研究人员称黑客可以滥用公共场所的USB充电设备，在用户充电时隐蔽地传输有效载荷，这种攻击有自己的名字“juice jacking”，是一种利用充电端口进行网络攻击的攻击类型，通常涉及安装恶意软件，而后从智能手机、平板电脑或其他计算机设备秘密复制敏感数据。
Juice jacking回顾
早在2011年的DEFCON时，Wall of Sheep研究人员就已经警告过公众不要使用这种USB充电站；
2012年，安全研究员Kyle Osborn发布过一个名为P2P-ADB的攻击框架，该框架利用的也是USB OTG（2001年首次使用、一种允许USB设备间在主机和设备两种角色间相互转换角色的规范，如：平板电脑与USB闪存）将攻击者的电话连接到了目标受害人设备上，让攻击者能够解锁锁定电话、从中窃取数据（包括身份验证密钥）、以授予攻击者访问目标设备所有者的Google账户权限；
2013年，佐治亚理工学院的学生在Blackhat USA安全简报中发布了概念验证恶意工具“Mactans”：该工具利用Apple移动设备上的充电端口感染iPhone；
2014年，SRLabs的安全研究人员Karsten Nohl和Jakob Lell也在Blackhat USA安全简报上发表了其研究，其中提到了“在受感染计算机上充电的手机或平板电脑设备将是传播BadUSB漏洞最简单的方法之一”；
2016年，Aries Security和Wall of Sheep研究人员再次提出了这种攻击理念，其建立了“视频插孔”充电站，该充电站能记录插入充电站的手机镜像屏幕，当时受到影响的设备包括通过USB支持SlimPort或MHL协议的安卓设备，不能幸免的还有使用Lightening充电线的iphone;安全研究人员Samy Kamkar借助KeySweeper设备，并伪装为正常工作的USB壁式充电器，无线嗅探、解密、记录并通过GSM进行报告；
2018年，赛门铁克研究人员在RSA大会上披露了其称之为“Trustjacking”攻击的发现。研究人员发现在用户批准通过USB对iOS设备上的计算机进行访问时，该受信任的访问级别也会应用到设备iTunes API，而后即便用户从恶意USB充电源上拔出设备电源，攻击者依然能够访问iOS设备。
日前，美国洛杉矶区检察官建议旅客不要在机场、酒店及其他公共场所使用USB充电站，因为这些USB连接的设计既可以用作数据传输介质，又能够作为电源传输介质，两者之间没有严格的限制，犯罪分子可通过多种“可插拔”的USB壁式充电器轻松作案，将恶意软件加载到公共充电站上。因为：如今的微控制器和电子零件非常小，完全能够隐藏在USB电缆中。
鉴于此，建议广大手机奴尽量使用交流电源插座而非USB充电站；旅途中用车载充电器，当然也可以买个专门的USB防护套：
发明一种搓搓手就能充电的手机或许会更靠谱？
声明：本文来自MottoIN，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
