写点什么

安全专家利用 SQL 注入攻击机场安检漏洞

作者:Renato Losio

  • 2024-10-12
    北京
  • 本文字数:1644 字

    阅读完需:约 5 分钟

安全专家利用 SQL 注入攻击机场安检漏洞

在“通过 SQL 注入绕过机场安检”一文中,两名安全研究人员最近展示了他们如何对一项服务执行简单的 SQL 注入攻击,使飞行员和空乘人员能够绕过机场的安检。据研究人员称,这一漏洞能允许他们创建虚拟用户,使他们能够跳过安检,并有可能进入商用客机的驾驶舱。


安全研究人员 Ian Carroll(Seats.aero 的创始人)和 Sam Curry(黑客兼漏洞赏金猎人)在 FlyCASS 中发现了一个漏洞,FlyCASS 是一种第三方基于 Web 的服务,


一些航空公司使用它来管理已知机组人员(Known Crewmember,KCM)计划和驾驶舱访问安全系统(Cockpit Access Security System,CASS)。


KCM 是美国运输安全管理局(Transportation Security Administration,TSA)的一项倡议,允许飞行员和空乘人员绕过安检,而 CASS 则允许飞行员在飞行时使用驾驶舱内的逃生座椅。Carroll 解释说:


就业状况检查是这些流程中最关键的组成部分。如果某人目前不在航空公司工作,那么他们就没有接受过背景调查,就不应该被允许绕过安检或进入驾驶舱。


研究人员在调查管理授权系统的供应商时,发现了 FlyCASS,这是一个为小型航空公司设计的平台,提供基于 Web 界面的网站。Carroll 写道:


有趣的是,我们注意到每家航空公司都有自己的登录页面,例如国际航空运输公司(8C)的登录页面可以在 /ati 上找到。由于只暴露了一个登录页面,我们认为我们已经走到了死胡同。不过,为了确保万无一失,我们在用户名中尝试输入一个单引号作为 SQL 注入测试,并立即收到了 MySQL 错误。


由于用户名被直接插入到了登录 SQL 查询中,研究人员能够以管理员身份登录 FlyCASS。由于 FlyCASS 同时管理其参与的航空公司的 KCM 和 CASS 系统,因此他们可以访问和管理与这些航空公司相关的飞行员和空乘人员名单。此外,他们发现,无需进一步的检查或身份验证即可为航空公司添加新员工。Carroll 写道:


作为航空公司的管理员,我们可以将任何人添加为 KCM 和 CASS 的授权用户。



来源:Carroll 的博客


SQL 注入(SQL Injection)是一种常见的安全漏洞,当攻击者提供的数据作为 SQL 代码执行时,就会引发这种漏洞。在一个很受欢迎的 Reddit 帖子 中,大多数用户讨论后认为这种攻击不太可能发生在现代 Web 应用程序上,其中一位用户 martijnonreddit 写道:


在 2024 年,在如此关键的系统中,会出现可见的基于错误的 SQL 注入?这简直骇人听闻。这值得更多关注。


在 另一个帖子 中,用户 k-mcm 补充道:


在过去的 20 年里,SQL 注入在任何事情上都是有效的,这一事实简直荒谬至极… 你必须竭尽全力才能把这件事搞砸。


Carroll 的文章中有很大一部分是专门讨论披露的挑战的,包括安全研究人员在确定适当的联系点时所面临的困难以及国土安全部(Department of Homeland Security)的反应:


我们在 4 月 23 日向国土安全部披露了这个问题,国土安全部承认了这一问题,并确认他们会“非常认真地对待这个问题”。FlyCASS 随后在 KCM/CASS 中被禁用,后来似乎已经解决了这一问题(…)在问题得到解决后,我们试图协调该问题的安全披露。不幸的是,国土安全部没有与我们合作,而是停止了对我们的回应,美国运输安全管理局(TSA)新闻办公室就这一漏洞发表了危险的错误声明,否认了我们所发现的漏洞。


虽然研究人员声称“美国运输安全管理局(TSA)试图掩盖我们的发现”,但美国运输安全局强调,他们的系统并不完全依赖于这个数据库来验证机组人员的身份。在研究人员的报告发布后,软件工程师兼安全研究员 Alesandro Ortiz 报告称,FlyCASS 似乎在 2 月份遭受了 MedusaLocker 勒索软件攻击,分析结果揭示了加密文件和勒索信。

作者介绍


Rafal Gancarz 是一位经验丰富的技术领导者和专家。他目前正在帮助星巴克打造具有可扩展性、弹性和成本效益的商务平台。此前,Rafal 曾为思科、埃森哲、凯德、ICE、Callsign 等公司设计和构建大规模、分布式和基于云的系统。他的兴趣涵盖了架构与设计、持续交付、可观测性和可操作性,以及软件交付的社会技术和组织方面。


原文链接:

https://www.infoq.com/news/2024/09/sql-injection-airport-security/

2024-10-12 08:0613297

评论

发布
暂无评论
发现更多内容

淘宝天猫数据API接口秘籍:快速获取商品详情与关键词搜索商品

代码忍者

淘宝API接口

AI智能体应用的开发环境

北京木奇移动技术有限公司

AI开发 AI智能体 软件外包公司

发挥数据在财务规划转型过程中的关键作用

智达方通

企业管理 全面预算管理 财务预测

当AI邂逅日志海:从骨感现实到无限可能

权说安全

AI 网络安全

百度网盘防雪崩架构实践

百度Geek说

百度 后端 架构-

KubeEdge 1.20.0发布! 6大新特性提升边缘管理能力

华为云开发者联盟

容器 云原生 k8s 边缘计算 kubeedge

国内加大政策推动,多层级标准建立产业规范

芯盾时代

数据安全 零信任 信息安全建设

延长LED显示屏使用寿命指南

Dylan

商业 广告 LED LED display LED显示屏

人工智能丨DeepSeek风靡一时:一篇文章带你全面了解这款AI工具的强大之处

测试人

DeepSeek

告别传统仿真!深度求索大模型正在重新定义工业设计未来

思茂信息

AI 仿真 DeepSeek

YashanDB金融特性数据库根原创实验室成立

极客天地

AI 智能体(AI Agent)的开发

北京木奇移动技术有限公司

AI开发 AI智能体 软件外包公司

新闻速递丨2025 年度 Altair Enlighten Award 作品征集正式启动

Altair RapidMiner

altair 轻量化大赛 轻量化设计 轻量化技术 Enlighten Award

一文带你了解清楚供应链管理!

积木链小链

数字化转型 数字化 制造业 供应链管理

Elasticsearch AI Assistant 集成 DeepSeek,1分钟搭建智能运维助手

阿里云大数据AI技术

elasticsearch 可视化 nlp AI搜索 DeepSeek

AI 智能体(AI Agent)的开发框架

北京木奇移动技术有限公司

AI开发 AI智能体 软件外包公司

昆仑万维开源中国首个面向AI短剧创作的视频生成模型SkyReels-V1,重塑AI短剧行业格局

新消费日报

行云管家加入信创生态联盟“金兰组织”, 携手共建信创产业新生态

行云管家

信创 信创国产化

AI 智能体的开发技术

北京木奇移动技术有限公司

AI开发 AI智能体 软件外包公司

上海交大师生畅用满血DeepSeek!昇腾加速中国自主创新大模型

极客天地

【FAQ】HarmonyOS SDK 闭源开放能力 —Scan Kit(2)

HarmonyOS SDK

harmoyos

Go 语言互斥锁

FunTester

安全专家利用 SQL 注入攻击机场安检漏洞_数据库_InfoQ精选文章