共享单车的安全漏洞浮出水面。在昨日举行的2017国际安全极客大赛GeekPwn年中赛上，女程序员演示了不到一分钟攻破共享单车的高危漏洞，直接获取用户的个人资料、免费骑车的过程。

　　共享单车成“共享隐私”

　　毕业于浙大计算机专业的“tyy” （化名）是此次参赛的唯一女黑客。只见她打开电脑，不到一分钟便可以查看到评委万涛手机上小鸣单车、永安行、享骑和百拜四款共享单车的账户信息，包括骑行记录、行驶路径、账户余额等。随后，她现场连线了远在上海的朋友，展示了远程用现场评委的共享单车账号开锁、骑行消费。

　　tyy说，她共发现了四款共享单车存在云端逻辑漏洞，通过篡改输入参数，进而直接访问、控制他人账号。获取用户的个人账户信息后，登录自己的账户扫码骑车，扣除的却是别人账户的余额。她认为，这些漏洞的危害性不仅在于用户损失金钱，更重要的是隐私泄露。

　　极棒黑客大赛创始人王琦认为，这暴露出共享单车云端的漏洞技术含量很低。近年我国 “风口”互联网行业发展速度远远大于技术发展速度，技术发展速度又远远大于安全能力发展的速度。可能有些行业实践超过美国十年，但安全能力却落后十年。

　　十分钟解密智能门锁

　　值得一提的是，此次被选手攻破的果加智能门锁是目前中国使用量更大的智能锁品牌，其在京东自营店公布其用户数已超百万。

　　来自百度安全实验室的选手谢海阔、黄正介绍，利用智能锁网关不严谨的默认设置，任何人只要来到锁附近，可获得智能锁网关设备的序列号，通过逆向分析，破解密码，向云端服务器发送伪造的请求，获得智能门锁密码，攻击者在门外没有钥匙、无需物理接触、拆解门锁，即可解锁。评委万涛表示理论上还可实现十分钟内获得此品牌销往全国的所有智能锁的密码，建议用户设好智能门锁密码后，出门前更好关掉网关。

　　智能手表变窃听器

　　来自百度的资深安全工程师“小灰灰”（化名）揭露了小天才、米家小寻等当前主流儿童智能手表存在的安全漏洞。这些漏洞不仅会造成儿童与家长的敏感信息泄露，还能被利用进行配置修改、信号劫持，甚至完全控制。据小灰灰介绍，目前市面上的儿童智能手表都只支持2G *** ，而移动通信G *** 系统设计上存在单向认证机制的缺陷。此外，基于G *** 的自动售货机、共享单车锁、工业采集设备等一大批智能设备都存在被攻击的风险。　　由国内顶尖信息安全团队碁震（KEEN）发起并主办的GeekPwn，与Pwn2Own、Defcon并称为世界三大黑客赛事，至今已举办四届。今年的GeekPwn大赛吸引了数十位国内外顶尖的白帽黑客同场炫技，包含智能锁、平衡车、主流手机、路由器等都成为选手的目标。（全媒体记者倪明摄影报道）

　　广州一女大学生找黑客改成绩 还套密码赚钱

　　通过电脑黑客远程操作入侵高校计算机系统篡改自己的学习成绩达到“学业优秀”，并借此找到了一条“生财之道”：收费帮助他人篡改成绩获利6万多元，汕头某高校商学院两名学生的“创业规划”把自己送进了监狱。近日，汕头市金平警方侦破该市首起涉嫌破坏计算机系统、传授犯罪 *** 案件，抓获胡某硕等嫌犯3人 。

　　3月12日14时许，汕头市金平区鮀浦派出所接汕头大学报称：该校学分制系统被他人非法侵入并篡改学生成绩，导致学校的正常教学秩序被扰乱。接报后，金平警方经过分析研判，锁定了犯罪嫌疑人为该校商学院学生林某月(女，浙江人)。3月16日，专案组在汕大学校内将林某月抓获，随后循线抓获同案嫌犯黄某鹏(商学院在校学生，揭阳市惠来人)。

　　经查，嫌犯林某月、黄某鹏通过 *** 联系一名篡改成绩黑客，由该黑客以远程操作方式，登录该校校内网，侵入学分制系统为林篡改17科成绩，获利人民币11800元。林某月利用同该黑客聊天机会，套取该校学分制系统管理员的万能密码和篡改成绩的流程。随后，伙同黄某鹏为姚某等10名学生篡改成绩并收取费用，林某月从中牟利人民币33800元，黄某鹏从中牟利人民币32700元。

　　针对黑客的真实身份，警方初步确定了河南人胡某硕有重大作案嫌疑，随即赶往河南郑州抓捕嫌犯。3月25日19时许，在郑州水文局家属院蹲守的警方抓获了嫌犯胡某硕，现场缴获手机两部、台式电脑主机1台，交通银行卡1张。嫌犯胡某硕对其入侵汕头大学学分制系统篡改成绩并传授林某月篡改成绩密码和流程的犯罪事实供认不讳。目前，案件正在审理中。