HanDs
NO.2

​Defcon:黑客可以通过显示器入侵十亿电脑 - 安全客 - 有思想的安全新媒体 





学习中请遵循国家相关法律法规,黑客不作恶。没有网络安全就没有国家安全

本站需要登陆后才能查看

在Defcon大会上,一批来自红气球安全研究中心(Red Balloon Security)的研究人员演示了如何通过电脑显示器黑掉一台电脑。人们通常会错位的认为显示器是一个被动附属设备,不可能会被攻击者用来破解我们的系统。


现在看来,理想很丰满,现实很骨感。攻击者可以劫持每一个显示器,并且利用它们来入侵我们的电脑系统。一组安全研究人员设计了一种方法来破解嵌入式计算机,他们的这种方法可以控制显示器监视受害者,同时,还可以操纵显示器屏幕的像素。


该小组由Ang Cui(红色气球安全研究中心的首席)带队参加Defcon黑客会议,他们于星期五在Defcon会议上和大家分享了这项技术。


其实,攻击场景很简单,黑客欺骗受害者访问恶意网站或者点击一个网络钓鱼链接,只要受害者上钩了,黑客就可以在嵌入式计算机上运行固件,从而控制显示器。


攻击者只需要植入一个固件,等待他的指示。攻击者会利用一个闪烁的图形元素发送数据到植入的固件中,这个图形元素简称像素,它可以隐藏在任何网页内容中(在视频或者网站中)。

 

Ang Cui及其同事Jatin Kataria演示了如何破解戴尔U2410显示器,他们通过入侵该显示器来改变和记录屏幕上的像素。

http://p6.qhimg.com/t01d53d9b54bac0a2fc.jpg

在Defcon会议的演示过程中,他们展示了如何改变网页上的细节,他们还演示了如何将PayPal账户余额从0到100万美元。


Cui向大家解释说,该技术可以被利用来监视受害者,或者改变那些不包含在由电脑发送到显示器的图片、视频。


这个漏洞的关键在于固件的更新方式,需要强调一点,这项攻击需要或者获得物理访问显示器的权限,比如利用HDMI或者USB端口。


Lorenzo Bicchierai从主板角度考虑,这个漏洞是十分危险的,模拟一个场景,如果黑客入侵的了某一发电厂的一台可以看到有控制界的显示器,这就很可能会酿成大祸。

Cui先是问大家“你们可以控制电力,关闭发电厂吗?”接着他带着一丝狡黠的微笑说道:“我可以做到这点。”


专家强调说,因为图像加载会比较缓慢,所以攻击并不是那么迅速。不论如何,总之这样的方法对于入侵显示器来说可能是最有效的,主要是针对静态的,集成电路系统的控制台。


这方面的入侵造成的影响是巨大的,推算一下,主要的生产商们销售的嵌入式计算机就有十亿台,安全研究员也分析了来自其他品牌的显示器,其中包括三星、宏基以及帕卡德休利特,与此同时,研究员们还证实了,在理论上是可以利用相同的技术破解所有的显示器。


两位专家在GitHub上分享了他们的代码:

https://github.com/redballoonshenanigans/monitordarkly


这份报告包括了戴尔2410U的显示器漏洞,它包含了设备上用于与代码通信的实用程序。这项研究的提出是为了强调显示器屏幕方面的安全性的缺乏。如果你们感兴趣可以点击链接查看Recon 0xA的研究成果:http://www.redballoonsecurity.com/presentation/Recon_0xA_A_Monitor_Darkly.pdf 详情可以参见Git Hub.


这个漏洞告诉我们,信任显示器可能会是个坏主意!


最后,Cui告诉大家“在我们生活的现代社会,你不能相信的显示器是安全的。”



学习中请遵守法律法规,本网站内容均来自于互联网,本网站不负担法律责任
#1楼
发帖时间:2016-8-12   |   查看数:0   |   回复数:0
游客组