http://mp.weixin.qq.com/s?__biz=MzA5NDYyNDI0MA==&mid=401135591&idx=1&sn=d5d91c097c71d93952c59d27e1f3d786&scene=23&srcid=1202ilNjAP1HBBlbOYARTOwB#rd
2015-12-02 Admin 腾讯玄武实验室

2015 年 11 月 12 日，腾迅玄武实验室在日本东京举行的 PacSec 安全会议上发布了“BadBarcode”研究，引起国际安全界广泛关注。主要国际安全媒体几乎都做了报道，卡巴斯基公司的创始人 Eugene Kaspersky、著名安全专家 Charlie Miller 等在 Twitter 上转发了相关消息，VICE、SC Magazine、Softpedia 等非安全媒体也进行了采访，甚至印度新德里电视台、德国 heise.de 等各国地方性媒体也进行了报道。

那么“BadBarcode”到底是什么问题？简单地说：扫描条码，就可以导致系统被入侵。

由于绝大多数条码阅读设备都支持模拟键盘的工作方式，而使用条码阅读设备的应用系统生产商，为了兼容性或降低开发成本，往往也倾向于让条码阅读设备工作在模拟键盘的方式下。所以，通过构造特殊的条码，就可以让条码阅读设备像真正的键盘一样，向系统发送任何按键，而不仅仅只是字母和数字，从而在系统上执行任意命令。

条码阅读设备广泛应用于机场、超市、生产、物流、仓储等各种场合，而条码阅读设备所连接的系统通常都在边界防火墙内，能直接访问内部数据库，所以这是一个非常直接的攻击入口。

在类似电子登机牌这样的应用场景下，手机、智能手表等从云端取回数据以二维码方式显示在屏幕上，然后被条码阅读设备读取。攻击者可以通过入侵云端或移动终端等多种方式控制用户扫描的二维码，最终实现攻击。在下面的演示视频中，用一张“Xuanwu Airline”的电子登机牌，实现了在系统上下载并执行程序：

在最初发布 BadBarcode 的研究时，为了说明即使古老的一维条码阅读设备也存在这种潜藏了二十年的安全隐患，就以一维条码作为例子进行了演示。所以很多朋友认为只有一维条码阅读设备才受影响。还有人以为 BadBarcode 必须要攻击者靠近条码阅读设备才能发起，无法进行远程攻击。事实上都并非如此。上面展示的攻击使用的就是二维码，而这种攻击可从地球上任何一个角落发起。

对众多不能读取手机屏幕的扫描式条码阅读器，也并非必须靠近阅读器扫描条码才能发起攻击。通过腾迅玄武实验室成员 TK 和 Hyperchem 的努力，已经可以实现通过发射携带攻击信息的激光束，让条码阅读器在系统上执行任意命令——是的，你可以在一公里外用激光入侵系统：

BadBarcode 是一个隐藏了二十年的安全隐患，所有支持键盘模拟的条码阅读器都可能被用来发起攻击，而不只是某个产品或某个厂商的问题。希望相关厂商能重视这个问题。条码阅读器生产商可以通过在设备中默认不传输特殊字符的方式避免该问题。使用条码阅读器的系统生产商，也可以通过屏蔽系统热键，取消软件热键来缓解该问题。腾讯玄武实验室愿意和大家合作，一起探索解决之道。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)