😍 🔅 💽 शोषण के रूप में बारकोड। बारकोड में ASCII वर्ण स्कैनिंग सिस्टम पर हमले की अनुमति देते हैं ☢️ 👨🏾‍🤝‍👨🏻 👫

बारकोड बहुत व्यापक हैं, अब यह कल्पना करना मुश्किल है कि एक बार उनके बिना सामान वितरित किया गया था। और यह लोकप्रियता है जो हमलावरों का ध्यान इस प्रणाली की ओर आकर्षित करती है। जैसा कि सूचना सुरक्षा विशेषज्ञों ने दिखाया है , बारकोड, जब पाठकों सहित पूरी प्रणाली की बात आती है, काफी कमजोर हैं।

ज़ुआनव लैब के शोधकर्ताओं की एक टीम ने टोक्यो में पैनसेक 2015 सम्मेलन में बात की, जिसमें जहरीले बारकोड का उपयोग करके कई प्रकार के हमले दिखाए गए। शोधकर्ताओं ने कई प्रकार के स्कैनर के साथ काम किया, और उपयोग किए गए सभी सिस्टम कमजोर थे - विशेष रूप से उत्पन्न कोड की मदद से, स्कैनिंग सिस्टम को लगभग किसी भी कार्रवाई को करने के लिए मजबूर किया जा सकता है, जिसमें एक शेल लॉन्च करना और कई अन्य कमांड निष्पादित करना शामिल है। इस हमले को खुद बैडबर्कोड कहा जाता था।

Xuanwu Lab टीम ने यह भी दिखाया कि इस प्रकार का हमला काफी सरल है, और यह कहना बहुत मुश्किल है कि स्कैनर और स्कैनिंग सिस्टम के कौन से मॉडल को भेद्यता को बंद करने के लिए अपडेट की आवश्यकता होती है।

"हम नहीं जानते कि बुरे लोग क्या कर सकते हैं। BadBarcode सिस्टम को किसी भी कमांड को निष्पादित करने या यहां तक कि ट्रोजन स्थापित करने के लिए मजबूर कर सकता है, ”युवा यू कहते हैं, अध्ययन प्रतिभागियों में से एक। पिछले साल, यू और उनकी टीम ने Microsoft मिटेशन बायपास बाउंटी से $ 100,000 प्राप्त किए।

यू ने कहा कि हैकिंग स्कैनिंग सिस्टम संभव है क्योंकि अधिकांश बारकोड में न केवल संख्या और अक्षर होते हैं, बल्कि एएससीआईआई अक्षर भी होते हैं, जिसके आधार पर प्रोटोकॉल का उपयोग किया जाता है। ज्यादातर मामलों में, बारकोड स्कैनर एक कीबोर्ड एमुलेटर हैं। और अगर स्कैनर Code128 प्रोटोकॉल का समर्थन करता है, जहां ASCII वर्णों का उपयोग किया जाता है, तो एक हमलावर बारकोड बना सकता है जो स्कैनर के कंप्यूटर सिस्टम को ट्रोजन स्थापित करने के लिए तीसरे पक्ष के कार्यों को करने के लिए मजबूर करता है।

शोधकर्ताओं द्वारा संकलित बारकोड को ओपनफाइल, सेवफाइल, प्रिंटडायलॉग जैसी कंप्यूटर क्रियाओं के लिए प्रेरित किया गया। आप एक ब्राउज़र या अन्य प्रोग्राम भी लॉन्च कर सकते हैं।

"हमने कई तरह के हमले किए," वाई ने कहा। "प्रमुख सिद्धांत बारकोड में विशेष नियंत्रण वर्ण जोड़ना है, ताकि पाठक प्रणाली तीसरे पक्ष की कार्रवाई करेगी। BadBarcode की तरह एक शोषण बनाना आसान है। यह केवल संबंधित बारकोड उत्पन्न करने और कागज पर प्रिंट करने के लिए आवश्यक है, ”यू कहा।

हमारी बात के डेमो में से एक "बैडबर्कोड: पेपर के एक टुकड़े के साथ एक स्टारशिप कैसे हैक करें"। आप PacSec 2015 में देखें। pic.twitter.com/tu8XZjegHP
- यांग यू (@tombkeeper) 9 नवंबर, 2015

भेद्यता को ठीक करना इतना आसान नहीं है, क्योंकि हम कुछ स्कैनर के बारे में बात नहीं कर रहे हैं। भेद्यता पूरे बारकोड उद्योग को प्रभावित करती है। खोज के बाद "जहर बारकोड" विकसित करने वाली अनुसंधान टीम को यह भी पता नहीं था कि किस स्कैनर निर्माता से संपर्क करना है - वे सभी (और) कमजोर हैं।

यू के अनुसार, निर्माताओं को डिफ़ॉल्ट रूप से ASCII के साथ स्कैनर के काम को शामिल नहीं करना चाहिए। साथ ही, आपको उन सिस्टम के लिए "हॉट कीज़" को निष्क्रिय करना होगा जो बारकोड के साथ काम करते हैं।

शोषण के रूप में बारकोड। बारकोड में ASCII वर्ण स्कैनिंग सिस्टम पर हमले की अनुमति देते हैं

More articles: