如果你想要劫持一台ATM機， 會選哪件稱手的兵器？一把榔頭， 還是一台電鑽， 我有一個夢想， 擁有一臺屬于自己的推土機， 哪有ATM機推哪裡。
同事胖子說作為一名“駭客”， 有個鍵盤就夠了， 為了向我證明， 非拉著作者去ATM機上玩兒掃雷， 還專門挖了篇外文稿子來“忽悠”我：
“Sberbank（俄羅斯聯邦儲蓄銀行）的ATM機偶然暴露了一個漏洞， 這家銀行的ATM機為了方便用戶操作， 在ATM機上裝了一個標配電腦鍵盤， 有個機智又無聊的使用者發現只要在鍵盤上連按5次“shift”鍵， ATM機就會彈出一個視窗， 關閉視窗就會回到WindowXP的開始介面（是的你沒看錯， ATM機就是用的XP系統）”
這樣說來， 還真說不定能玩兒掃雷。
恰巧公司樓下有家銀行， 跟胖子去看看能玩兒出什麼花樣。
鎖定一台ATM機， 我瞥了他一眼“你TM看到哪個中國的ATM機有鍵盤”， 胖子有點掃興， “說不定功能鍵也能有一樣的效果”， 說完掏出工資卡， 偷瞄著保安，
(胖子的作案工具)
確認、更正、取消、取款、退卡， 一個按五次。
“近日， 有不法分子冒充公檢法機關……”，
“嗶嗶嗶嗶嗶， 滴”， “嗶嗶嗶嗶嗶， 滴”， ……，
一番搗鼓下來連個XP桌面都沒看到， 這貨又開始找補， “你聽說過ATM機被電鑽鑽孔的故事麼， 只要能夠找到外接資料線位置， 接個鍵盤分分鐘， 要不是有保安， 我就給他鑽開了”， 我心想你丫還有錢買電鑽麼。
本打算打道回府， 他又瞄到銀行裡放著台電腦，
打開一看果然是XP系統， 能聯網， 但只能訪問銀行網站， 接著就聽胖子一陣劈啦啪啦按”shift“， 我心說這又不是ATM機， 你想玩兒掃雷摁開始不就得了。
還沒來得及說， 一回頭就見保安跟旁邊站著，
回到公司， 胖子又翻出一堆照片技術帖， 花了整整兩個小時跟我說明， 只要連上鍵盤， 別說玩掃雷， 偷改餘額他都能做到， 考慮到他半吊子水準， 後半句我就自動忽略了。
但機器存在安全性漏洞的事兒確實值得一提。
當然，通過我和胖子的實踐證明，雖然國內95％的ATM機裝配的都是XP系統，但是從硬體角度來看上述BUG在國內各大主流銀行的ATM終端機上並沒有生存空間。
關於Sberbank的安全性漏洞，再做個簡單說明。
國外一名Sberbank用戶在一台ATM機前等待客服電話，等得無聊於是隨便按按鍵盤，輕輕敲了五下“shift”，玩兒過跑跑卡丁車的朋友一定有感觸，系統彈出了是否啟動相黏鍵功能的對話方塊，挺正常一個反應，順手就在觸控式螢幕上關掉了，神奇的一幕發生了，XP的工作列、開始菜單竟然都冒了出來，那不是每個人都能通過這種方法打開操作程式，甚至駭客還可以修改ATM引導腳本，並在電腦上安裝惡意程式碼。事關帳戶安全，銀行投訴無果，這名用戶找到了媒體。
“Well, I, standing at the terminal of the Savings Bank with a full-sized keyboard and waiting for the operator to answer the phone, decided to press this Shift from boredom, naively believing that without functional keys this would lead to nothing. No matter how it is! Five times quick pressing of this key gave me that very little window, besides revealing the task panel with all the bank software.” wrote the user.
“我在儲蓄銀行終端前看著鍵盤，等待著客服回我電話，我打算按下Shift鍵改變這無聊的現狀。我天真地以為，無論如何，按下功能鍵也並不會改變什麼。快速按下Shift鍵5次，出現了一個很小的視窗，上面有一個能顯示所有銀行軟體的任務面板。”
按理來講這足夠引起銀行的重視了，據稱，近兩周前Sberbank就被告知了其自動取款機的安全性漏洞。銀行確認已立即修復了安全問題，但發現漏洞的用戶聲稱，他訪問的終端上仍然存在該問題，這才引得國外一批安全專家敦促金融機構為其自動取款機更新最新版本的Windows。
視線再拉回國內，2014年4月8日，微軟正式宣佈停止對XP系統進行更新，XP系統正式宣告退休。
但目前國內許多銀行、企事業單位甚至個人用戶都仍在使用，而搭載XP系統的ATM機基本覆蓋了所有的城市網路，一台關係到帳戶存款的主機與一個並不安全的作業系統關聯起來，足夠給我們一個刨根問底的理由了。
早在XP系統剛剛下線時就有一大批的技術帖分析過繼續使用XP系統的風險，我們做一個大概的整理歸類，這些風險基本來自五種途徑，
1、流覽網頁，常規的病毒傳播，因為系統缺乏維護會導致病毒的肆虐。
2、通過E-mail等即時通訊軟體傳播非法位址，系統漏洞不能及時修補，使用者將更加依賴協力廠商軟體。
3、外接式存放裝置，對缺乏維護的企業系統來講將加大這一方面的風險。
4、新型的XP漏洞，對沒有新型防火牆的使用者，系統將赤條條的暴露在駭客的槍口下。
5、勒索軟體的威脅，XP支援結束後有可能導致相關情形的惡化。
歸根結底，一套缺乏定期更新維護的系統，尤其是在微軟釋出XP版的IE漏洞修補程式之後，駭客取得了主動權，不僅可以利用逆向工程獲得漏洞，甚至可以透過系統來設計攻擊程式，怎麼聽，繼續使用XP都不是一個好選擇。
銀行用了最簡單高效的方法解決安全問題。
ATM機用到的XP SP1等定制系統連接的都是內網，這意味著大量通過網路傳播的病毒從根源上就被切斷了。
甚至部分需要連接外網的電腦，如上文中提到胖子狂按“shift”鍵的那一台，也通過程式進行了鎖定和監控。
而外接設備要面對即時監控更無從下手。
至於系統漏洞，銀行本就掌握了最先進的安防技術，這道“防火牆”才是銀行最基本的屏障。
當然如果只是為了連接內網，並不能足以解釋為何沿用XP，畢竟Windows系列以及IOS等新型系統更人性化。
或許我們可以用它的壟斷地位來做出解釋，XP問世十幾年中絕大多數ATM機都已經完成搭載，而ATM機的數量也翻番增長到50W台左右，更換系統就意味著需要購置大量的硬體設備以及相應的驅動，而銀行又有足夠的資料表明過去十幾年裡XP為用戶提供了穩定支援。
換句話說ATM作為剛需工具也不需要花裡胡哨的技能，銀行自然沒必要消耗大量的成本取悅消費者。
回到安全主題，有意思的是，如果Sberbank樂意解決這個BUG，甚至不需要增加任何成本，只要把ATM機換回無鍵盤的老版本就可以了。
技術本身就是實用主義工具，核導彈發射用的一定不是最新的技術手段，新技術本身就是亟需驗證的未知領域，而在涉及公共安全的重要領域，人民的生命財產安全才是重中之重。
最後作者認為，接鍵盤什麼的都弱爆了，看看溫州小哥手撕ATM，我勸你們還是斷了搶錢的念頭吧
九樓 原創
當然，通過我和胖子的實踐證明，雖然國內95％的ATM機裝配的都是XP系統，但是從硬體角度來看上述BUG在國內各大主流銀行的ATM終端機上並沒有生存空間。
關於Sberbank的安全性漏洞，再做個簡單說明。
國外一名Sberbank用戶在一台ATM機前等待客服電話，等得無聊於是隨便按按鍵盤，輕輕敲了五下“shift”，玩兒過跑跑卡丁車的朋友一定有感觸，系統彈出了是否啟動相黏鍵功能的對話方塊，挺正常一個反應，順手就在觸控式螢幕上關掉了，神奇的一幕發生了，XP的工作列、開始菜單竟然都冒了出來，那不是每個人都能通過這種方法打開操作程式，甚至駭客還可以修改ATM引導腳本，並在電腦上安裝惡意程式碼。事關帳戶安全，銀行投訴無果，這名用戶找到了媒體。
“Well, I, standing at the terminal of the Savings Bank with a full-sized keyboard and waiting for the operator to answer the phone, decided to press this Shift from boredom, naively believing that without functional keys this would lead to nothing. No matter how it is! Five times quick pressing of this key gave me that very little window, besides revealing the task panel with all the bank software.” wrote the user.
“我在儲蓄銀行終端前看著鍵盤，等待著客服回我電話，我打算按下Shift鍵改變這無聊的現狀。我天真地以為，無論如何，按下功能鍵也並不會改變什麼。快速按下Shift鍵5次，出現了一個很小的視窗，上面有一個能顯示所有銀行軟體的任務面板。”
按理來講這足夠引起銀行的重視了，據稱，近兩周前Sberbank就被告知了其自動取款機的安全性漏洞。銀行確認已立即修復了安全問題，但發現漏洞的用戶聲稱，他訪問的終端上仍然存在該問題，這才引得國外一批安全專家敦促金融機構為其自動取款機更新最新版本的Windows。
視線再拉回國內，2014年4月8日，微軟正式宣佈停止對XP系統進行更新，XP系統正式宣告退休。
但目前國內許多銀行、企事業單位甚至個人用戶都仍在使用，而搭載XP系統的ATM機基本覆蓋了所有的城市網路，一台關係到帳戶存款的主機與一個並不安全的作業系統關聯起來，足夠給我們一個刨根問底的理由了。
早在XP系統剛剛下線時就有一大批的技術帖分析過繼續使用XP系統的風險，我們做一個大概的整理歸類，這些風險基本來自五種途徑，
1、流覽網頁，常規的病毒傳播，因為系統缺乏維護會導致病毒的肆虐。
2、通過E-mail等即時通訊軟體傳播非法位址，系統漏洞不能及時修補，使用者將更加依賴協力廠商軟體。
3、外接式存放裝置，對缺乏維護的企業系統來講將加大這一方面的風險。
4、新型的XP漏洞，對沒有新型防火牆的使用者，系統將赤條條的暴露在駭客的槍口下。
5、勒索軟體的威脅，XP支援結束後有可能導致相關情形的惡化。
歸根結底，一套缺乏定期更新維護的系統，尤其是在微軟釋出XP版的IE漏洞修補程式之後，駭客取得了主動權，不僅可以利用逆向工程獲得漏洞，甚至可以透過系統來設計攻擊程式，怎麼聽，繼續使用XP都不是一個好選擇。
銀行用了最簡單高效的方法解決安全問題。
ATM機用到的XP SP1等定制系統連接的都是內網，這意味著大量通過網路傳播的病毒從根源上就被切斷了。
甚至部分需要連接外網的電腦，如上文中提到胖子狂按“shift”鍵的那一台，也通過程式進行了鎖定和監控。
而外接設備要面對即時監控更無從下手。
至於系統漏洞，銀行本就掌握了最先進的安防技術，這道“防火牆”才是銀行最基本的屏障。
當然如果只是為了連接內網，並不能足以解釋為何沿用XP，畢竟Windows系列以及IOS等新型系統更人性化。
或許我們可以用它的壟斷地位來做出解釋，XP問世十幾年中絕大多數ATM機都已經完成搭載，而ATM機的數量也翻番增長到50W台左右，更換系統就意味著需要購置大量的硬體設備以及相應的驅動，而銀行又有足夠的資料表明過去十幾年裡XP為用戶提供了穩定支援。
換句話說ATM作為剛需工具也不需要花裡胡哨的技能，銀行自然沒必要消耗大量的成本取悅消費者。
回到安全主題，有意思的是，如果Sberbank樂意解決這個BUG，甚至不需要增加任何成本，只要把ATM機換回無鍵盤的老版本就可以了。
技術本身就是實用主義工具，核導彈發射用的一定不是最新的技術手段，新技術本身就是亟需驗證的未知領域，而在涉及公共安全的重要領域，人民的生命財產安全才是重中之重。
最後作者認為，接鍵盤什麼的都弱爆了，看看溫州小哥手撕ATM，我勸你們還是斷了搶錢的念頭吧
九樓 原創