Дайджест «Лаборатории Касперского» рассказывает о способе взлома сканеров штрих-кодов, который продемонстрировали китайские исследователи:

На этой неделе в Японии прошла конференция PanSec 2015, на которой исследователи из китайской компании Tencent показали интересный способ взлома сканеров штрих-кодов. С помощью, как вы уже наверное поняли, штрих-кодов. Специально модифицированные штрих-коды позволяли выполнять на системе с установленным сканером произвольные команды, примерно так: одним хитрым кодом открываем консоль, другими хитрыми кодами печатаем в нее команды. На видео заметно, что взлом такого рода — довольно трудоемкая задача. В штрих-код много данных не запишешь, поэтому исследователю приходится листать перед сканером пачку кодов, чтобы добиться результата. Если вдруг атаку такого рода получится упростить, то теоретически под удар будет поставлено много что. Например, сканеры штрих-кодов «узнай цену» в магазинах — вполне можно допустить, что они подключены к закрытой сети с массой интересной информации внутри.

Мораль сей басни такова: пользовательскому вводу нельзя доверять, никакому, даже если используются нестандартные способы. Сегодня мы говорим о сканере штрих-кодов, завтра возможно будем обсуждать сканеры отпечатков пальцев в мобильниках. Независимо от формата ввода, на выходе мы получаем код, и этот код вполне может быть исполняемым.

One of the demos of our talk "BadBarcode: How to hack a starship with a piece of paper". See you in PacSec 2015. pic.twitter.com/tu8XZjegHP

— Yang Yu (@tombkeeper) November 9, 2015