女程序員秒破4款共享單車(chē)App 余額押金安全嗎？

一名浙大女黑客，在一分鐘時(shí)間內(nèi)，就攻破了4款共享單車(chē)APP的漏洞。

近日，有媒體報(bào)道在極客大賽“GeekPwn”年中賽上，小鳴單車(chē)、永安行、享騎和百拜四款共享單車(chē)APP的漏洞被網(wǎng)名為“tyy”的女程序員輕松破解。利用應(yīng)用程序的漏洞，tyy直接獲取了用戶的個(gè)人資料，并現(xiàn)場(chǎng)遠(yuǎn)程連線，演示利用他人賬戶，實(shí)現(xiàn)開(kāi)鎖、騎行的過(guò)程。

針對(duì)APP漏洞被破解的情況，小鳴單車(chē)方面發(fā)表聲明稱，“小鳴單車(chē)注意到了GeekPwn關(guān)于共享單車(chē)安全漏洞的相關(guān)報(bào)道，并在第一時(shí)間與GeekPwn官方取得了聯(lián)系，于14日晚間獲得了漏洞的相關(guān)信息，目前相關(guān)漏洞已經(jīng)緊急修復(fù)完畢。感謝GeekPwn和白帽黑客tyy對(duì)共享單車(chē)系統(tǒng)安全作出的努力。 ”

享騎電單車(chē)方面也表示，“已經(jīng)收到大賽主辦方發(fā)送的關(guān)于程序漏洞的郵件，我們?cè)诩泳o修復(fù)了。”

tyy還透露，這四款A(yù)PP攻擊漏洞難度并不一樣。

據(jù)悉，2015年畢業(yè)于浙江大學(xué)計(jì)算機(jī)專業(yè)的tyy如今在上海做程序員，在大概一個(gè)月時(shí)間里，她嘗試攻擊了十幾款A(yù)PP，最終她發(fā)現(xiàn)其中7款有問(wèn)題，但因?yàn)樽隽颂鄿y(cè)試，除了上述4款A(yù)PP，其余三款她已經(jīng)忘記。

tyy回憶，她最早看出問(wèn)題的是摩拜單車(chē)，但摩拜修復(fù)得很快，在當(dāng)天晚上就修復(fù)了，她再試驗(yàn)時(shí)，摩拜的漏洞已經(jīng)修好。

記者了解到，這中間的關(guān)鍵在于被攻擊的手機(jī)連到了被tyy控制的WiFi上，她可以監(jiān)控該網(wǎng)絡(luò)上所有的數(shù)據(jù)流。如果共享單車(chē)APP傳遞的信息沒(méi)有加密或者加密信息被破解，信息就會(huì)暴露。

不是跟其他黑客在同一個(gè)WiFi就會(huì)被監(jiān)控，必須是這個(gè)WiFi已經(jīng)被黑客黑掉，是可以被監(jiān)控的。平時(shí)正常的比如聯(lián)通、移動(dòng)的信號(hào)是不會(huì)有這樣的情況發(fā)生的，但是如果周?chē)屑倩镜那闆r下，數(shù)據(jù)也有可能被監(jiān)控，但這種可能性很小。黑客造假基站更多地是想去黑支付寶、微信的信息，共享單車(chē)賬戶畢竟也沒(méi)幾個(gè)錢(qián)。

用戶充到共享單車(chē)賬戶內(nèi)的余額及押金，黑客并不能轉(zhuǎn)走，退錢(qián)也只能退回原來(lái)的銀行卡賬戶。但是黑客可以通過(guò)消費(fèi)行為，也就是盜刷別人的賬戶，來(lái)花掉別人賬戶里充值的余額，比如利用他人賬戶，實(shí)現(xiàn)開(kāi)鎖、騎行的過(guò)程。

其實(shí)不單是共享單車(chē)，所有的APP都有漏洞被破解的風(fēng)險(xiǎn)，主要就是看用戶的使用習(xí)慣，不知名的WiFi就不要連很多不專業(yè)的APP在設(shè)計(jì)過(guò)程中，對(duì)信息安全考慮不周，就有可能沒(méi)有對(duì)信息進(jìn)行加密，導(dǎo)致用戶信息泄露。但比如支付寶因?yàn)闋可娴降谌街Ц?，一定程度上跟銀行一樣，安全性很重要，所有信息都是加密的，信息安全性很高。

為了避免這樣的情況，APP在通訊上要做一些加密，太簡(jiǎn)單的加密也容易被破解，一定是要有一定獨(dú)到之處的加密，基本上就解決了這個(gè)問(wèn)題。

最后，3DM提醒用戶：不明來(lái)路的WiFi千萬(wàn)不要連。