0
雷鋒網9月25日消息，據雅虎新聞報道，9月24日，來自騰訊的安全工程師鄭某因有意披露密碼、未經授權擅自訪問屬于飛龍酒店數據的行為，被新加坡國家法院罰款5000美元。
8月底，鄭某曾公開發表了一篇文章，詳細講述了他是如何發現并找到酒店Wi-Fi漏洞的過程：
這幾天在新加坡參加 HITB，比起各類料理，更讓我感興趣的是它的酒店 WiFi。去了三家酒店，WiFi 用的都是同一套認證系統，是 AntLabs 的 IG3100 的設備。連接到 WiFi 后會彈出一個地址為 ezxcess.antlabs.com 的認證頁面：
這個地址一般來說都是解析到 traceroute 第二跳的 IP 段的最后一位地址為 2 的主機上，比如 traceroute 的結果為 10.10.1.1，那么會解析到 10.10.1.2。 秉持著我到一個酒店日一個的精神，我對于這套系統進行了一個深入的測試，最后通過串聯了 4 個漏洞拿到系統的 root 權限。
據雅虎新聞透露，鄭某在 8 月 27 日就因參加 HITB 安全會議，入住了新加坡位于武吉士的飛龍酒店。
一天后，在好奇心的驅使下，他很想知道三家酒店所用的同一套的 Wi-Fi 認證系統是否存在漏洞，所以通過谷歌，他成功地搜索到了這款認證系統的默認用戶ID和密碼。
我找到了這個系統測兩個默認口令。一個是 telnet 的帳號，帳號密碼為 **********，另外一個是 ftp 的帳號，帳號密碼為 **********。很幸運，遇到的大部分酒店這兩個帳號都沒有禁用。（注：雷鋒網宅客頻道隱去了賬號密碼）
鄭某連接到酒店的WiFi網關后，在接下來的三天內開始進行執行腳本、解密文件和破解密碼的操作，最終進入了酒店 Wi-Fi 服務器的數據庫。
也就是說，他不僅公布了酒店的Wi-Fi服務器的管理員賬號和密碼（雖然是默認的），而且還把詳細的攻擊步驟公之于眾。據雅虎新聞報道，他除了撰寫文章，也在 WhatsApp 群聊中共享了那篇博文的URL鏈接，并在不止一個論壇上被分享。
文章發出后，來自新加坡網絡安全局的人員無意中看到了他的這篇博客，立即提醒飛龍酒店的管理層。鄭某在接到要求后也撤下了那篇博文。
鄭的律師 Anand Nalachandran 指出，雖然鄭的行為導致風險增加，但并未對酒店造成實際損害。由于鄭已經在監管期間待了幾天，律師要求罰款不超過5000美元。
按照新加坡法律的規定，對于未經授權披露密碼的罪行，鄭某可能被判入獄三年，最高罰款10000美元。但考慮到鄭某似乎出于好奇而犯了罪，沒有造成“實際的危害，所以目前做出了罰款5000美元的處罰。”
新聞來源：雅虎新聞
Tencent engineer attending cybersecurity event fined for Fragrance hotel hacking
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
