在过去的夏天，汽车突然在黑客面前变得脆弱。将汽车连接到移动网络，在互联网的智能手机上做一些事情，或者只是安装一个OBD所有的设备都为黑客创造了机会。现在有了新消息：当你把车交给正规的修理厂时，你也可能被暗中埋伏。这种攻击方法使用了经销商OBD测试设备的漏洞使用该测试设备的车辆大规模感染恶意软件。有人对这种攻击提出了建议。
汽车维修也成为目标
汽车修理厂总有一个OBD测试设备。修理厂和汽车经销商将测试设备连接到车辆上OBD ⅱ并通过读取接口CAN更新汽车软件和运行车辆检测系统的总线数据或内容。
如果a 黑客在他的车上安装了恶意软件，并有机会将恶意软件感染到经销商的测试设备上。然后，每一辆使用该设备更新软件进行维护的汽车都可能被感染。这些汽车也将在不知情的情况下成为新的载体，并加入传播恶意软件的阵营。
车云不禁想起了大学楼下的印刷厂。u盘打印后，可以使用计算机杀毒软件Biu几个u盘木马。全校师生共用的台式电脑多打开几台Word文档，会发脾气，蓝屏重启，和经销商的攻击完全一样。
但如果这种类似的情况移动到汽车上，风险将被无限放大。测试设备连接OBD接口可以和CAN在总线交换信息时，恶意代码会进入汽车，或者悄悄窃取用户数据和隐私数据。如果一路到达车辆底部系统，控制转向和刹车灯并不难。
有一个类似的测试案例，研究人员篡改了经销商WiFi，一些恶意软件可以无线发送。此时，检测车辆与升级程序的设备连接到该网络。虽然采用非物理接触，但攻击入口相同，成功突破了检测升级车辆的防线。
在现实生活中，这种对经销商的攻击并没有出现在报纸上，真正杀人的人也很少见。4S商店和汽车修理厂的高流通率容易引起广泛感染。当汽车感染时，恶意软件以惊人的速度传播。
预防方法并不新颖。
在路易斯维尔Derbycon在黑客大会上，一个名叫克雷格·史密斯的安全顾问注意到了这一点。他在现场展示了一个名为自制的小工具ODB-GW，汽车检测设备的安全漏洞可以发现。该设备的硬件成本约为20美元，软件完全免费。它已经在代码网站上公布，其他人很容易学习DIY。
ODB-GW
设备上有一个车载设备OBDⅱⅱ接口还包括一个电阻和一些布线来模拟车辆内部网络和接口的12伏电源。将接口与测试工具连接起来，模拟车辆升级或维护检查。
连接计算机设备的第二个接口，Craig开发的漏洞扫描软件将在计算机上运行。软件的基本功能可以检查测试工具携带的恶意程序和漏洞。如果功能增强，还可以检查病毒，修复漏洞，听起来和谐PC端的u盘病毒查杀软件差不多。
检测OBD测试工具的漏洞主要取决于fuzzing技术。该技术可以模拟被感染车辆中的恶意程序，随机向被测设备投掷数据，直到其崩溃或故障，从而暴露易受攻击的漏洞。或者向测试工具发送成千上万的错误代码，让测试工具的软件系统过载，找出诊断工具系统的漏洞。
迄今为止，Craig已经发现了OBD测试工具系统的一些漏洞。例如，测试工具可以读取车辆识别号，但当测试工具执行此操作时，没有设置车辆识别号的长度。普通车辆识别号为14位数。如果被恶意软件感染的车辆发送一系列超过14位的错误识别号，多余的字段会溢出，占用测试设备系统中其他变量的空间，类似于在车辆中重写系统参数。直接结果是系统崩溃，恶意软件乘虚而入。
克雷格补充说，他自己的测试还是很基础的。如果黑客直接在那里OBDⅱⅱ后面嵌入一个恶意软件MCU，然后更容易攻击每个连接设备。当然，更有可能的情况可能不是恶意软件攻击。有些人会用这种方法提取钥匙或系统代码，这样他们就可以改变车辆的油耗或排放。最近的公共排放丑闻就是一个典型的例子。
s商店和维修店最初是一家常规的车辆故障维修店，但意外留下了缺陷。仔细想想，这些安全漏洞并没有发现新的模式，安全措施也没有使用先进的手段。然而，在汽车及其周围，信息安全的教训仍然需要从零开始学习。除了在每个汽车入口设置一个安全检查点外，还应提前检查每个与汽车相连的设备。在互联网时代，每一个层次都不可能是徒劳的。