车辆跟踪体系LoJack的认证体系API存在破绽,能够被应用及时跟踪汽车 | 申博官网
登录
  • 欢迎进入申博官网!
  • 如果您觉得申博官网对你有帮助,那么赶紧使用Ctrl+D 收藏申博官网并分享出去吧
  • 这里是申博官方网!
  • 申博官网是菲律宾sunbet官网品牌平台!
  • 申博开户专业品牌平台!

车辆跟踪体系LoJack的认证体系API存在破绽,能够被应用及时跟踪汽车

申博_新闻事件 申博 44次浏览 未收录 0个评论

车辆跟踪体系LoJack的认证体系API存在破绽,能够被应用及时跟踪汽车

很多人认为只需汽车上装置了智能追踪器,纵然在被盗的状况下,也能够跟踪并找到汽车。

要说智能追踪器能够最著名的就是LoJack了,lojack是一款防盗/寻回软件,相似于GPS,但机能要高于GPS,能够24小时追踪巡查部队,24小时直属监控中间,多重追踪手艺,隐藏式追踪装配,防滋扰追踪装配,在货柜大厦设置地牢内依旧一般事情。别的另有TrackStar和SmarTrack。这三个跟踪器都取得了英国Thatcham Research车辆平安和平安研讨构造的承认。Thatcham Research团队是由很多保险公司设立的,旨在协助推进车辆平安,而且这三个追踪器都经由历程了“S5”平安规范认证。

这三个跟踪器运用程序API都有受权破绽,这将许可黑客接受帐户,及时跟踪汽车,封闭防盗警报(也能够被删除)并提取个人数据。假如防盗警报运转一般,小偷能够会住手其行为

Thatcham认证好像只是关于装备功用的认证,而至于这些功用是不是有用,则不属于考证的局限

LoJack或Tracker的作用

Tracker Touch 挪动运用程序许可用户及时定位汽车,同时设置地舆围栏。假如车辆被挪动,则会触发短信和手机警报。

车辆跟踪体系LoJack的认证体系API存在破绽,能够被应用及时跟踪汽车

车辆跟踪体系LoJack的认证体系API存在破绽,能够被应用及时跟踪汽车

帐户接受

挪动运用API许可用户更新其电子邮件地址,实行此操纵的请求包括一个数字字段 – “ClientId” – 用于标识用户帐户。经由历程能够变动此ClientId并变动任何帐户的电子邮件地址,攻击者能够触发暗码重置,把相干的电子邮件发送到本身的帐户,进而完全掌握被盗车辆。这意味着,只要小偷会取得防盗警报的提醒!

车辆跟踪体系LoJack的认证体系API存在破绽,能够被应用及时跟踪汽车

如今帐户既然已被盗用,则任何人都能够及时跟踪被盗车辆!

车辆跟踪体系LoJack的认证体系API存在破绽,能够被应用及时跟踪汽车

该破绽是一种不平安的直接对象援用,其中之一是:

删除“地舆围栏”警报

假如汽车被挪动到指定地区(如街道)以外,则会触发潜伏的防盗警报。

在’UnsubscribeIndividualAlert’的POST请求中也有一个相似的不平安的直接对象援用,许可在发出任何防盗警报时将其删除。

车辆跟踪体系LoJack的认证体系API存在破绽,能够被应用及时跟踪汽车

车辆跟踪体系LoJack的认证体系API存在破绽,能够被应用及时跟踪汽车

或许你能够从收集运用程序实行此操纵,因为帐户已被盗用:

车辆跟踪体系LoJack的认证体系API存在破绽,能够被应用及时跟踪汽车

TrackStar账户接受

传教传术:在华东谈谈要挟谍报 | 微步在线用户交流会

这个九月,微步在线邀请您一同领略威胁情报的“道”与“术 ”。 此前,我们成功地组织了一场百人参与的闭门技术培训会,会后统计结果显示,对此次技术培训会的满意程度高达97%。因此,我们决定继续沿用闭门形式,将高质量的议题从遥远的北方带到上海,赠您行业技术干货,也免您舟车劳顿。 微步在线 · 用户交流会 2019.09.06        上海 时间:2019.09.06      13:00 –

TrackStar没有Tracker那末多的功用,现在研讨人员只在TrackStar上发现了一个破绽,但这已足够了。此请求未搜检用户是不是已取得受权:

https://secure.eurowatchcentral.com/device_register.aspx?subscriber_rno=490xxx

‘Subscriber_rno’是一个增量编号,可以让你接见一切用户的登录名、电话号码并许可你删除与该装备关联的一切装备。

另外,你还能够增加本身的装备,该装备能够为你供应挪动运用程序的暗码(永久不会转变),并让你在一切的汽车上都能运用完全的手机运用程序。

然后,你能够增加和删除地舆围栏,定位汽车,及时跟踪用户等,就像Tracker一样。

以下是一辆本文作者的车的跟踪示例:

车辆跟踪体系LoJack的认证体系API存在破绽,能够被应用及时跟踪汽车

SmarTrack

与TrackStar一样,SmarTrack挪动运用程序没有那末多功用,但仍然能够供应车辆的跟踪和地舆围栏。

车辆跟踪体系LoJack的认证体系API存在破绽,能够被应用及时跟踪汽车

删除地舆围栏

这里有一个相似的不平安的直接对象援用,因而能够简朴地删除地舆围栏而且不会触发防盗破绽。

受权搜检不适用于此请求,因而地舆围栏电子邮件正告将被封闭。就算车被盗了,也不会发出警报。

实在,这也是一个HTTP请求。

能够的SQL注入

长途信息处理API端点服务器(https://svr.gtp03.com/1)上的一条途径好像托管了未正确处理的备份文件。就平安性而言,代码看起来有点低级,因为原始数据库请求没有经由过滤就被通报究竟层数据库。

虽然这多是对主站点的备份,然则我们置信攻击者能够绕过身份考证。因为我们不想未经许可就运用SQLi,因而该主意还未举行现实考证。

http://svr.gtp03.com/instant_immobilise/instant_immobilise_handler.php应当是一个呼唤中间,在警员或车主的请求下触发车辆制动。依据我们已看到的状况,应当能够经由历程装置此跟踪器来牢固每辆车。

为了证实这一点,我们发出敕令来牢固我们本身的车辆。

车辆跟踪体系LoJack的认证体系API存在破绽,能够被应用及时跟踪汽车

然后我们的车就不会被启动,触发防盗装配的历程不到1秒,处理此预警的唯一要领是物理卸载跟踪装备。详细历程,请看此视频。这很新鲜,为何这个功用会出如今大众服务器上呢?

依据研讨人员的推想,是LoJack和Tracker的API上涌现了破绽。

本文翻译自:https://www.pentestpartners.com/security-blog/lojackd-pwning-smart-vehicle-trackers/


申博|网络安全巴士站声明:该文看法仅代表作者自己,与本平台无关。版权所有丨如未注明 , 均为原创丨本网站采用BY-NC-SA协议进行授权
转载请注明车辆跟踪体系LoJack的认证体系API存在破绽,能够被应用及时跟踪汽车
喜欢 (0)
[]
分享 (0)
发表我的评论
取消评论
表情 贴图 加粗 删除线 居中 斜体 签到

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址