我们因所采用的技术而为人所知……
在F5，身边到处都是技术爱好者。每当我偶然听到同事们讨论工作时，十有八九都会听到：应用……更智能……更快速……更安全。
在这样的公司里，当我提到即使训练有素、经验丰富的人也可能成为恶意软件的受害者时，有时会招来怀疑的目光。既然有人质疑，那就制定一个计划来证明：我们总想通过并不聪明的智能设备时刻保持连接，这种欲望很容易让我们成为攻击目标。
行动计划
采用最常见的老办法：趁对手最脆弱时发起攻击。在当今环境下，只需切断对方的互联网连接，就很容易做到这一点。如果出差是工作中不可或缺的一部分，就会发现自己陷入这种脆弱处境的频率远超预期。
于是，我选定了一个目标，并找了一位同事协助。经过一番侦察，我们发现即将前往的机场无法上网，无论免费还是付费。
借鉴《孙子兵法》的智慧，我们提前抵达“战场”并做好准备，提供畅通无阻的免费WiFi。
幸运的是，目标和几名陌生人径直落入了圈套。他们连接免费WiFi、接受条款和条件，并安装了一个程序，只为获得无价的互联网连接。
于是，我当天特意分析了其他一些可能性。免费WiFi随处可见，例如商场、餐厅等场所。但要获取机密凭据，飞机本身可能是一个非常有利的环境。以下是我构想的一种攻击途径：
机上WiFi
许多航空公司在机上提供WiFi，可用于观看电影、收听歌曲等媒体内容以及访问互联网。通常只需完成两个简单步骤（不同航空公司的操作方式可能有所不同）。
第1步：连接免费WiFi
第2步：安装应用程序，以便观看流媒体电影等内容
步骤3：（可选）付费购买高级内容
要实施这种攻击，只需一名心怀恶意的人、一台笔记本电脑和几款软件，就能造成一定破坏。于是，我设身处地从攻击者的角度设计了攻击路径。
- 设置一个WiFi接入点，并使用一个能吸引用户的名称（AIRLINENAME_MEMBERSHIP_BETA_FREE_INTERNET）。该名称会与航空公司提供的其他WiFi接入点名称相似，不易引起注意。
- 该接入点将要求用户使用其常旅客会员信息进行身份验证。
- 为提高攻击效果，接入点可以要求用户安装软件。利用这种攻击途径，攻击者很容易通过网络钓鱼诱骗用户在Android设备上旁加载恶意软件。
- 显示错误消息，提示BETA High Speed WiFi接入点的用户数已达上限，请尝试其他接入点。
今日收获：常旅客账户凭据、信用卡号，以及可能已遭入侵并被用于助推机器人经济的端点
故事的启示
无论是想发布的推文、想上传到Instagram的精彩自拍，还是想发送的重要工作邮件，都可以先等等。请先评估准备连接的免费WiFi接入点是否可信。
提供任何凭据前请三思。网络犯罪分子觊觎的不只是您的金融账户凭据。请记住，常旅客里程可以兑换为Amazon购物额度。
请时刻保持警惕，不要绕过标准流程安装软件。旁加载应用会带来很大风险。
关于作者
Shahnawaz Backer曾任F5 Labs首席安全顾问。他对现代应用开发、数字身份和欺诈途径有着浓厚兴趣，专注于将安全情报融入解决方案，并坚信应采用自动化的主动防御。
Shahnawaz Backer 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。