在世界上大部分地区解锁某个品牌的任意一辆车
来源：shubs.io — 2026-11-07
📋 概述
Shubham Shah 与 Sam Curry 今年 7 月审计了一家车企的网联车系统。从 APK 反编译开始，他们发现消费端几乎所有请求都打向同一个域名，而其下挂着一个暴露在公网的 admintool 子域；管理工具把整个 JS 包完整下发，接口用写死在包里的 API key 做「认证」，于是可以把车牌换成 VIN、再换成订阅者与账号邮箱，最终远程解锁任意车辆。
🔑 核心要点
- 攻击链起点不是硬件，而是面向公网的 Web 应用与基础设施。
- 管理工具的登录页在未登录时就渲染了退出按钮，整个 SPA 的 JS 包照发，等于把接口清单交出去。
- 车牌到 VIN 在澳大利亚本来就能通过州级登记查询拿到，问题出在 VIN 到车主账号这一段没有校验。
- 拿到订阅者 GUID 后，/v1/account 之类接口直接返回账号详情，含邮箱。
💡 金句
I love that most single-page applications ship their entire JavaScript bundle even when all they need to render is a login page.
👍 0
👎 0
← 返回 Hacker News 首页