“?目前的車聯網APP，幾乎沒有安全性可言。”

在網絡上閑逛，一不小心，逛進了車聯網的領地。物聯網、車聯網、IoT如火如荼，各個大佬、院士加持，看著相當的高大上。

但是，在偉岸的外表下，到底真實的情況是什么？

今天，分析的是一家坐落在祖國最具活力的超大城市的車聯網技術開發公司旗下的APP，這家公司，圍繞飛速發展的車聯網、物聯網市場，深耕細作，建立起了一系列以云端為基礎的行業級解決方案。設備為百萬級，數據量達TB，PB級，實力強大，鄙人心中甚是忐忑。

該公司的關鍵字包括jimi、tuqiang、hdit。各位有興趣可以自行搜索獲取詳細信息，這里就不展開了。

依托于已建立的各大平臺，該公司有大量車載設備，可以想象到，網絡上正流動著該公司產品產生的可觀流量，這些設備里，一定包含著數量巨大的定位和軌跡數據。不過，硬件設備成本太高，本文就不進行分析了，如果有哪位大佬可以獲取這些設備產生的流量，可以聯系我進行分析。

本文僅分析與平臺相關的一些APP，這是難度最低的工作。

01

—

HDIT

來到該公司官網，打開任意一個云平臺的鏈接，很顯眼地能看見APP的下載按鈕，下載，安裝，抓包，使用，完全的套路，熟門熟路是不是。

再看抓取的報文，滿目的HTTP協議數據：

完全沒有對APP產生的數據進行保護的意識，典型的上世紀末的互聯網產品。

再深究，看它的注冊數據：

POST /api/reg HTTP/1.1

Content-Length: 60

Content-Type: application/x-www-form-urlencoded; charset=UTF-8

Host: www.hditcloud.com

Connection: Keep-Alive

Cookie: JSESSIONID=XXXXXXXXXXXXXXXXXXXXXXXXXXXXX

Cookie2: $Version=1

Accept-Encoding: gzip

method=registerPhone&password=888888&phone=18888888888&ver=1HTTP/1.1 200 OK

Server: nginx

Date: Thu, 11 Jun 2018 11:44:44 GMT

Content-Type: application/json;charset=UTF-8

Content-Length: 228

Connection: keep-alive

{"code":0,"data":{"account":"18888888888","displayFlag":1,"enabledFlag":1,"id":34113,"lastLoginTime":0,"name":"18888888888","password":"888888","phone":"18888888888","roleCode":"NORMAL","status":0,"type":5},"msg":"注冊成功"}

赤裸裸的明文，賬號，密碼都沒有進行稍稍遮掩，請求發回去，響應再發回來，莫名其妙的邏輯。

02

—

API

這個物聯網平臺，竟然提供API供第三方開發使用，看上去，像模像樣，畢竟是院士加持過的公司。

但一看API接口的入口，讓人十分掃興呀。

你怎么可以這樣，該公司另一個平臺也有個APP，大概率就是使用這套API的，就不分析了。

03

—

期待

根據APP的情況分析，該公司的數百萬車聯網設備，應該也沒有任何數據加密措施。想象一下，就已經很恐怖了，這些數據，一定包含大量的用戶信息，定位信息，如果被有心人利用起來，后果不堪設想。

當然，協議還原喜歡這樣的設備和APP。

長按進行關注。