جزئیات فنی هک میلیون‌ها خودروی KIA 🔥

تیم سم کری (Sam Curry) نشون داد که چطوری یه اشتباه توی طراحی API می‌تونه فاجعه بسازه. اینجا بحث هک کردن خودِ ماشین نبود، بحث دور زدن پورتال مدیریت کیا بود.

فلوچارت دقیق حمله:

1️⃣ دور زدن ثبت‌نام (HTTP Request Tampering): اونا دیدن که پورتال نمایندگی‌های کیا (kiadlp.com) موقع ثبت‌نام، چک نمی‌کنه که آیا ایمیل شما واقعاً متعلق به یه نماینده‌ست یا نه. با تغییر دادن پارامترها در ریکوئست ثبت‌نام، تونستن یه Token سطح بالا (مخصوص تعمیرکارها) بگیرن.

2️⃣ نقطه ضعف در API (IDOR): این هکرها به یه پکیج از APIها رسیدن که وظیفه‌اش وصل کردن اپلیکیشن موبایل به ماشین بود.

اونا فهمیدن با داشتن VIN (شماره شناسایی خودرو)، می‌تونن دستور get_owner رو صدا بزنن.

خروجی این API چی بود؟ ایمیل و شماره تماس صاحب ماشین!

3️⃣ تزریق ایمیل هکر به ماشین: حالا که ایمیل صاحب رو داشتن، از یه متد دیگه به اسم add_command استفاده کردن. اونا یه درخواست فرستادن که: "این ایمیل (ایمیل هکر) رو به عنوان دسترسی ثانویه به این ماشین (با این VIN) اضافه کن."

نکته حساس: سیستم هیچ تاییدیه یا OTP برای صاحب اصلی ماشین نفرستاد!

4️⃣ اجرای فرمان در ۴۰ ثانیه: تیم یه اپلیکیشن ساده نوشتن که کل این پروسه (پیدا کردن ایمیل صاحب -> اضافه کردن هکر -> ارسال دستور باز شدن در) رو در کمتر از ۴۰ ثانیه انجام می‌داد. یعنی فقط با داشتن پلاک، ماشین زیر پای طرف باز می‌شد!

⚠️ باگ‌های کلیدی که باعث این فاجعه شد:

عدم احراز هویت درست (Broken Authentication): پورتال نمایندگی به هر کسی اجازه ورود داد.

افشای اطلاعات حساس: API نباید ایمیل صاحب ماشین رو به بقیه برمی‌گردوند.

نبود کنترل دسترسی (BOLA/IDOR): هر کسی می‌تونست برای هر ماشینی دستور "اضافه کردن کاربر" بفرسته.

لینک مقاله : Hacking Kia