只知道车牌号就能解锁任意一辆车：一条六步攻击链
来源：shubs.io — 2026-11-07
📋 概述
作者与 Sam Curry 一起审计某车厂的联网车平台，全程从 Web 侧而非硬件侧切入——因为无论车上装了什么，最终都要连回一个必须对公网可达的服务。起点是把 App 的 APK 反编译，发现几乎所有请求都打向 Telematics 域。顺着这个域找周边资产，他们发现 admin 工具、staging、dev、QA 环境都在公网；又从某个 JS vendor bundle 里翻出 OpenIDM 管理员凭据，利用路径穿越绕过 WAF，直接改任意用户密码，再用 Resource Owner Password Credentials 流程跳过 MFA，最终 mint 出任意用户的 App token。
🔑 核心要点
- 完整链条是：车牌 → VIN → Subscriber GUID → JS bundle 里的 OpenIDM 管理员凭据 → 路径穿越绕过 WAF → ROPC 跳过 MFA → 铸造 App token → 远程指令 API。
- 他们能做到「知道车牌号即可对澳大利亚境内两个品牌的任意车辆下发指令」，包括解锁车门与远程启动发动机。
- MFA 不是被绕过的花样技巧击败，而是环境里那个 ROPC grant 允许仅凭密码换取 id_token，再一路换成会话与 App token。
- 美加欧环境加固程度高得多，Sam Curry 在另一篇里给出了更复杂的链；两篇合起来覆盖了澳、美、加三地任意车辆。
- 作者的观点值得记：车联网的攻击面不在车上，而在那些「按设计必须公网可达」的配套服务。
💡 金句
只要知道车牌号，我们就能对这家车厂在澳大利亚两个品牌下的任意一辆车下发指令。
👍 0
👎 0
← 返回 Lobsters 首页