也许你正加嘞个油，加油站就被黑了

你可能想不到，平常给爱车加油的加油泵也会被黑。如果不法分子可以引起加油站的油箱溢出，或者防止泄露报警器发出警报，它可能带来灾难性的后果，尤其是当他们一次性袭击某个地区的多个加油站。为了了解这种威胁的真实性，来自于 TrendMicro 公司的 Kyle Wilhoit 和 Stephen Hilt 决定设立一个 GasPot——这是一个由虚拟加油泵监控系统所组成的“诱捕系统”，目的在于引诱黑客上钩，看他们会怎么对待这个虚拟的加油站。

这项研究工作的灵感来自于 Rapid7，其在今年早些时候找到了5800个不安全的自动化加油站。这些系统没有受到密码保护的加油站主要属于私有加油站、货车站和便利店，并不属于那些知名的石油跨国企业。

加油站的监控系统具有不同的功能，系统可以控制设置储罐液位和溢出的限制、监控剩余的燃油液位和衡量油罐的温度，有的系统还可以检测泄漏。

远程攻击者可以采取几种不同的方式利用这些系统控件。

• 首先，他们可以通过伪造的燃油水平，使得油罐实际上还存有很多油，但看起来油站已经没有油的方式让油站提前歇业；
• 或者他们可以将加油站上的“无铅”标签改成“优质”或“柴油”标签，引起油站的混乱；
• 他们也可以修改储罐液位和溢出的限制，从而导致危险。

2009年在波多黎各，就发生过一起油箱爆炸起火并燃烧了三天，事故原因就是因为电脑监控系统失效，油箱达到了容量上限后没能感应到。

他们在美国、英国、德国、约旦、巴西、俄罗斯和阿联酋都设置了这种虚拟的加油站系统，并观看了在过去大约五个月的时间里系统的活动情况（从今年2月到6月），其中美国的加油站吸引了更多黑客的关注。

在大多数情况下，攻击者只是简单地使用了自动扫描仪进行定位和探测系统。但也有少数大胆的攻击者更进一步，其中至少有九次入侵者将 GasPot 油罐的名称改成了“H4CK3D by IDC-TEAM”和“AHAAD WAS HERE”之类的东西。IDC-TEAM 可能指的是伊朗的黑客组织 Iranian Dark Coders Team，他们以入侵网站并用“H4CK3D by IDC-TEAM”标记它们自己而闻名。

这项 GasPot 的研究在上周末于 Defcon 黑客大会上发表。感兴趣的读者可以跳转原文，阅读完整研究报告。