共享单车的账号看起来也许不起眼，但黑客却能从背后找到用户的海量信息。
最近两天，WanaCrypt0r 2.0勒索软件的爆发震惊了全世界。截至5月13日，全球范围内的90多个国家和地区都在这一波攻击之中被波及。在国内，不少高校当中的计算机也出现了被攻击的情况。有声音甚至称，这是比当年"熊猫烧香"更为令人棘手的一次计算机病毒事件。
这次病毒爆发的主要原因很大程度上在于微软Windows系统中的漏洞。很多时候，安全意识不强的用户往往会忽视一些漏洞的存在，一旦他们没有针对这些系统漏洞采取及时的补救措施，黑客们自然很容易找上门来。
这正是知名安全团队"KEEN"的CEO王琦所不愿意见到的。在他的倡导下，自2014年起，KEEN团队发起并主办了世界黑客大赛GeekPwn，专注于破解科技产品。这是GeekPwn走过的第四个年头，王琦说，在过往的大赛中，参赛的团队已经发现并消除了许多本来有可能会发生的严重安全问题。
GeekPwn所关注的范围也随着科技潮流的走向而不断扩展。最开始的时候，它们更为关注手机、电脑；而在近年，它们开始将目光投到更多样的硬件产品上。在5月13日举行的2017年GeekPwn年中赛上，共享单车、智能家居、儿童手表、最新款的智能手机等前沿产品都成为了黑客们破解的对象。
在赛事中，黑客们通过一些简单的操作，就将人们眼中安全严谨的科技产品庖丁解牛般地破解。除了赞叹他们的高超技术之外，"不幸中枪"的企业们也需要好好地重新审视自身的产品安全设计水平。
四款共享单车账号被攻破
共享单车出现安全问题已不常见，但在此前，更常见的问题是用户因扫码不慎而泄露个人信息。不过在这次的GeekPwn赛事中，一名女程序员却用她的技术揭示了一些共享单车品牌的系统漏洞。在她的演示下，用户完全可以通过扣取其他账号的资金从而实现免费骑车。
在现场，毕业于浙江大学计算机系的tyy就演示了她所发现的多款共享单车系统的漏洞。被tyy选中的四个品牌分别是永安行、小鸣单车、百拜单车以及享骑单车。
通过在电脑上的一番操作后，tyy获取了主办方提供的四个分别来自上述品牌的账号信息，当中包括了行驶路径、账户余额等。
之后，她还通过远程连线的方式展示了如何用这些账号来开锁自行车，并完成骑行。
除了这四个品牌之外，tyy表示，她也曾经在其他共享单车中发现了类似的漏洞，其中还包括了摩拜这种市场占比较大的品牌。"但是它们反应比较快，早上我发现了漏洞之后，晚上就修复了，"她告诉界面新闻。
尽管共享单车账号被攻破，带来的经济损失相对较小，但tyy认为，这些漏洞带来的最大潜在危害在于用户隐私，比如通过长期的观察，用户的住处或者办公场所等信息会被泄露。
对此，评委们点评称，希望这些共享单车品牌的投资人可以好好关注一下这次GeekPwn大赛的结果，"这并不是一个门槛很高的bug，给了那么多钱，连一个App都做不好，说不过去。"
思科也中枪
即便是思科这样有着深厚技术积累的公司也难以完全防止漏洞。来自俄罗斯的George Nosenko就通过获取最高权限的方式破解了思科的交换机，并成功地修改了最高权限用户密码。
被攻击的后果在于，该名用户的网络行为全部都落入了Nosenko的监控之中，Nosenko还可以借此在用户的电脑中任意植入文件。
Nosenko表示，通过扫描后，他发现全球范围内共有超过25万台思科设备的安全隐患都暴露在互联网中，并有大约800万缺陷设备端口开放，这些缺陷端口背后可能有数以亿级的用户。
因此，这一漏洞一旦被别有用心的黑客抓住，全球骨干网络的安全都有可能受到影响。
王琦也表示，现在思科的漏洞已经很难被发现了；但是这次Nosenko发现了这样一个比较严重的漏洞，而且能够在短时间内破解，这有可能会引发严重的后果。
他希望，这次赛事结果的公开能够让思科这样的大品牌了解到漏洞所在，并且尽快进行修复。
不触碰就能打开智能门锁
来自百度安全实验室的两名研究员谢海阔以及黄正在这次赛事中将目光放到了智能门锁产品上。
随着技术的发展，智能家居产品在近年的应用也越加广泛，但安全问题始终是用户所关心的重点。这次，两位研究员用实际行动告诉大家，这些产品并没有想象的那么安全。
按照他们的介绍，这一破解过程是通过智能锁网关不严谨的默认设置完成的。在这一漏洞下，任何人只要来到锁的附近，就可获得智能锁网关设备的序列号。
之后，他们能够通过逆向分析破解通信协议的完整性校验算法及密码加解密算法，实现向云端服务器发送伪造的请求，最终获得密码。在他们的演示下，果加智能门锁在短短的几秒内就被自动解开。
黄正表示，这一漏洞不仅仅适用于果加一个品牌，其他品牌也存在着同样的问题。
他举例称，之前自己在刚发现这个漏洞的时候，曾经试着在自己所居住的小区中进行试验，走了一圈后，他发现自己几乎破解了所有邻居的智能门锁密码。可见这个漏洞的广泛性。
手机变身"僵尸"
在GeekPwn现场，腾讯玄武实验室的两名选手发现了一个智能手机上的漏洞，他们可以通过这一漏洞来远程控制手机，从而从其他手机上盗取信息。
这一漏洞主要是通过修改核心固件来完成的，用户在不知情的情况下一旦使用了被改动的应用，就有可能使得自己的手机被利用成为攻击源，实现传染式的自动传播。
在现场，两位选手就通过这种方式获得了另一部手机上的照片。他们称，以前的病毒都是通过网络连接的，但这次，最初的攻击源不需要依靠互联网。
选手之一的郭大兴表示，在一定情况下，有可能用户甚至不需要操作手机，也会被第三方控制；无论是安卓系统还是苹果系统，这一漏洞都同样适用。后续，他们也会将这一漏洞上报至相关厂商，来进行修复。
在人工智能的应用日渐广泛后，GeekPwn也开始关注起这一项技术的安全水平。在赛事中，王琦就表示，会在今年10月与上海和硅谷同步启动人工智能安全挑战赛，并设下了500万元的奖金池。
" 我们希望能够利用自己的技术，提前做一点事情，帮助人工智能更好地发展。"王琦说。
(责任编辑：安博涛)
