女黑客轻松破解共享单车重大漏洞
信息安全公益宣传，信息安全知识启蒙。
加微信群回复公众号：微信群；QQ群：16004488
小鸣单车、永安行、享骑和百拜四款共享单车的app被女程序员“tyy”轻松破解，然后黑客就可以随意用你的app远程骑车了，反正花的是你的钱。最重要的是，你实名认证的各种个人信息也在他们那里开始了裸奔。
5月13日，就在“wannacry”敲诈者木马席卷全球的时候，2017国际安全极客大赛GeekPwn年中赛在公海上举行，来自多个国家的选手——其中中国选手居多——开始“炫技”。
毕业于浙大计算机专业的“tyy” （化名）是此次参赛的唯一女黑客。只见她打开电脑，不到一分钟便可以查看到评委万涛手机上小鸣单车、永安行、享骑和百拜四款共享单车的账户信息，包括骑行记录、行驶路径、账户余额等。随后，她现场连线了远在上海的朋友，展示了远程用现场评委的共享单车账号开锁、骑行消费。
tyy说，她共发现了四款共享单车存在云端逻辑漏洞，通过篡改输入参数，进而直接访问、控制他人账号。获取用户的个人账户信息后，登录自己的账户扫码骑车，扣除的却是别人账户的余额。她认为，这些漏洞的危害性不仅在于用户损失金钱，更重要的是隐私泄露。
极棒黑客大赛创始人王琦认为，这暴露出共享单车云端的漏洞技术含量很低。近年我国 “风口”互联网行业发展速度远远大于技术发展速度，技术发展速度又远远大于安全能力发展的速度。可能有些行业实践超过美国十年，但安全能力却落后十年。
据悉，这些安全漏洞已提交给上述几款共享单车团队。
当被问及有没有研究过目前共享单车领域最火的摩拜和ofo的app时，tyy告诉虎嗅：“其实我最早发现的是摩拜，但是我是早上发现的，然后它晚上就修复了。”
这个漏洞发生在4月初，当时tyy早上发现了摩拜app的一个漏洞，然后中午的时候她发现对方的服务器开始变慢，当时她就预感到可能摩拜app在更新，结果晚上果然就修复了她发现的漏洞。
Tyy表示自己一个月的时间看了十几款单车，判断有问题的是7款，今天演示了4款，另外3款可能也有问题，但是没有进行全部的验证。”
“共享单车”不仅存在记住密码可无限次使用、利用红包套现等诸多漏洞，甚至有部分人滋生了随意违法的念头，并付诸于行动。闯红灯、上快车道怕啥，反正车子也不是自己的，交警要处罚，就把车子丢下来。近日，就有人利用小黄车不能实时监控，骑着小黄车上了京藏高速！
近日，不少市民在京藏高速进京方向的主路上发现了一名骑共享单车的男子。根据两位目击者的描述，这名男子曾在京藏高速途经回龙观、西三旗和学院桥路段出现，前后时间间隔达一小时。目前这名男子骑车上高速如何进入主路尚不清楚。
由于骑自行车上高速路是明显违反交通法的行为，这名男子骑车上高速路的意图目前也尚不得知。
对此，ofo小黄车的工作人员姜女士告诉记者，小黄车有定位功能，有运营团队监控每辆车的位置，高速公路是自行车的禁行区域，工作人员发现情况的话会与用户沟通。“但是工作人员对小黄车定位的监控并不是实时的，工作人员看到后才能发现违规行为。”
从去年年中，共享单车概念突然热了起来，一觉醒来发现上海、北京的大街小巷多了许多橙色和黄色单车，以1元骑车、0.5元骑车吸引着消费者去尝试。经过一年的时间，市面上出现了诸多追随者和模仿者，有的xx单车甚至直接模仿了摩拜和ofo单车的外观设计，换个颜色和Logo就算开张了。
在大量的资本快速涌入到这个还算稚嫩的行业后，拔苗助长了创业者的热情和急功近利，可能随便开发个app，弄个几万辆车往大街上一放，就共享了，然后就可以找投资人爸爸要钱了。
共享单车确实方便了我们的出行，但恐怕这些创业者更多的考虑是如何更快的圈钱，而不是提供便捷、安全的服务。正如tyy对为何这么多共享单车app都出现了各种安全漏洞的回答：他们真的太着急了。