渗透测试人员最近在商业邮轮以及油井设备中发现了一大推的安全隐患与漏洞——其中之一甚至能让他们获得整个油井的控制权。

PenTest Partners （PTP）正如其名字一样，不仅是一家信息安全咨询公司，同时也有着优秀的渗透测试能力。他们认为，总体而言，没几家和海洋打交道的公司意识到在海上也需要网络安全。PTP去年最大的成果，是他们的研究者发现自己可以完全控制一个深海油井设施：关闭引擎、启动助力器、改变舵的方向、扰乱导航、中断甚至关闭系统——能想到的都能做到。

公司的安全专家NigelHearne表示，许多海洋方面的科技公司有“多变”的安全理解。

在过去数年中，Hearne和他的同事对各方面的设施进行了测试：从深水探测和油井，到全新的游轮，到针对巴拿马运河的大型船只等等。然而，对这些设施的总体评价，基本上可以用“惨烈”概括。研究人员们的发现还包括在无Wi-Fi区域隐藏的Wi-Fi接入点（仅仅是为了看视频），船员特意对轮船的工程控制系统和人机交互系统进行桥接。

为什么海员会做这些在安全人员看来如此愚蠢的事情呢？PTP的另一面安全专家Munro表示：“总有些人想从轮船的其他地点操作系统，这样可以少走很多路——毕竟，轮船很大嘛！”比如，巴拿马型船是能通过巴拿马运河的最大船只，从船首到船尾有294米。如果一个船员要从助推器到主机械控制室走一个来回，可能要花大量的时间；而桥接一个远程控制入口就简单多了。

而对于Wi-Fi滥用的问题，Munro认为还有以下解释：“海员的卫星数据流量被用完了，所以他们就在船只的商业网络上架设了Wi-Fi接入点——那样就没有流量限制了！”

PTP还发现了老调重弹的安全问题——默认密码设置以及弱密码设置，还有直接把写着密码的纸条贴在PC上的行为。

Hearne直接表示：“最让我吃惊的是有大量的系统依然在用默认凭证运行——比如admin/admin，甚至直接空白。这其中还有面向公网的系统。”Hearne还列举了一些使用默认密码的系统——其中包括了CCTV系统。

渗透测试人员还发现了一些直接把密码明文写在代码中的“硬编码”。这些“硬编码”存在于轮船的多个关键系统中，包括轮船的卫星通信系统——这就能让任何船上的人可以登录卫星网络进行蹭网行为，甚至还能切断网络。

声明：本文来自数世咨询，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。