一 : 随便扫码原来这么危险，你知道吗？

条码这个古老的技术如今已成为物理世界和数字世界的接口。不管是随处可见的扫码器，还是人手一部的手机，扫一下码就在两个世界间穿越了。可能有人告诉过你随便扫码很危险，但到底有多危险？为什么危险？

昨天于旸在 GeekPwn 演讲中展示了它的危险性。如果你没有听说过于旸，也许对他另一个名字更熟悉——「TK 教主」——来自他用的 ID「Tombkeeper」，这是一个在安全行业如雷贯耳的名字。去年他加入腾讯，组建了玄武实验室，开展多项面向未来的安全技术研究。

他们研究条码后发现，利用一张印有条码的纸就能攻破一台计算机。

(于旸，腾讯玄武实验室负责人，他在 GeekPwn 大会上展示了条码的危险性。）

下面的内容在于旸演讲的基础上编辑而成。

条码：一种机器可读的数据表示形式

条码的历史非常长，早在上世纪 40 年代末就有人想到条码这个主意并开始实验。它的原理很简单：使用某种协议将信息编成图像，用条码阅读器或手机获取图像，将图像交给芯片，把图像解码转换成信息，最后传输到电脑。

它的应用无处不在：超市收银时扫描包装袋上的条码获取价格；医院扫描病历上的条码读取病人信息；商家扫描微信支付条码收款…… 

这些条码大多是一维码，另一种条码是随着微信普及而重获新生的二维码（它还有个名字叫 QR Code）。条码使用的协议非常多，有一种协议叫 Code 128, 这是一个非常有野心的协议，它支持全部 ASCII 字符。ASCII 是二进制对应的字符，现代计算机使用这套字符编写代码。它对于计算机编程而言相当于拉丁字母之于各种西方语言。总之，用它能编写代码控制计算机。

市面上的大部分条码阅读器都支持这种协议，这意味着黑客可以编写一段程序，转化成条码，通过条码阅读器传输到计算机上。

这些代码怎么才能管用？绝大多数情况下，条码阅读器通过 USB 接口接入计算机，对计算机而言这就是一个输入设备，计算机只捕捉它们发过来的信号，从哪儿发过来对电脑来说是一样，如果它发送通常由键盘发送过来的信号，计算机也会一样执行。

如果你将键盘种的热键，比如 CTRL+2, CTRL+O 等编成条码，通过条码扫描器输入计算机，便能直接控制计算机。Code 128 协议不支持 Win+R 这种热键，但最大的条码阅读器厂商 Symbol 公司还有一种特有的技术叫 ADF，它支持 Win+。这样控制的内容就更广了，能直接调出计算机的命令窗口。

以前的攻击方式

以前有过一个研究，将条码作为一笔输入源看待，能通过条码触发计算机内存的溢出，或触发格式化字符串，还能 SQL 注入等。

还有一种更简单的攻击方式，大部分应用场景下，条码种的数字都是按照序号排列的，比如你去商店买个东西，商家给你一个条码取货，你先获取条码种的数字，再在此基础上做改变，比如＋1，＋2…… 这样就能拿无限的东西。下一个在你后面买东西的人拿到的条码已经被你刷过。

对二维码来说还有一种常见的钓鱼攻击。

玄武实验室的研究：用条码做任何事

之前那些攻击方式都关注在应用程序对条码输入的数据没有很好处理，而不是条码或者条码阅读器本身。

如果回头去看对条码和条码阅读器的研究，会发现其实条码可以作为控制计算机的一种方式。玄武实验室将这种方式叫做 BadBarcode。

Demo 1: 对话框攻击

正常情况下条码输入的是数字或字母，但现在不输入这些内容，而是一个系统热键，比如 xx，这样扫描条码时就会把对话框调出来，如果这时候计算机使用的是触摸屏（比如很多银行终端机所使用的那种），你就能执行你想执行的事情了。

Demo 2: 纸片攻击

不是所有设备都有触摸屏，能不能只用条码完成所有交互？这时候便可以通过一连串条码的组合来实现。

Demo 3:全自动攻击

自己一个个扫描很累对不对？把黑客精神发挥到极致，能不能找到一种全自动的攻击方式？之前我们考虑是否写个手机 App，里面自动滚动代码扫描，但发现大部分扫码器无法读取手机屏幕。因为扫码器使用激光阅读，激光的原理是反射光，但液晶屏背光，所以得到了对比度很低，肉眼看到的东西对激光来说是黑的。

最终发现，答案是 Kindle。它的显示基于反射环境光，DPI 足够高，Kindle 可编程。是完美的 BadBarcode 工具。

事先编写好程序，将 Kindle 放在扫码器下面，就能自动控制计算机做一系列的事情。

安全建议

条码阅读器生产商：默认不开启类似 ADF 功能，默认不向主机传输 ASCII 控制字符；

使用者：尽量不要选用 PS/2 或 HID 键盘模拟条码阅读器；对使用 PS/2 或 HID 键盘模拟条码阅读器的设备，可通过禁用热键以阻止 BadBarcode 攻击。

（头图来自tattoosforyou.org；感谢极客公园李甘对本文提供的帮助。）

二 : 有谁知道深圳东方英文书院?我在网上看到东方书院,不知有谁了解这所

有谁知道深圳东方英文书院?

我在网上看到东方院,不知有谁了解这所学校?东方书院是不是很好的学校?

---

深圳东方书院创办于 1994 年，是一所集幼儿园、小学部、中学部和 IB 国际部及港台部于一体的全寄宿制民办学校，是深圳市创办最早、规模较大、社会声誉较好的民办名校之一，是中国民办教育名牌学校、全国先进民办学校、中央教科所实验学校、广东省教改先进学校、广东省一级学校、广东省绿色学校、宝安区学科教学特色项目学校。

书院位于深圳宝安教育城，深圳国际机场北面，依山面海，交通便利，广深高速公路、107国道、宝安大道及新修地铁一号线在此交汇。校园占地面积 15 万平方米，这里建筑独特，设施先进；这里环境优美，文化浓郁；这里名师荟萃，管理严格，是一个读书育人的好地方。

三 : 谁有一窝恶夫。。。。。。不知道现在完结了吗？是菊攻尽碎的文。。。

谁有一窝恶夫。。。。。。

不知道现在完结了吗？是菊攻尽碎的文。。。。。。

---

我估计过两天，新浪共享资源就能下了，你可以去看看！

四 : 有谁了解安付贷啊，在安全方面怎么样

有谁了解安付贷啊，在方面怎么样

---

判断一个平台是否安全，标准有很多，就不一一说了。我讲最重要的两点，产品和风控。当然，这两点也是相辅相成的。什么是好的理财产品，在合理范围内收益相对是高的，风险容易控制，这就是好的产品。我比较喜欢的是车辆质押标，金额小，变现快，风险低。安付贷就是专做车辆质押的，而且他们的质押车辆要先办好变现手续才能放款，就算逾期，项目的风险也很低。

安付贷官网 http://ｗｗｗ．ａｎｆｕｄａｉ．ｃｎ

五 : 有定州的吗，知道旭阳焦化吗，该单位效益怎么样，我同学要去签约，该?

有定州的吗，知道旭阳焦化吗，

有的吗，知道旭阳焦化吗，该单位效益怎么样，我同学要去签约，该单位福利待遇怎么样，

---

我是邢台的,我知道旭阳焦化,因为它的原公司总部，总厂区均在邢台市，位于邢台市区东4公里，是邢台市排名靠前的利税大户。单位福利待遇较好。

1、邢台旭阳焦化有限公司成立于1995年，位于河北省邢台市，是在国家工商行政管理局登记注册从事炼焦制气的有限责任公司。公司通过四年的卓越努力，赢得了非凡的业绩，现拥有总资产1.3亿元，员工468余人，其中中高级人才60余人，大中专员工占总公司总数的60%，公司年产冶金焦25万吨，焦油10000吨，粗苯4000吨，年外供应煤气5000万立方米。并于2002年初通过了ISO9000和ISO14000认证。

2、2003年10月10日，该公司与经营陷入困境的保定焦化厂达成协议，投资12亿元建设定州200万吨煤化工项目。

3、2005年3月10日，邢台民营企业旭阳焦化有限公司以7628万元的竞拍价，整体收购国有企业保定焦化厂。

4、2005年3月18日，旭阳焦化集团总部迁址北京并挂牌。

总的说，旭阳焦化是一个大有发展潜力，前景辉煌的民营企业。

祝你的同学好运！

本文标题：不知道怎么样-有谁了解这保险吗--随便扫码原来这么危险，你知道吗？
本文地址： http://www.61k.com/1071752.html