大洋网讯 被黑客攻克的自动售货机，不用花钱也会出可乐；安卓系统安装的手机网银转账，黑客能在你毫无察觉的情况下转给第三人……8月31日，被誉为黑客奥运会的首届“XPwn未来安全探索盛会”在京举办，10组顶级黑客现场放大招，成功破解了索尼、小米、自动售货机、手机网银等多个智能硬件、软件方面的漏洞。所幸的是，根据赛制要求，技术人员第一时间将破解路径和解决方案提供给了相应厂商。
惊讶1：不给钱自动售货机“自动出货”
近年来，自动售货机越来越普及，地铁里，公交站台上，几乎遍地都是，既节省了人力，也方便了顾客。但是少有人知的是，自动售货机存在重大的安全漏洞。
广报记者在现场看见，黑客用手机微信扫描自动售货机二维码，在不支付的前提下，通过电脑读取支付信息、现场写代码的形式，对放置在现场的自动售货机进行测试。结果发现，自动售货机在硬件端、设备APP端、服务端均存在大量的漏洞，利用这些漏洞，最终可以实现少花钱，甚至不花钱购买商品。
惊讶2：手机银行转账会转给第三方
手机银行存在的漏洞也让人担忧。一参赛队伍现场介绍说，通过对国内20家银行提供给消费者的、基于安卓系统的20个手机银行APP进行攻击，发现17家银行的APP存在漏洞，消费者的手机一旦被黑，无论转账给“张三”还是“李四”，在输入正确账号与密码的情况下，钱最终都会转给“王五”。
除此之外，现场黑客还发现了小米智能硬件能被远程控制、索尼笔记本口令保护不力的问题。索尼笔记本的安全机制是开机之后有口令保护，口令不正确则无法进入系统，也无法更改BIOS的设置。但连续输入错误三次之后，会弹出一个onetime password输入框，输入正确则能进入。
参赛黑客通过反汇编和调试BIOS的固件，推测出onetime password的生成机制，发现存在漏洞：公钥太短，只有64bit，很容易被穷举，算出密码。选手建议，利用RSA的加密机制公钥长度至少为2048bit，最好为4096bit。
幸好：漏洞会提交厂商进行修补处理
互联网的发展让人们的生活更便利，但大会上多个智能设备的漏洞被陆续曝光，让人慨叹智能设备安全的重要性也愈来愈大。
不过让人心安的是，根据比赛要求，上述被黑客们发现的漏洞会第一时间提交给相应的厂商以进行修补处理。据主办方介绍，XPwn更关注的不是发现隐患，而是消除隐患。（广报记者 刘幸）
