黑客在Def Con中发现了23个IOT设备的新漏洞

智能门锁，挂锁，恒温器，冰箱，轮椅和甚至太阳能电池板阵列是在8月份在DEF Con安全会议持有的IOT村内跌至黑客的物联网设备之一。

会议结束后一个月，结果如下：47在物联网安全谈判，研讨会和现场黑客竞赛期间披露了21个制造商影响23个制造商的新漏洞。

发现的漏洞类型范围从糟糕的设计决策等于使用纯文本和硬编码密码来编码缓冲区溢出和命令注入等缺陷。

从Quicklock，iblulock，Plantraco，CeoMate，Elecycle，Vians，Lagute，Okidokeys，DanaLock等供应商的门锁和挂锁被发现是容易受到密码嗅探和重放攻击的影响，其中稍后可以重播捕获的命令以打开锁。

来自未知供应商的轮椅具有漏洞，可以利用禁用安全功能并控制设备。TRANE的恒温器使用了薄弱的纯文本协议，可能允许攻击者通过操纵恒温器功能来引起过度加热，炉膛故障或冷冻水管。

在来自Tigro能量的太阳能阵列管理装置中发现了几种安全问题，包括硬编码密码，命令注入漏洞，开放接入点连接和缺乏网络分段。

通过利用这些缺陷“我可以关闭相当于中小型发电设施，或者我可以使用该设备作为一个特洛伊木马在目标网络中的特洛伊木马，”弗雷德布雷特 - Mounet，研究员谁找到了问题，在他们的描述中写道。“它看起来很可能会使用此设备远程物理损坏太阳能阵列。”

另一名研究人员发现，他可以将客人从名为8月的供应商转换为智能锁进入不可撤销的管理员访问权限。在长期管理员访问中也可以转入短期访问权限。

研究人员说：“如果您购买了已用过的ASL-01锁，以前所有者的任何前任所有者或以前所有者都可以访问您的房屋，”研究人员表示。“如果你在eBay上买了一把锁，请说前所有者知道你住在哪里。”

家庭网络设备并未排除在外。Belkin F9K1122无线范围扩展器中发现缓冲区溢出和跨站点请求伪造缺陷，并在Zyxel NBG6716无线路由器中找到缓冲区溢出。可以利用缺陷来控制本地网络。

这是IoT村在Def Con举行的第二年，而且该活动迄今为止，在消费者和商业物联网产品中发现了113个关键漏洞。它的成功表明，这种技术段中的许多设备制造商继续忽视安全最佳实践。

尽管有一些努力起草IOT供应商的安全指南和标准，但急于将新的“智能”设备带入市场，遗憾的是，其中许多人都会有临界缺陷。