s : / / r e d a c t e d . t e s l a m o t o r s . c o m R e f e r e r 源 页 面 为 ： h t t p s : / / r e d a c t e d . t e s l a m o t o r s . c o m / r e d a c t e d / 5 Y J 3 1 3 3 7 也 就 是 说 ， 特 斯 拉 的 后 台 员 工 在 域 名 “ r e d a c t e d . t e s l a m o t o r s . c o m ”   下 ， 查 看 了 我 对 挡 风 玻 璃 开 裂 的 预 约 车 检 时 ， 由 于 之 前 我 设 置 了 车 辆 昵 称 为 “ > ， 因 此 触 发 了 这 个 X S S   P a y l o a d 。 X S S   H u n t e r 的 提 醒 消 息 截 图 显 示 ， 经 由 上 述 存 在 漏 洞 的 页 面 U R L ， 特 斯 拉 后 台 服 务 端 可 以 响 应 显 示 出 一 些 有 关 车 辆 的 关 键 数 据 信 息 ， 并 且 可 以 通 过 增 加 U R L 中 的 车 辆 标 识 号 （ V e h i c l e   I D   ） ， 来 获 取 到 其 它 车 主 名 下 特 斯 拉 车 辆 的 关 键 数 据 信 息 。 这 里 的 的 车 辆 标 识 号 V e h i c l e   I D 就 是 正 文 中 的 V I N   N u m b e r 。 我 猜 想 ， X S S   P a y l o a d 的 触 发 位 置 可 能 位 于 特 斯 拉 的 某 个 车 辆 管 理 界 面 中 。 X S S   H u n t e r 的 截 图 表 明 ， 我 这 辆 车 的 速 度 、 温 度 、 版 本 号 、 胎 压 、 锁 定 情 况 、 警 报 等 其 它 具 体 信 息 都 被 显 示 出 来 了 。 如 下 ： 另 外 ， 还 存 在 固 件 、 总 结 监 测 器 、 地 理 围 栏 位 置 （ G e o f e n c e ） 、 汽 车 配 置 和 代 码 名 称 功 能 等 非 常 有 意 思 的 信 息 标 签 ， 如 下 ： V I N :   5 Y J 3 E 1 3 3 7 4 K F 2 3 1 3 3 7 3 C a r   T y p e :   3   P 7 4 D B i r t h d a y :   M o n   M a r   1 1   1 6 : 3 1 : 3 7   2 0 1 9 C a r   V e r s i o n :   d e v e l o p - 2 0 1 9 . 2 0 . 1 - 2 0 3 - 9 9 1 3 3 7 d C a r   C o m p u t e r :   i c e S O E   /   U S O E :   4 8 . 9 ,   4 8 . 9   % S O C :   5 4 . 2   % I d e a l   e n e r g y   r e m a i n i n g :  
我 曾 尝 试 去 访 问 上 述 漏 洞 页 面 中 涉 及 的 域 名   -     “ r e d a c t e d . t e s l a m o t o r s . c o m ”   ， 但 是 却 显 示 超 时 ， 这 样 看 来 它 可 能 是 特 斯 拉 的 一 个 内 部 W e b 应 用 。 更 有 意 思 的 是 ， 我 认 为 特 斯 拉 后 台 支 持 人 员 可 能 具 备 向 汽 车 本 身 发 送 数 据 ， 远 程 对 车 辆 进 行 配 置 更 新 的 能 力 ， 我 猜 该 应 用 可 能 是 基 于 D O M 超 链 接 的 方 式 管 理 车 辆 信 息 ， 但 我 没 有 进 行 深 入 测 试 。 不 过 可 以 肯 定 的 是 ， 通 过 增 加 其 中 的 车 辆 标 识 号 （ V I N ） 数 字 ， 向 特 斯 拉 后 台 发 送 支 持 性 请 求 ， 这 样 ， 攻 击 者 可 以 获 取 或 更 改 其 他 车 主 名 下 的 特 斯 拉 汽 车 信 息 。 作 为 攻 击 者 来 说 ， 可 以 向 特 斯 拉 后 台 提 交 多 种 支 持 性 请 求 ， 以 实 现 入 侵 攻 破 行 为 做 足 支 撑 。 但 出 于 对 测 试 和 其 他 车 主 的 尊 重 ， 我 没 有 这 样 做 。 因 为 实 际 上 ， 通 过 响 应 信 息 的 D O M 结 构 和 J a v a S c r i p t 代 码 ， 就 可 以 向 特 斯 拉 后 台 伪 造 请 求 ， 获 得 我 想 要 的 信 息 。 漏 洞 上 报 漏 洞 上 报 在 开 了 将 近 1 1 个 小 时 的 车 之 后 ， 凌 晨 两 点 ， 我 精 神 抖 擞 地 编 写 完 了 漏 洞 报 告 上 报 给 了 特 斯 拉 安 全 团 队 。 很 快 ， 特 斯 拉 就 给 我 回 复 ， 漏 洞 最 终 被 划 分 为 P 1 重 要 级 ， 在 观 点 意 见 交 换 后 ， 特 斯 拉 在 半 天 之 内 就 推 出 了 更 新 补 丁 。 两 周 之 后 ， 特 斯 拉 官 方 给 了 我 $ 1 0 , 0 0 0 美 金 的 奖 励 ， 并 确 认 这 是 一 个 高 危 漏 洞 。 回 顾 该 漏 洞 的 发 现 过 程 ， 可 以 算 是 非 常 简 单 ， 但 可 以 理 解 的 是 ， 有 时 候 一 些 安 全 问 题 总 会 被 忽 视 掉 。 虽 然 则 开 始 我 不 确 定 该 漏 洞 的 确 切 影 响 ， 但 它 是 有 效 真 实 的 ， 至 少 可 允 许 攻 击 者 查 看 目 标 车 辆 的 实 时 信 息 ， 并 可 能 查 看 到 其 他 车 主 的 相 关 信 息 。 漏 洞 上 报 进 程 漏 洞 上 报 进 程 2 0 1 9 . 6 . 2 0     0 6 : 2 7 : 3 0   U T C     漏 洞 上 报 2 0 1 9 . 6 . 2 0     2 0 : 3 5 : 3 5   U T C     漏 洞 分 类 、 推 出 补 丁 2 0 1 9 . 7 . 1 1       1 6 : 0 7 : 5 9   U T C       $ 1 0 , 0 0 0 赏 金 发 放 * 参 考 来 源 ： 参 考 来 源 ： s a m c u r r y ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理