利用 SQL 注入绕过机场安检：一次对 KCM/CASS 系统的深度安全剖析

本文揭示了通过 SQL 注入漏洞，研究人员成功接管航空公司员工管理系统，从而可能绕过 TSA 安检并进入飞机驾驶舱的完整过程。

背景：机场安检的“快捷通道”

经常乘坐飞机的人可能注意到，在机场安检处有时会有一条特殊的通道，称为“Known Crewmember”（KCM，已知机组人员）计划。KCM 是美国运输安全管理局（TSA）推出的一项计划，允许飞行员和空乘人员（即使是在个人国内旅行时）绕过标准安检流程，直接进入安全区域。

KCM 的验证流程通常如下：员工使用专用通道，出示 KCM 条码，或向 TSA 安检员（TSO）提供其员工编号和所属航空公司。安检员通过笔记本电脑查询该员工的就业状态，如果验证通过，该员工无需任何额外筛查即可进入机场的“无菌区”（即登机口区域）。

类似地，还有一个用于驾驶舱访问的系统——Cockpit Access Security System（CASS，驾驶舱访问安全系统）。大多数飞机驾驶舱内有一个额外的折叠座椅（跳座），供非当班飞行员在通勤或旅行时使用。CASS 允许航班登机口工作人员验证跳座乘客是否为授权飞行员，然后通知航班机组人员该乘客已通过 CASS 认证。

无论 KCM 还是 CASS，其核心都是对员工当前就业状态的验证。如果某人已不在航空公司工作，则他未经过背景调查，不应被允许绕过安检或进入驾驶舱。此外，验证过程还应返回员工的照片，以确保授权给正确的人。

然而，当每家航空公司使用不同的员工信息系统时，TSA 如何统一协调验证呢？这正是本文作者 Ian Carroll 和 Sam Curry 的疑惑，也是整个故事的开端。

核心基础设施：ARINC 的中枢作用

ARINC（柯林斯航空航天公司的子公司）受 TSA 合同委托，运营 KCM 系统。ARINC 运行着几个关键组件，包括一个面向飞行员和空乘的 KCM 状态查询网站，以及一个用于在不同航空公司之间路由授权请求的 API。每家航空公司（共 77 家）都有自己的授权系统来参与 KCM/CASS，这些系统与 ARINC 的“中心”进行交互。

TSA 和航空公司会向 ARINC 发送诸如“CockpitAccessRequest（驾驶舱访问请求）”和“CrewVerificationRequest（机组人员验证请求）”之类的请求，ARINC 再将请求路由到相应的航空公司系统，并接收返回的响应。

大型航空公司或许有能力自建系统，但小型航空公司呢？它们如何接入 KCM 或 CASS？

发现 FlyCASS.com

在寻找实际运营授权系统的服务商时，Ian 和 Sam 发现了一个名为 FlyCASS 的网站。该网站向小型航空公司推销一种基于 Web 的 CASS 接口。令人感兴趣的是，每个航空公司都有自己的登录页面，例如 Air Transport International (8C) 的入口为 /ati。

最初，他们只看到一个登录页面，以为走到了死胡同。但本着探索精神，他们在用户名字段中尝试输入了一个单引号：'，立刻收到了 MySQL 错误信息。

这显然是一个极其危险的信号——用户名直接被拼接到了 SQL 查询语句中。毫无疑问，这是典型的 SQL 注入漏洞。他们随即使用 SQLMap 工具确认了该漏洞的严重性。

通过使用 ' or '1'='1 作为用户名，以及 ') OR MD5('1')=MD5('1 作为密码，他们成功以 Air Transport International 的 管理员身份 登录了 FlyCASS。

权限的扩大：KCM/CASS 管理员

登录后，他们发现 FlyCASS 同时为其参与航空公司运营 KCM 与 CASS 服务。现在，作为 Air Transport International 的管理员，他们可以管理与之关联的飞行员和空乘人员名单。

更严重的是，除了管理员登录本身，系统没有额外的安全验证，允许任意添加新员工。作为航空公司管理员，他们可以将任何人都添加为 KCM 和 CASS 的授权用户。为了验证该可行性，他们创建了一个名为 “Test TestOnly” 的员工，附上自己选择的测试照片，并授权了 KCM 和 CASS 访问权限。之后，他们通过查询功能确认这位新员工已被授权。

至此，问题的严重性已完全暴露：任何拥有基本 SQL 注入知识的人都可以登录该网站，并将任意人员添加到 KCM/CASS 授权名单中，从而让自己或他人能够绕过机场安检，甚至进入商业客机的驾驶舱。

披露与各方反应

发现如此严重的问题后，研究人员立即启动了负责任的披露流程。他们首先试图寻找合适的联系渠道，但碰到了困难。他们不希望直接联系 FlyCASS（因为该网站疑似仅由一人运营，担心引起警觉）。

2024年4月23日，他们向美国国土安全部（DHS）披露了该问题。DHS 确认收到了报告，并回应称“非常严肃地对待此事”。随后，FlyCASS 被从 KCM/CASS 系统中断开，后来似乎修复了该漏洞。

然而，当研究人员试图协调安全披露后的后续工作时，DHS 却不再回应。TSA 新闻办公室也发布了一份关于该漏洞的危险错误声明，否认了这一发现。TSA 声称该漏洞无法用于通过 KCM 检查点，因为 TSA 在向新成员发放 KCM 条码前会进行审查。

但事实是：使用 KCM 检查点并不需要 KCM 条码——TSO（安检员）可以手动输入航空公司员工 ID 进行查询。当研究人员告知 TSA 这一点后，TSA 竟然删除了其网站上关于手动输入员工 ID 的部分，且对研究人员的更正要求没有任何回应。研究人员确认，TSO 实际使用的系统界面仍支持手动输入员工 ID。

此外，可能还存在其他攻击方式。由于该漏洞允许编辑现有 KCM 成员的信息，攻击者可以更改已注册用户的照片和姓名——这同样绕过了可能存在的对新成员的任何审查。攻击者还能在获得未注册 KCM 条码后，自己在 KCM 网站上将其绑定到某个员工 ID 上。

披露时间线

• 2024年4月23日：向 ARINC 和 FAA 首次披露
• 2024年4月24日：通过 CISA 向 DHS 披露
• 2024年4月25日：DHS CISO 确认正在解决
• 2024年5月7日：DHS CISO 确认 FlyCASS 已从 KCM/CASS 断开
• 2024年5月17日：向 DHS CISO 询问 TSA 声明（无回复）
• 2024年6月4日：再次询问 TSA 声明（无回复）

技术深度解析

SQL 注入的根源

该漏洞的根本原因在于 Web 登录界面未对用户输入进行任何转义或参数化处理，直接将 username 字段拼接进 SQL 查询。攻击者利用经典的 ' or '1'='1 使 WHERE 条件恒为真，从而绕过密码验证。而第二个 payload ') OR MD5('1')=MD5('1 则是针对特定结构的 SQL 语句进行了适配。

影响范围

• KCM 绕过：攻击者可冒充合法飞行员或空乘，通过 KCM 专用通道，无需安检即可携带任何物品进入飞机。
• CASS 驾驶舱访问：攻击者可能被添加到驾驶舱跳座授权名单，从而有机会进入飞行中的驾驶舱，构成飞行安全重大威胁。
• 身份篡改：对已注册成员的修改可能影响照片或姓名，进一步破坏身份验证的可靠性。

为什么需要关注

航空安全依赖于多层次防御，任何单点漏洞都可能被放大。此案例暴露了供应链中的薄弱环节——小型第三方供应商（FlyCASS）成为整个系统的突破口。同时，TSA 在漏洞披露中的不透明回应也影响了安全修补的信任度。

结论

这次安全研究再次证明，即使是看似不重要的外围系统，只要存在严重的代码缺陷，也能瞬间威胁到世界上最严格的物理安全体系。SQL 注入这一经典攻击手段在 2024 年依然能造成惊人后果，这警示所有开发者和相关机构，必须对输入验证和访问控制保持最高警惕。

原文链接

https://ian.sh/tsa