几天前，一家加油站大约400加仑的汽油被盗了。是被人用一种特殊的遥控器设置为“分配模式”之后免费拿走了汽油。这其实不是第一次发生这样的事情了，多年来，加油站总是遭到黑客使用各种各样的方式攻击。因为其中一些油泵运行的是嵌入式Linux系统，可以直接像路由器一样连接到互联网。
我们之前其实提到过，连接到互联网的设备（比如IP摄像头和路由器）通常来说都不是很安全。因为大多数设备都配置了默认凭据，就像用户名和密码之类的。几年前我去背包旅行时，每次我待在某个地方时，我都尝试使用最简单的admin/admin登录路由器的Web界面，这套密码组合在大约80%的情况下都能成功地登录进去。在2016年的时候，我还注意到更改默认凭据似乎也无济于事，因为我的调制解调器路由器的telnet端口是向外部开放的，并配置了默认凭据。
由此看来，加油站与路由器的共同点比我最初想象的要多很多。正如FOX 8报道的那样，许多型号都带有默认密码，加油站经理也不会总是更改，而且使用特殊的遥控器也是可以更改价格和其他参数的。
其实，一些加油站也是物联网的一部分，所有的加油站都得通过网关（本文均称为“embedded box”）连接到云端从而来实现远程监控，但这也带来了安全漏洞，正如卡巴斯基2018年的一项研究中指出的那样。
当时卡巴斯基就注意到一个运行Linux 的embedded box，带有一个微型的httpd服务器，并负责管理该站的每个组件，包括分配器、支付终端等。该embedded box已连接到互联网，在像Shodan这样的服务上搜索特定字符串就能找到安装在世界各地的 1,000 多个embedded box。在研究期间，卡巴斯基也表示，印度大约29%的加油站和美国27%的加油站都已连接到互联网了。
embedded box制造商提供的用户手册主要包括了屏幕截图、默认凭据、不同的命令，以及如何访问和管理每个界面的分步指南。而且embedded box并不需要一个熟练的黑客就能访问到仪表板。卡巴斯基声称：“当我们意识到它可以使用现代设备中不希望看到的服务进行远程操作和访问时，我们就明白这个设备是多么过时了”。所以我怀疑HTTP (80)和telnet (23)的端口是被开放的。
一旦可以访问仪表板之后，就可以做一些有趣的事情了，比如：
- 关闭所有加油系统
- 造成燃油泄漏和人员伤亡风险
- 改变燃料价格
- 绕过支付终端偷钱
- 删掉车牌和司机身份
- 停止加油站的正常运作以要求赎金
- 在控制器单元上执行代码
- 在加油站网络内可以自由行动
对固件的进一步调查之后，我们还发现了硬编码的用户名和密码，以及允许远程执行代码的不安全代码。这些漏洞其实在四年前被修复过了，但是否所受影响的embedded box（网关）都已经更新，就还有待观察了。
文章翻译者：Jacob，嵌入式系统测试工程师、RAK高级工程师，物联网行业多年工作经验，熟悉嵌入式开发、测试各个环节，对不同产品有自己专业的分析与评估。