你以為USB真的安全？大錯特錯！

　　在正式開談USB安全之前，還是照例來分享一個很有意思的案例：2014年年末，來自Reddit的報道，某大公司高管電腦感染了惡意程序。公司的安全研究人員就調(diào)查惡意程序來源，但檢查了所有傳統(tǒng)可能的感染途經(jīng)都一無所獲。于是他們開始考慮其他突破口，從這位高管的飲食起居入手，翻來覆去地查，最后發(fā)現(xiàn)問題居然出在高管的電子煙身上。

　　“這是一款中國造的電子煙，充電裝置部分包含了硬件編碼的惡意程序?！倍@款電子煙是通過USB口充電的，這名高管為了充電，順手會將其插入到公司的電腦上，于是電腦就感染了惡意程序。

　　在這一例中，如果惡意程序做得更加隱秘，那么整個攻擊過程甚至可以達到神不知鬼不覺。這其中的傳播核心，就是我們要談的“USB安全”。

　　USB安全？這是什么意思？

　　我們擅自提“USB安全”這個詞匯，其實是不準確的。因為USB本質(zhì)上只是一種通用串行總線——總線有很多啊，SATA總線、PCIe總線等等，這有什么樣的安全話題可談呢？可能USB充其量可作為惡意程序傳播的途經(jīng)。我們說“USB安全”，和說“網(wǎng)線安全”是不是感覺差不多荒謬？

　　不過大概是因為USB作為替代古代各種接口的明星級統(tǒng)一標準，而且USB又不像Thunderbolt之類的接口一樣需要高昂的授權費用，當代世界的海量設備采用USB接口也是種必然。有趣的是，我們經(jīng)常將采用USB接口的設備稱作USB設備（卻沒有人將PC內(nèi)置的硬盤稱作SATA設備或者PCIe設備），這也是我們這里談USB安全的基礎。

　　由于USB當代的使用如此廣泛，所以USB設備也就成為了惡意程序傳播的重要載體。但如果只說USB設備作為惡意程序的傳播途徑，那么任何接口實際上也都存在這種傳播的可行性。比如說U盤能夠傳播病毒，Thunderbolt移動硬盤也行，連光盤都可以。

　　總的說來，我們要談所謂的USB安全，并不是USB在數(shù)據(jù)傳輸過程中存在安全問題，或者某類USB接口規(guī)格（如Type-C）某個針腳存在設計缺陷，而是USB接口或總線作為惡意程序的一個重要途經(jīng)，存在安全問題，以及USB協(xié)議、驅動存在的安全問題。

　　因此針對USB安全，有3點可談。

　　其一，USB是個具有相當普遍性的標準，鼠標、鍵盤、電子煙、外置聲卡都用USB接口，且即插即用。所以在物理接口中，它對惡意程序的傳播大概是除了網(wǎng)絡適配器接口之外，效率最高的。

　　其二，USB協(xié)議可被攻擊者利用，這也將是本文要談到的重點。

　　其三，最高級的USB 0day漏洞攻擊。

　　autorun.inf時代！U盤病毒？

　　在網(wǎng)絡還不像現(xiàn)在這么盛行的年代，可移動存儲設備是傳播病毒的重要方式。就是將惡意程序放在U盤，或者移動硬盤，甚至軟盤中——在不同的PC交換數(shù)據(jù)的過程中，就可以達到傳播病毒的作用。再高明的惡意程序也需要人類去打開才能運行，巧在像Windows這類操作系統(tǒng)，為了加強使用體驗，系統(tǒng)中有個針對移動存儲介質(zhì)的AutoPlay/AutoRun自動播放功能。

　　原本自動播放的功能是，針對CD/DVD多媒體光盤可實現(xiàn)插入即播放，而針對Windows安裝介質(zhì)，插入就能立即彈出安裝程序。絕大部分同學應該都知道移動存儲介質(zhì)的根目錄下的autorun.inf文件就負責自動播放功能，打開形如以下樣式：

　　相較光盤，U盤的可讀寫方便性明顯更勝一籌，如果這里的setup.exe是個病毒，那么設備插入U盤，系統(tǒng)就會自動運行該病毒。所以病毒通過autorun.inf文件實現(xiàn)U盤插入即啟動惡意程序的功能，實在是太方便了。同事間交換數(shù)據(jù)，大家的電腦都插一遍帶毒U盤，自然就都感染上了。已經(jīng)被感染的設備，再感染插入設備的新U盤，以此達到擴散的目的。

　　這是U盤傳播惡意程序的常規(guī)手法，也因此有些人將autorun.inf稱作“U盤病毒”，雖然這東西其實是很無辜的。實際上，要杜絕這種方式的病毒傳播也并不困難，一方面是在系統(tǒng)中禁用移動存儲介質(zhì)的自動播放或自動啟動功能，另一方面也可以禁止程序在U盤中創(chuàng)建autorun.inf文件，達到U盤不會傳播病毒的目的。

　　可以說，autorun.inf是過去在民間最廣為流傳的U盤病毒傳播方式。很多U盤病毒查殺工具都主要針對autorun.inf進行圍剿。尤其從Windows XP SP2開始，系統(tǒng)針對“USB大容量存儲設備”和ZIP驅動器，自動播放功能是默認開啟的。微軟眼見形勢不妙，從Windows Vista和Windows Server 2008開始，針對插入U盤的的系統(tǒng)默認行為，已改為詢問用戶是否執(zhí)行自動運行指令?，F(xiàn)如今autorun.inf的時代幾乎已經(jīng)過去。