PoS终端的安全问题使消费者容易受骗

王英哲

研究人员详细介绍了销售点（PoS）终端中普遍存在的安全问题，这些问题已经向厂商进行了汇报，并且已经打上了补丁，该漏洞会使全球零售商使用的几款流行的PoS終端面临各种网络攻击的风险。受影响的设备包括Verifone VX520、Verifone MX系列和Ingenico Telium 2系列。这些设备已经被零售商广泛使用。例如，VeriFone VX520终端已经售出了超过700万台。

网络研发实验室团队的研究人员在近期对这些漏洞的分析中说：“通过使用默认密码，我们能够通过利用二进制漏洞（如堆栈溢出和缓冲区溢出）来执行任意代码，这些PoS终端的漏洞使攻击者能够进行任意数据包的发送、克隆卡和克隆终端，并且能够安装持久性的恶意软件。”

值得注意的是，受影响的设备是PoS终端，而不是PoS系统。PoS终端是读取支付卡（如信用卡或借记卡）的设备。PoS系统包括收银员与终端的交互，以及商家的库存和会计记录。

研究人员公布了这些PoS终端的2个安全问题，主要问题是他们在出厂时使用制造商默认的密码，但是这些密码可以使用谷歌搜索引擎轻易找到。

研究人员说：“这些凭证可以对特殊的‘服务模式进行访问，这种情况下，其中的硬件配置和其他功能都是可用的，一家叫Ingenico的制造商，会阻止你更改这些默认的密码。”

仔细分析这些特殊的“服务模式”，研究人员在拆下终端并提取出其中的固件后发现，他们包含了某些“未经公开的功能”。研究人员说：“在Ingenico和Verifone的终端中，一些函数通过利用二进制漏洞（如堆栈溢出和缓冲区溢出）从而实现了任意代码执行的攻击操作，20多年以来，这些‘服务的超级模式一直允许未授权访问。……