你以為USB真的安全？大錯特錯！

　　在正式開談USB安全之前，還是照例來分享一個很有意思的案例：2014年年末，來自Reddit的報道，某大公司高管電腦感染了惡意程序。公司的安全研究人員就調(diào)查惡意程序來源，但檢查了所有傳統(tǒng)可能的感染途經(jīng)都一無所獲。于是他們開始考慮其他突破口，從這位高管的飲食起居入手，翻來覆去地查，最后發(fā)現(xiàn)問題居然出在高管的電子煙身上。

　　“這是一款中國造的電子煙，充電裝置部分包含了硬件編碼的惡意程序。”而這款電子煙是通過USB口充電的，這名高管為了充電，順手會將其插入到公司的電腦上，于是電腦就感染了惡意程序。

　　在這一例中，如果惡意程序做得更加隱秘，那么整個攻擊過程甚至可以達(dá)到神不知鬼不覺。這其中的傳播核心，就是我們要談的“USB安全”。

　　USB安全？這是什么意思？

　　我們擅自提“USB安全”這個詞匯，其實是不準(zhǔn)確的。因為USB本質(zhì)上只是一種通用串行總線——總線有很多啊，SATA總線、PCIe總線等等，這有什么樣的安全話題可談呢？可能USB充其量可作為惡意程序傳播的途經(jīng)。我們說“USB安全”，和說“網(wǎng)線安全”是不是感覺差不多荒謬？

　　不過大概是因為USB作為替代古代各種接口的明星級統(tǒng)一標(biāo)準(zhǔn)，而且USB又不像Thunderbolt之類的接口一樣需要高昂的授權(quán)費用，當(dāng)代世界的海量設(shè)備采用USB接口也是種必然。有趣的是，我們經(jīng)常將采用USB接口的設(shè)備稱作USB設(shè)備（卻沒有人將PC內(nèi)置的硬盤稱作SATA設(shè)備或者PCIe設(shè)備），這也是我們這里談USB安全的基礎(chǔ)。

　　由于USB當(dāng)代的使用如此廣泛，所以USB設(shè)備也就成為了惡意程序傳播的重要載體。但如果只說USB設(shè)備作為惡意程序的傳播途徑，那么任何接口實際上也都存在這種傳播的可行性。比如說U盤能夠傳播病毒，Thunderbolt移動硬盤也行，連光盤都可以。

　　總的說來，我們要談所謂的USB安全，并不是USB在數(shù)據(jù)傳輸過程中存在安全問題，或者某類USB接口規(guī)格（如Type-C）某個針腳存在設(shè)計缺陷，而是USB接口或總線作為惡意程序的一個重要途經(jīng)，存在安全問題，以及USB協(xié)議、驅(qū)動存在的安全問題。

　　因此針對USB安全，有3點可談。

　　其一，USB是個具有相當(dāng)普遍性的標(biāo)準(zhǔn)，鼠標(biāo)、鍵盤、電子煙、外置聲卡都用USB接口，且即插即用。所以在物理接口中，它對惡意程序的傳播大概是除了網(wǎng)絡(luò)適配器接口之外，效率最高的。

　　其二，USB協(xié)議可被攻擊者利用，這也將是本文要談到的重點。

　　其三，最高級的USB 0day漏洞攻擊。

　　autorun.inf時代！U盤病毒？

　　在網(wǎng)絡(luò)還不像現(xiàn)在這么盛行的年代，可移動存儲設(shè)備是傳播病毒的重要方式。就是將惡意程序放在U盤，或者移動硬盤，甚至軟盤中——在不同的PC交換數(shù)據(jù)的過程中，就可以達(dá)到傳播病毒的作用。再高明的惡意程序也需要人類去打開才能運行，巧在像Windows這類操作系統(tǒng)，為了加強使用體驗，系統(tǒng)中有個針對移動存儲介質(zhì)的AutoPlay/AutoRun自動播放功能。

　　原本自動播放的功能是，針對CD/DVD多媒體光盤可實現(xiàn)插入即播放，而針對Windows安裝介質(zhì)，插入就能立即彈出安裝程序。絕大部分同學(xué)應(yīng)該都知道移動存儲介質(zhì)的根目錄下的autorun.inf文件就負(fù)責(zé)自動播放功能，打開形如以下樣式：

　　相較光盤，U盤的可讀寫方便性明顯更勝一籌，如果這里的setup.exe是個病毒，那么設(shè)備插入U盤，系統(tǒng)就會自動運行該病毒。所以病毒通過autorun.inf文件實現(xiàn)U盤插入即啟動惡意程序的功能，實在是太方便了。同事間交換數(shù)據(jù)，大家的電腦都插一遍帶毒U盤，自然就都感染上了。已經(jīng)被感染的設(shè)備，再感染插入設(shè)備的新U盤，以此達(dá)到擴散的目的。

　　這是U盤傳播惡意程序的常規(guī)手法，也因此有些人將autorun.inf稱作“U盤病毒”，雖然這東西其實是很無辜的。實際上，要杜絕這種方式的病毒傳播也并不困難，一方面是在系統(tǒng)中禁用移動存儲介質(zhì)的自動播放或自動啟動功能，另一方面也可以禁止程序在U盤中創(chuàng)建autorun.inf文件，達(dá)到U盤不會傳播病毒的目的。

　　可以說，autorun.inf是過去在民間最廣為流傳的U盤病毒傳播方式。很多U盤病毒查殺工具都主要針對autorun.inf進(jìn)行圍剿。尤其從Windows XP SP2開始，系統(tǒng)針對“USB大容量存儲設(shè)備”和ZIP驅(qū)動器，自動播放功能是默認(rèn)開啟的。微軟眼見形勢不妙，從Windows Vista和Windows Server 2008開始，針對插入U盤的的系統(tǒng)默認(rèn)行為，已改為詢問用戶是否執(zhí)行自動運行指令?，F(xiàn)如今autorun.inf的時代幾乎已經(jīng)過去。

　　用U盤來釣魚會不會成功？

　　如前文所述，其實上面談到的U盤安全問題并不是USB設(shè)備的專屬，任何移動存儲設(shè)備（甚至連內(nèi)置硬盤）都存在這樣的問題。所以嚴(yán)格意義上，這種安全問題根本就怪不到USB頭上，如果一定要怪，就如前文所述，只是因為USB實在是太普遍了。

　　前不久剛剛結(jié)束的Black Hat USA 2016黑客大會上，谷歌反欺詐研究團隊負(fù)責(zé)人Elie Bursztein分享了一個議題，名為“Does dropping USB drives really work？”（丟U盤進(jìn)行社工攻擊真的有效嗎？）他嘗試在伊利諾伊大學(xué)校園里各處丟棄297個U盤，看看有沒有好奇心重的人會撿回去看U盤里究竟有什么。如果說Bursztein丟的是297塊SATA3硬盤（Lol），攻擊方式理論上是一樣的，但攻擊效果有多么糟糕是可想而知的?？梢奤SB的普及性，是我們在此討論其安全性的依據(jù)。

　　美國計算機行業(yè)協(xié)會去年曾經(jīng)發(fā)起過一項調(diào)查，結(jié)果顯示17%的人在撿到USB設(shè)備后會直接連電腦——這個數(shù)據(jù)可能還過于保守。Bursztein的調(diào)查結(jié)果明顯更激進(jìn)：135個U盤（也就是45%）被人撿走后都連接了電腦，這些人還打開了其中的文件，其上的“惡意程序”給Bursztein回傳了數(shù)據(jù)。

　　好在這還只是個實驗，并不存在真的“惡意”。Bursztein的研究團隊是這么做的：他們沒有用autorun.inf，因為現(xiàn)在的操作系統(tǒng)根本就不吃這套，Mac連自動運行功能都不支持，他們的方法是：釣魚。

　　研究團隊給這297個U盤分別貼了些標(biāo)簽，甚至還明確寫上了U盤所有者（以及歸還地址），即便在這種情況下還是有135個U盤被好奇心重的同學(xué)打開了。U盤里面的文件迷惑性地寫上了“期末考試”“機密”等字樣，實際上這些文件都是HTML格式的，文件中有張圖片，調(diào)用了研究團隊服務(wù)器的地址——這樣一來研究團隊就知道，有人打開了文件。

　　除此之外，HTML文件打開后有個問卷調(diào)查，詢問這些好奇心寶寶：你們?yōu)樯兑迦思业腢盤呀！的確也有20%的人參與了調(diào)查，超2/3的人表示他們其實是想歸還U盤的（Really？），18%的人承認(rèn)他們是好奇，14%的人給出了其他解釋。

　　就這一個例子，我們就不難看出U盤釣魚的成功率還是相當(dāng)高的。如果這些HTML文件都換成惡意程序，或者調(diào)查問卷改成詢問用戶名密碼的“釣魚問卷”，又有多少人會栽在其中呢！美劇《黑客軍團（Mr Robot）》中就出現(xiàn)了用U盤釣魚的橋段，看樣子這根本就不只是個傳說！

　　U盤攻擊絕殺：偽裝成HID設(shè)備

　　還是那句話，上面兩部分談的實際上都仍是將USB設(shè)備作為傳播惡意程序的載體，就好像U盤釣魚，其本質(zhì)和丟個軟盤來釣魚（Lol），以及郵件釣魚是沒差別的，原罪不在USB設(shè)備身上。如果用這種方法來談USB安全，實際上還有很多內(nèi)容可說，比如說USB接口是入侵ATM機的重要途徑，還有USB Key這類作為數(shù)據(jù)解密的安全手段，都不過是將USB作為工具。

　　那么有沒有USB本身的原罪可談呢？有！可以從USB的協(xié)議入手。USB不止MSC（大容量存儲）設(shè)備這一種，現(xiàn)在的USB接口支持這么多功能，協(xié)議其實也五花八門，自然不光有相關(guān)MSC的協(xié)議，什么USB Power Delivery（USB快速充電規(guī)范）、USB OTG（SRP、HNP協(xié)議，兩個外設(shè)間傳輸）等等，還有一個USB HID設(shè)備類協(xié)議。這里的USB HID，近兩年來已經(jīng)成為USB設(shè)備攻擊的絕殺了。

　　HID也就是Human Interface Device，是與人交互的設(shè)備。其實USB-HID設(shè)備現(xiàn)如今已經(jīng)相當(dāng)普遍了，比如USB鍵盤、鼠標(biāo)、手柄等等。這要怎么利用呢？在2014年的Black Hat黑客大會上，安全研究人員Karsten Nohl和Jakob Lell發(fā)表了演講，提到一個有些驚世駭俗意味的USB攻擊手段，名叫BadUSB，部分利用了HID的特點。

　　上面說的好玄乎，所以下面再來舉個栗子：鍵盤都用過吧？有沒有試過不用鼠標(biāo)，純粹用鍵盤來進(jìn)行各項系統(tǒng)操作呢？有經(jīng)驗的同學(xué)應(yīng)該知道，其實也不難。那么如果有這么一個U盤，它能夠偽裝成鍵盤，通過腳本執(zhí)行一系列鍵盤敲擊操作，是不是感覺就能控制你的系統(tǒng)了？這其實就是BadUSB攻擊利用USB協(xié)議的示例。被BadUSB感染過的U盤不僅能夠偽裝成USB鍵盤，還能偽裝成USB網(wǎng)卡——篡改DNS，這樣一來所有的DNS查詢就能發(fā)往攻擊者的服務(wù)器，可進(jìn)行重定向攻擊。

　　一旦這種攻擊得以實現(xiàn)，那么攻擊方式自然也就變得五花八門了，只有想不到?jīng)]有做不到，最重要的是跨平臺——因為各系統(tǒng)平臺遵循一致的USB標(biāo)準(zhǔn)?！　?img src="http://uphotos.eepw.com.cn/fetch/20170620/366317_1_8.jpg" onload="if(this.width>620)this.width=620;" onclick="window.open(this.src)" style="cursor:pointer" />

　　說到底，這種HID模擬攻擊不就是當(dāng)年黑客們很愛的USB橡皮鴨（USB Rubber Ducky）嗎？問題是橡皮鴨的內(nèi)部硬件很彪悍，有個60MHz主頻的處理器、microSD擴展插槽。普通U盤何以實現(xiàn)這樣的攻擊手段？這個問題其實才是Karsten Nohl和Jakob Lell這兩位研究人員的高明之處，也是這些U盤在感染BadUSB之后的可怕之處。

　　一般U盤的構(gòu)成除了我們需要用到的存儲數(shù)據(jù)的閃存部分，還有主控芯片，或者叫控制芯片。主控芯片一般會指定某些部分的單元用于存儲固件驅(qū)動（似也有主控芯片本身就包含了固件閃存）。這里的固件就類似于操作系統(tǒng)，控制軟硬件交互。Nohl和Lell花了好幾個月的時間進(jìn)行逆向工程，他們發(fā)現(xiàn)許多U盤都可以對固件部分進(jìn)行重新編程（尤其是PHISON群聯(lián)的主控芯片）。用戶根本就看不到固件部分，要隱藏攻擊代碼自然就非常容易了。

　　這就是BadUSB得以成型的核心所在。另一方面當(dāng)代操作系統(tǒng)為了給USB設(shè)備提供最大的兼容性，USB標(biāo)準(zhǔn)是允許一個USB設(shè)備具有多種輸入輸出設(shè)備的特征的。這樣一來，通過重寫U盤固件，就能讓它偽裝成USB鍵盤、網(wǎng)卡甚至顯示器。通過這個假的鍵盤，輸入U盤固件中的惡意指令和代碼，還可以配合閃存中的惡意程序進(jìn)行攻擊。

　　說白了，BadUSB是令普通U盤都變身為橡皮鴨，甚至攻擊性更強。這其中的加強體現(xiàn)在BadUSB的偽裝和傳播性方面。偽裝！很容易理解，看起來只是個普通U盤，而且即便格式化U盤也無法清除惡意代碼，因為惡意代碼在固件中；傳播！當(dāng)年Nohl和Lell在研究報告中有特別提到，BadUSB理論上最大的威脅在于，通過一個BadUSB設(shè)備給計算機感染惡意程序之后，計算機也可以將BadUSB傳播到其他插入計算機的U盤：某個U盤在插入這臺計算機之后，計算機上的惡意程序就能夠?qū)盤固件進(jìn)行重新編寫，U盤主人根本就不會察覺到。

　　這么一來，全世界的U盤都能通過這種方式被BadUSB感染，全世界沒有任何一個U盤是可被信任的，因為根本就沒有反病毒軟件能夠查到。由此甚至可以引發(fā)一個問題：USB設(shè)備是否已經(jīng)到了根本就沒有安全性可言的地步？

　　其實也不盡然，針對U盤固件，引入不可偽造加密簽名機制就是種方案，杜絕惡意程序的重新編寫。這就主要取決于閃存主控芯片制造商了。因為有人指責(zé)Nohl說，他先前在Black Hat上的演講其實只針對臺灣群聯(lián)的閃存主控芯片——所以2014年年底，Nohl還抽樣了8大主要芯片制造商的主控芯片：群聯(lián)、Alcor、瑞薩、祥碩（華碩的子公司）、創(chuàng)惟、FTDI、微芯、Cypress。

　　結(jié)果發(fā)現(xiàn)情況異常復(fù)雜。的確有部分USB主控芯片對BadUSB免疫——即無法對固件做重新編程，免疫的芯片占到抽樣總數(shù)的一半，但每個品牌的表現(xiàn)都是很不穩(wěn)定的。比如說，采用群聯(lián)主控芯片的U盤都存在被BadUSB感染的風(fēng)險，而祥碩則完全對BadUSB免疫，創(chuàng)惟的USB 2.0芯片沒問題，但更新的USB 3.0芯片就有問題。其他USB Hub、鍵盤、攝像頭、鼠標(biāo)等所用的控制芯片情況更是五花八門。而且實際上，即便是一個USB設(shè)備制造商的相同型號的產(chǎn)品，他們也會在不同批次中采用不一樣的主控芯片，比如金士頓所用的USB控制芯片就有五六種之多。

　　難不成以后我們要用U盤之前，都得先把U盤拆開看看主控芯片的型號不成？

　　只要是USB接口就都不安全！

　　不知道很多小伙伴有沒有留意過，斯諾登當(dāng)年揭露NSA的文檔中提到了一款竊聽設(shè)備名為Cottonmouth（如下圖所示）。這就是個USB設(shè)備，據(jù)說能夠偷偷地往目標(biāo)設(shè)備中安裝惡意程序。雖然文檔中并未詳述其具體機制，但斯諾登說：“如果Nohl和Lell發(fā)現(xiàn)的這種東西早就為NSA所用了，我也不會感到奇怪。”或許很久之前，NSA就已經(jīng)在這么干了，那么我們手里的U盤…。。。

　　但這還不是全部。既然USB標(biāo)準(zhǔn)是允許一個USB設(shè)備具有多種輸入輸出設(shè)備特征的，那么USB設(shè)備的偽裝實際上也就不僅限于僅針對U盤的BadUSB了，各種USB設(shè)備都可能出現(xiàn)偽裝的情況。從你的USB鼠標(biāo)、鍵盤，到攝像頭、電子煙、充電寶。

　　除了文章開頭提到的電子煙，2014年年末央視曝光“改裝充電寶盜取隱私”：看起來只是個充電寶，但實際上卻有存儲數(shù)據(jù)的能力，特別針對當(dāng)時加密機制還沒有現(xiàn)在這么完善的iPhone進(jìn)行數(shù)據(jù)竊取。這么想來，我們周圍但凡用USB接口的東西似乎都有帶毒帶馬的可能性，這世界真是太殘酷了——說不定你已經(jīng)被NSA鎖定，你的鼠標(biāo)就帶APT木馬…。。。

　　今年的Black Hat USA 2016大會上，分享丟U盤是否有效的Elie Bursztein不僅做了丟U盤的實驗，而且還教育人們?nèi)绾尾拍茏鰝€完整版的、偽裝起來的U盤，那詳細(xì)程度，從選購芯片到最終U盤外部材料成型一條龍，所用的都是成本很低的現(xiàn)成材料（點擊這里）。

　　FreeBuf先前也發(fā)表過一篇題為《利用Arduino快速制作Tennsy BadUSB》的文章，用ArduinoLeonardo單片機（似成本稍高），配合Arduino IDE簡單的代碼編寫，就做成了一個可偽裝成普通U盤的USB攻擊設(shè)備。以后要黑誰，送他個U盤或充電寶，比郵件釣魚大概有效多了。

　　USB攻擊的究極形態(tài)

　　Bursztein在Black Hat USA 2016大會上將USB攻擊分成了3大類，分別是社會工程（丟U盤），HID偽裝和0-day漏洞利用。前兩種我們都已經(jīng)在前文做了簡單的分析，最后一種0-day漏洞利用，他只稍作了解釋，主要利用的是USB驅(qū)動的0-day漏洞，只要計算機插上USB設(shè)備，就能立刻對計算機進(jìn)行控制。

　　在他看來，0-day漏洞乃是USB攻擊的究級形態(tài)，無論是復(fù)雜程度、可靠性還是隱蔽性都達(dá)到了至高境界（雖然因為針對性強，所以跨平臺屬性不佳）。我們能夠列舉的此類案例實在稀有，因為這幾乎沒有被廣范圍探討過。之前名噪一時的Stuxnet震網(wǎng)病毒，就利用了USB（但似并非USB驅(qū)動的0-day漏洞）傳播——Windows系統(tǒng)中，.lnk文件負(fù)責(zé)渲染U盤中的文件圖標(biāo)，插入U盤的時候，資源管理器就會掃描其中的.lnk文件來顯示各種格式的文件，震網(wǎng)病毒就是將惡意程序插入到.lnk文件中——整個過程是插入就執(zhí)行的，所以其隱蔽性自然可見一斑。

　　不過這種例子實在稀有，大約需要投入大量時間和精力，極具針對性地進(jìn)行攻擊研究。對一般人來說，U盤釣魚和HID偽裝的確才是最需要防范的。但在我們談了這么多以后，是否還要說說USB安全的注意事項呢？

　　像Nohl說的，防范USB攻擊的最佳方案就是不要用USB設(shè)備。為了這個目標(biāo)，就請封死設(shè)備上的所有USB接口吧…。。。說正經(jīng)的，因噎廢食當(dāng)然不好，但來路不明的U盤甚至充電寶、電子煙都不要用，馬路上出現(xiàn)U盤，也請忽略之；自己的USB設(shè)備也不要去插不受信任的主機設(shè)備。用戶能做的，大概也只有這些了吧。