利用沃尔沃/Eicher的车队平台来控制所有用户/车辆

利用沃尔沃/Eicher 的车队管理平台获得对所有用户和车辆的控制伊顿• 2026 年 7 月 27 日复制链接分享要点/摘要 VE Commercial Vehicles 是沃尔沃集团和 Eicher Motors 的合资企业，为印度商用车客户构建和维护名为 My Eicher 的车队管理系统。 “My Eicher 是一款完整的车队管理和车辆 GPS 跟踪系统，专为商用车车主、车队经理和操作员而设计。借助我们高度先进的远程信息处理平台，您可以以前所未有的方式控制您的车队。” API 中发现了一个漏洞，可以发现隐藏的、未经身份验证的内部/管理 API。这些 API 可用于获得对系统的高级访问权限，甚至可以实现帐户接管。帐户接管使得控制一个人（或公司）的整个车队成为可能，该车队可能由数百辆车辆组成。通过数字公开数据。截至 2024 年 11 月，已注册车辆 27.5 万辆，客户数量 11.5 万。目前还不清楚为什么从 API 中提取的一些数字明显更高。 748k 客户 174k 用户 186k 人 676k 车辆 76k 文件（Aadhaar 卡、驾驶执照等） 欢迎来到我的下一个轰动一时的汽车黑客！这个项目已经酝酿了很长时间，其根源可以追溯到 2024 年初，当时我披露了丰田保险公司遭到黑客攻击的事件。有趣的事实：当时我实际上试图在 My Eicher 中找到漏洞，但没有成功。直到一年多后的 2025 年，我偶然发现了一项突破，彻底打开了 My Eicher 的大门。 My Eicher 除非您在印度，否则您以前可能没有听说过 My Eicher。它是一个应用程序/网站，可让商用车客户跟踪和管理他们的卡车和公共汽车车队。您可以做一些有趣的事情，例如实时跟踪车辆、查看实时仪表集群、设置地理围栏等等。网站在这里，并且有 Android 和 iPhone 应用程序。这里披露的漏洞仅影响印度的商用车辆和客户。幸运的突破 该漏洞极其简单，被发现纯属运气。以下是网站主页上用于检查您的手机号的 API：https://www.myeicher.in/cepauthmgr/user/validateMobileNo 网站上的 Javascript 还有许多其他类似的 API。还有一些其他有趣的东西，但没有任何东西可以用来破解整个平台。然后，偶然有一天，我决定尝试在浏览器上访问此端点：https://www.myeicher.in/cepauthmgr/user/ 在 99% 的情况下，沿着 API 路径前进会导致 HTTP 错误。这次，它公布了所有与用户相关的 API 的大列表：您可以在此处查看完整列表。更好的是，它们未经身份验证！我找到了一个“客户”端点，它显示了 748k 客户的庞大列表：还有“用户”和“人员”：它甚至将密码返回给您。但它已加密，因此无法使用。这仍然是一个巨大的突破——找到使用这个系统的人不再困难。这些 API 为我提供了完整的帐户列表。如果存在某种登录漏洞，那么这里的每个人都将游戏结束。你所有的 OTP 都是我的 我的运气继续增长：有一个 API 返回了自 2021 年以来 250 万个 OTP 的完整列表：还有更具体的 API 可以返回特定移动设备 # 的 OTP：你可能会猜到这是怎么回事。帐户接管的舞台已经搭建完毕！第 1 步：从用户列表中选择手机号码并发送 OTP。我选择了与一家大型工程公司相关的一个。第 2 步：使用 API 通过手机查找 OTP：第 3 步：插入。这项技术使我能够完全控制任何用户帐户，进而控制车辆/车队。所有这一切的副作用是，您实际上通过向此人发送 OTP 来向他们通风报信，因此不幸的是，这不是无声的帐户接管。然而，还有第二种盗号方法！有API可以更新账户密码，因此您可以设置一个，然后使用密码登录。用户可能不会收到通知，但我不能 100% 确定。探索这里有一些额外的屏幕截图，记录了我可以访问哪些内容。这是车辆 API 的响应。有 676k！这是一张可让您跟踪所有车辆的地图： 以下是特定车辆的单独跟踪详细信息： 实时车辆集群，据说可以代表驾驶员所看到的内容： 以下是许多其他功能： 敏感数据 情况变得更糟！有一些与文档相关的 API 揭示了人们上传的 76k 文档和图像。这包括非常敏感的身份证件，例如 Aadhaar 卡和驾驶执照。时间线 我发现有人过去报告过 VECV 漏洞，他们给了我他们的 infosec 电子邮件地址。 2025 年 11 月 3 日：R