大家都知道計(jì)算機(jī)會(huì)被黑，但你知道顯示器也會(huì)被黑客用來玩弄你嗎？崔昂，美國(guó)安全公司Red Balloon Security創(chuàng)始人兼首席科學(xué)家，發(fā)現(xiàn)了黑進(jìn)流行戴爾顯示器，操縱屏幕顯示內(nèi)容的方法。此類攻擊可誘騙用戶輸入個(gè)人隱私信息。

　　基本上，你無法信任計(jì)算機(jī)輸出的東西，因?yàn)轱@示器會(huì)對(duì)屏幕內(nèi)容做修改。

我們來看一個(gè)典型例子：

這是一臺(tái)漂亮的戴爾(U2410)24寸顯示器。看看這個(gè)網(wǎng)站，這明顯是個(gè)模擬出來的非真實(shí)網(wǎng)站。你可能沒想到的是，該顯示器本身也有臺(tái)計(jì)算機(jī)在里面，負(fù)責(zé)顯示像素，選擇輸入。這臺(tái)內(nèi)嵌的計(jì)算機(jī)通常被稱為屏幕顯示控制器。

現(xiàn)在，我們的研究發(fā)現(xiàn)，攻擊者有辦法入侵顯示器中的這個(gè)控制器，在里面執(zhí)行任意代碼。如果不能信任計(jì)算機(jī)的輸出——因?yàn)轱@示器實(shí)際上正在改變屏幕上的像素值，那該怎么辦?

我們做的正是這個(gè)。如果攻擊者將你重定向到長(zhǎng)得跟你網(wǎng)銀很像的網(wǎng)站，你大約是不會(huì)在瀏覽器上看到那把標(biāo)志安全的SSL小鎖頭的。于是，攻擊者會(huì)進(jìn)一步入侵你的顯示器，在你屏幕上手動(dòng)畫一個(gè)SSL鎖頭出來。

我們讓這把SSL鎖頭無法移動(dòng)。讓它隨著瀏覽器移動(dòng)是可以的，但為了演示需要，我們就讓它不跟隨屏幕移動(dòng)了。

現(xiàn)在，你的計(jì)算機(jī)并沒有顯示出你的連接是安全的，但是顯示器覆蓋了一個(gè)SSL鎖頭圖標(biāo)上去。

我們可以用顯示器來改變你在自己銀行賬戶中看到的東西。比如說，你賬戶里有100美元，但我們可以操縱你的顯示器，讓你看到自己賬戶里有100萬美元。用戶無法發(fā)現(xiàn)自己眼見不為實(shí)，因?yàn)槲覀冎皇峭ㄟ^顯示器在跟計(jì)算機(jī)互動(dòng)。

我們估測(cè)，全世界目前至少有10億臺(tái)顯示器無法抵御此類攻擊。

崔昂將此類攻擊稱為“暗黑顯示器”。具體漏洞利用程序在Red Balloon的GitHub存儲(chǔ)中有展示。（https://github.com/RedBalloonShenanigans/MonitorDarkly）

暗黑顯示器在美劇《機(jī)器人先生》第3季中也有呈現(xiàn)。

艾略特·奧爾德森(《機(jī)器人先生》主角)：你對(duì)我電腦做了什么？我知道你在顯示器背后搞鬼。

崔昂的團(tuán)隊(duì)已通告戴爾相關(guān)漏洞信息。戴爾建議用戶升級(jí)到U2417型顯示器。他們稱“安全是首要考慮”。