你是否记得« 坏USB »，这个可怕的安全漏洞允许任何 USB 密钥转变为恶意意图的载体？去年 8 月，安全研究实验室的安全研究人员 Karsten Nohl 和 Jakob Lell 发现了这一漏洞，并在拉斯维加斯 BlackHat 会议。它依赖于这样一个事实：大多数 USB 配件固件都可以重新编程以插入另一个代码。特别是，可以将 USB 密钥作为键盘传递并向计算机发送命令。或者甚至将智能手机转变为网络接口来拦截流量。
两位 SRLabs 专家选择不公开其演示的技术细节，因为他们认为这个缺陷非常难以纠正：一方面，目前流通的 USB 对象太多，另一方面，制造商缺乏会积极解决问题。
另外两名安全研究人员现在又进一步挑战了极限。上周，在一次会议上，Adam Caudill 和 Brandon Wilson 依次展示了 USB 配件如何被滥用。他们对 Phison 的 USB 控制器固件进行了逆向工程，Phison 是一家专门供应此类组件的台湾公司，无论是 USB 密钥、存储卡还是 SSD 硬盘。有问题的控制器称为 2251-03，将是“市场上最常用的”，塞隆·亚当·考迪尔。
两位朋友做了三个演示：对Phison固件的完全重新编程、在控制器上创建隐藏分区以及绕过USB密钥的密码。然后，他们立即在网站上发布了演示链接的代码吉图布，补充有维基百科解释如何使用它。对于他们来说，这份出版物将使用户意识到潜在的风险，帮助安全专家找到解决方案，并迫使制造商最终调查问题。因为从去年八月开始，“他们没有表现出尝试解决这些问题的意愿”，亚当·考迪尔 (Adam Caudill) 在博客文章。
显然，这在安全界引起了一定的情绪。是不是有点鲁莽了？我们应该担心一波USB攻击吗？研究人员认为，事实并非如此，因为他们的演示没有任何恶意：既没有注入恶意代码，也没有自动复制。此外，只有一小部分专家精英能够真正利用这些资源来适应它们，因为“为这些设备编写代码绝非易事。”总之，想做的、有能力的人，早就可以做到了。
来源 ：
这推介会亚当·考迪尔和布兰登·威尔森。
