搜索

[7883] 2014-03-19_对门控系统的攻击面检查

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2014-03-19_对门控系统的攻击面检查 对 门 控 系 统 的 攻 击 面 检 查 I D F _ L a b   F r e e B u f   2 0 1 4 - 0 3 - 1 9 一 、 引 言 一 、 引 言 近 年 来 ， 许 多 企 业 出 于 对 安 全 的 考 虑 ， 开 始 逐 步 使 用 电 脑 化 的 门 控 系 统 ： 要 求 用 户 拥 有 中 央 数 据 库 授 权 的 口 令 或 者 近 年 来 ， 许 多 企 业 出 于 对 安 全 的 考 虑 ， 开 始 逐 步 使 用 电 脑 化 的 门 控 系 统 ： 要 求 用 户 拥 有 中 央 数 据 库 授 权 的 口 令 或 者 刷 卡 ， 以 确 保 那 些 没 有 授 权 的 人 无 法 进 入 公 司 区 域 或 者 公 司 的 受 限 区 域 。 刷 卡 ， 以 确 保 那 些 没 有 授 权 的 人 无 法 进 入 公 司 区 域 或 者 公 司 的 受 限 区 域 。 没 有 完 美 的 系 统 ， 迄 今 为 止 大 多 的 尝 试 都 围 绕 着 社 工 方 面 （ 诸 如 紧 随 溜 进 ） 或 者 设 法 占 有 必 要 的 令 牌 以 绕 过 该 套 系 统 。 但 是 攻 击 者 通 过 利 用 门 控 系 统 自 身 的 软 硬 件 弱 点 也 是 可 以 进 入 的 。 在 本 篇 文 章 里 ， 我 们 将 展 示 一 款 在 门 控 系 统 市 场 领 先 产 品 的 严 重 安 全 漏 洞 ，   通 过 它 们 不 仅 能 够 获 取 安 全 场 所 的 访 问 权 限 ， 也 可 以 获 取 所 在 企 业 的 机 密 信 息 。 这 些 弱 点 包 括 ， 但 不 限 于 ： 缺 少 默 认 配 置 密 码 ， 无 需 认 证 的 控 制 端 口 ，   硬 件 缺 少 认 证 ，   攻 击 者 对 数 据 库 的 可 能 拷 贝 ，   利 用 缓 冲 区 溢 出 攻 击 造 成 的 拒 绝 服 务 ，   硬 编 码 的 密 钥 导 致 的 可 能 性 的 欺 骗 。 为 避 免 厂 商 解 决 问 题 期 间 可 能 的 恶 意 攻 击 ，   我 们 不 会 指 明 哪 家 的 门 控 系 统 有 问 题 ，   有 些 技 术 细 节 也 做 了 处 理 。   我 们 期 望 待 厂 家 解 决 这 些 问 题 之 后 ， 再 发 布 一 篇 完 整 的 文 章 ， 包 括 那 些 具 体 的 细 节 。 我 们 试 图 概 述 这 些 系 统 的 安 全 问 题 ，   而 不 是 在 某 个 点 上 深 入 研 究 ，   所 以 进 一 步 的 研 究 纲 要 也 是 必 须 的 。   在 稍 后 的 后 续 研 究 章 节 里 有 相 关 大 纲 。 通 过 该 项 研 究 ，   我 们 建 议 有 关 机 构 应 该 尽 可 能 的 将 他 们 的 物 理 安 全 设 备 同 网 络 隔 绝 ，   以 最 小 化 一 个 沦 陷 的 系 统 对 其 他 系 统 的 突 破 。 二 、 背 景 二 、 背 景 我 们 有 一 款 门 控 系 统 ，   由 英 国 一 家 占 有 较 大 市 场 份 额 的 厂 商 提 供 。   该 系 统 包 含 两 部 分 — — 运 行 在 微 软 W i n d o w s 机 器 上 的 软 件 管 理 服 务 器 ；   一 个 定 制 的 物 理 控 制 器 ， 上 面 跑 着 一 些 软 件 组 件 ， 以 便 连 接 到 管 理 服 务 器 上 。 在 研 究 期 间 ，   我 们 试 图 识 别 系 统 的 痕 迹 ，   发 现 系 统 上 的 弱 点 ，   尤 其 是 那 些 造 成 未 授 权 访 问 的 。 三 、 门 控 制 器 三 、 门 控 制 器 我 们 所 检 测 的 这 款 门 控 制 器 是 问 题 制 造 商 的 最 新 可 用 款 ，   因 此 可 以 对 该 类 系 统 的 现 存 风 险 做 一 个 现 实 的 评 估 。 每 个 控 制 器 就 是 一 个 定 制 的 硬 件 ， 由 电 池 供 电 。   与 两 块 门 相 连 ， 每 个 都 有 一 个 进 入 时 读 取 器 和 一 个 锁 （ 必 要 时 ， 出 来 的 也 有 ） 。   同 时 还 有 一 个 辅 助 的 输 入 设 备 （ 用 于 输 入 P I N 码 ） ，   一 个 输 出 设 备 — — 用 作 门 开 之 后 的 状 态 显 示 灯 。 最 重 要 的 是 ， 控 制 器 连 接 到 了 管 理 服 务 器 上 。 在 老 的 款 型 中 ， 通 过 串 口 连 接 ，   但 在 新 款 里 ， 还 可 通 过 I P 进 行 连 接 ， 由 一 款 流 行 的 串 口 转 以 太 网 的 设 备 提 供 。 这 个 串 口 转 以 太 口 的 设 备 可 通 过 w e b 和 t e l n e t 方 式 远 程 管 理 ，   在 其 默 认 的 配 置 中 ，   w e b 接 口 和 t e l n e t 访 问 都 没 有 配 置 密 码 。
控 制 器 在 其 默 认 配 置 里 提 供 了 几 种 连 网 服 务 。   下 面 我 们 将 介 绍 其 中 所 发 现 的 漏 洞 ： 3 . 1   控 制 端 口 控 制 端 口 通 过 该 控 制 端 口 可 配 置 控 制 器 。   虽 然 所 用 协 议 的 具 体 细 节 尚 未 公 布 ， 但 第 三 方 的 研 究 者 已 经 在 网 上 发 布 了 一 些 相 关 信 息 。 它 既 不 需 要 也 不 支 持 认 证 ， 指 令 可 以 通 过 U D P 直 接 发 送 到 目 标 主 机 或 者 广 播 到 广 播 域 里 的 所 有 设 备 。 特 别 的 ， 如 果 w e b 和 t e l n e t 接 口 设 置 了 密 码 ， 一 个 G e t 配 置 请 求 被 发 送 到 该 接 口 ，   密 码 就 会 被 包 含 在 响 应 中 。   如 果 在 控 制 面 板 里 选 择 了 高 级 密 码 选 项 ， 该 情 况 就 不 会 出 现 ，   但 在 基 本 的 默 认 配 置 下 是 这 样 的 。 即 使 没 有 这 一 点 ， 基 本 模 式 下 的 密 码 也 极 其 危 险 ，   因 为 不 能 超 过 5 个 字 符 。 也 可 为 控 制 器 设 置 一 个 新 的 I P 地 址 。 这 实 际 上 就 成 了 拒 绝 服 务 攻 击 ， 因 为 管 理 服 务 器 无 法 与 控 制 器 通 信 。   对 于 攻 击 者 ， 控 制 住 控 制 器 本 身 也 是 必 须 的 ，   因 为 串 口 到 I P 的 转 换 器 只 允 许 一 个 连 接 ，   管 理 服 务 器 也 试 图 保 持 持 续 的 连 接 。   只 有 打 断 管 理 服 务 器 和 控 制 器 间 的 连 接 ，   攻 击 者 才 有 可 能 控 制 住 门 。 一 旦 I P 地 址 被 更 改 了 ， 就 无 法 阻 止 门 控 系 统 被 重 新 配 置 ， 系 统 可 以 被 修 改 ，   或 者 安 装 新 的 软 件 ，   攻 击 者 可 以 获 取 到 对 门 的 完 全 控 制 权 。 四 、 管 理 服 务 器 四 、 管 理 服 务 器 在 默 认 设 置 下 ， 没 有 开 启 防 火 墙 ，   管 理 服 务 器 在 网 络 上 暴 露 了 一 些 服 务 ： 4 . 1   远 程 配 置 服 务 远 程 配 置 服 务 有 个 远 程 配 置 端 口 ，   但 端 口 扫 描 即 可 使 其 崩 溃 ，   所 以 它 不 是 一 直 可 见 的 。 一 旦 建 立 连 接 ，   远 程 配 置 服 务 器 在 读 取 指 令 前 ， 读 取 4 字 节 ， 用 于 创 建 缓 冲 区 。   如 果 缓 冲 太 大 ， 程 序 就 会 崩 溃 — — 所 以 即 使 是 无 意 的 ， 也 很 容 易 就 造 成 了 拒 绝 服 务 。   但 这 并 不 允 许 远 程 代 码 的 执 行 。 该 程 序 使 用 了 W i n d o w s 的 A P I 调 用 ， 利 用 硬 编 码 的 密 钥 ， 对 C / S 间 的 传 送 的 数 据 进 行 加 解 密 ，   这 就 很 容 易 对 信 息 进 行 拦 截 、 欺 骗 。   而 这 些 信 息 本 身 是 以 人 为 可 读 取 的 x m l 形 式 存 在 的 。 4 . 2   数 据 库 管 理 程 序 数 据 库 管 理 程 序 数 据 库 管 理 程 序 提 供 了 网 络 访 问 ， 以 便 可 以 远 程 的 控 制 备 份 的 开 始 和 结 束 。   在 没 有 任 何 凭 据 的 情 况 下 ， 也 可 以 轻 松 的 访 问 它 ， 在 攻 击 者 控 制 下 的 机 器 上 创 建 数 据 库 的 备 份 拷 贝 。 （ 对 此 的 P o C 已 经 开 发 出 来 了 ， 但 考 虑 到 漏 洞 仍 然 存 在 ， 所 以 进 行 了 裁 剪 处 理 ） 。 这 样 一 来 ，   攻 击 者 不 但 可 以 访 问 到 机 密 信 息 （ 比 如 员 工 的 名 字 、 P I N 码 等 ） ， 还 可 以 与 4 . 1 节 中 提 到 的 更 改 I P 地 址 联 合 使 用 。 一 旦 将 数 据 库 导 入 到 他 们 自 己 的 控 制 软 件 中 ， 攻 击 者 就 可 以 更 改 控 制 器 的 I P ，   使 其 连 到 自 己 的 服 务 器 上 。   这 使 得 攻 击 者 获 取 了 对 门 的 完 全 控 制 权 ， 同 时 还 允 许 授 权 用 户 像 往 常 一 样 认 证 出 入 ， 不 会 引 起 啥 怀 疑 。 进 行 逆 向 的 结 果 表 明 ， 数 据 库 的 管 理 员 可 以 从 备 份 中 进 行 数 据 恢 复 — — 这 意 味 着 攻 击 者 可 以 可 以 用 他 们 自 己 的 版 本 对 数 据 进 行 替 换 。   但 在 测 试 的 这 个 版 本 中 已 经 不 再 支 持 。   在 早 期 的 版 本 中 ， 可 能 就 存 在 这 样 的 漏 洞 。 攻 击 者 也 可 以 阻 止 合 法 的 备 份 — — 如 果 指 定 了 一 个 错 误 的 或 者 不 可 访 问 的 备 份 地 址 ， 备 份 任 务 就 停 留 在 队 列 中 ， 后 续 的 任
务 会 对 其 进 行 覆 盖 。 4 . 3   其 他 软 件 其 他 软 件 一 个 独 立 的 软 件 模 块 （ 我 们 这 里 不 会 透 露 的 ， 以 防 被 识 别 利 用 ） ， 处 理 软 件 和 硬 件 间 的 通 信 。 它 维 持 持 久 的 连 接 ，   随 时 记 录 相 关 信 息 。 由 于 时 间 的 限 制 ， 我 们 对 其 处 理 卡 号 的 增 删 所 发 送 的 消 息 未 能 进 行 完 全 的 解 码 ，   但 我 们 发 现 它 对 卡 号 仅 是 与 一 个 常 量 进 行 异 或 运 算 来 进 行 加 密 。 五 、 进 一 步 研 究 的 方 向 五 、 进 一 步 研 究 的 方 向 鉴 于 软 件 和 硬 件 间 的 消 息 没 有 时 间 戳 处 理 ，   所 以 可 以 对 消 息 进 行 回 放 ， 将 其 发 送 到 另 一 个 门 控 器 上 ， 来 增 加 卡 号 。   然 而 ， 要 进 行 这 样 的 尝 试 ，   需 要 解 析 初 始 连 接 的 握 手 协 议 ，   这 个 目 前 还 没 有 成 功 实 现 。 我 们 同 样 也 注 意 到 ， 软 件 和 硬 件 模 块 间 的 通 信 包 含 了 一 个 定 期 轮 询 消 息 ， 每 隔 固 定 的 时 间 间 隔 发 送 。 少 量 的 其 他 信 息 也 重 复 的 发 送 。   这 些 都 有 待 于 解 析 ， 但 是 很 可 能 将 来 的 研 究 会 证 明 这 些 都 是 可 预 测 的 ， 也 很 容 易 模 仿 。 另 一 个 可 后 续 研 究 的 方 向 是 对 高 级 密 码 选 项 设 置 的 密 码 进 行 破 解 ， 以 此 获 取 用 户 帐 号 。 六 、 漏 洞 总 结 六 、 漏 洞 总 结 默 认 配 置 默 认 配 置 串 口 转 以 太 的 设 备 上 运 行 的 w e b 服 务 器 没 有 设 置 密 码 。 控 制 端 口 未 认 证 控 制 端 口 未 认 证 无 需 密 码 即 可 通 过 控 制 端 口 对 设 备 的 再 配 置 。   没 有 任 何 选 项 可 以 进 行 设 置 。 密 码 获 取 密 码 获 取 T e l n e t   和 w e b 访 问 的 密 码 在 使 用 基 本 密 码 模 式 时 可 以 通 过 控 制 端 口 获 取 到 。 未 认 证 的 管 理 接 口 未 认 证 的 管 理 接 口 在 默 认 的 管 理 服 务 中 没 有 设 置 密 码 ，   使 得 未 授 权 用 户 也 可 对 管 理 服 务 器 进 行 访 问 。 拒 绝 服 务 拒 绝 服 务 设 备 的 I P 地 址 可 能 被 更 改 ， 导 致 管 理 口 无 法 控 制 门 或 者 查 看 信 息 。 设 备 侵 占 设 备 侵 占 没 有 任 何 认 证 阻 止 对 门 控 系 统 的 再 配 置 。   如 果 I P 地 址 被 更 改 了 ， 攻 击 者 可 通 过 安 装 对 门 控 系 统 重 置 、 再 配 置 。   这 使 得 攻 击 者 获 得 对 门 的 完 全 控 制 权 。 数 据 库 管 理 程 序 没 有 认 证 数 据 库 管 理 程 序 没 有 认 证 数 据 库 管 理 没 有 认 证 ，   允 许 攻 击 备 份 到 本 地 。
硬 编 码 的 加 密 密 钥 硬 编 码 的 加 密 密 钥 远 程 配 置 服 务 器 用 了 一 个 硬 编 码 的 加 密 密 钥 ，   攻 击 者 以 此 可 以 对 传 送 中 的 消 息 进 行 欺 骗 、 解 密 。 对 卡 号 的 异 或 处 理 对 卡 号 的 异 或 处 理 在 软 件 和 硬 件 间 进 行 通 信 的 软 件 并 没 有 对 卡 号 加 密 ， 仅 是 与 一 个 常 量 的 异 或 处 理 。 七 、 结 论 七 、 结 论 虽 然 门 控 系 统 可 以 阻 止 一 些 初 级 的 攻 击 者 ， 我 们 对 一 款 领 先 品 牌 的 检 测 表 明 ， 即 使 使 用 一 些 相 对 简 单 的 攻 击 技 巧 ， 也 可 以 获 取 到 系 统 的 控 制 权 。 更 何 况 在 强 烈 的 攻 势 之 下 呢 ， 估 计 也 就 很 少 有 用 啦 。 我 们 已 经 发 现 了 系 统 中 的 一 些 漏 洞 ， 从 用 户 层 面 可 更 改 的 ， 到 需 要 厂 商 来 解 决 的 更 深 层 次 的 。   最 为 重 要 的 是 ， 控 制 端 口 、 数 据 库 管 理 程 序 认 证 的 缺 失 意 味 着 攻 击 者 在 不 引 起 用 户 注 意 的 情 况 下 就 可 以 对 门 控 系 统 进 行 完 全 的 控 制 。 在 该 领 域 迫 切 的 需 要 进 一 步 的 研 究 ，   因 为 这 份 初 级 的 报 告 表 明 许 多 的 物 理 安 全 系 统 很 难 应 对 或 者 压 根 不 能 应 对 有 针 对 性 的 攻 击 。 考 虑 到 这 一 点 ， 将 物 理 安 全 系 统 同 公 司 的 网 络 隔 离 是 很 必 要 的 。 攻 击 者 即 使 获 取 到 对 的 网 络 一 个 很 低 的 访 问 权 限 ， 以 很 小 的 代 价 ， 就 能 获 取 到 对 机 构 物 理 安 全 设 备 的 整 个 控 制 权 。 我 们 建 议 所 有 的 物 理 安 全 系 统 — — — — 不 仅 仅 是 门 控 系 统 ， 还 有 像 闭 路 电 视 ， 以 及 其 他 任 何 的 可 能 影 响 建 筑 的 物 理 安 全 的 — — 都 应 该 保 证 系 统 和 网 络 间 的 空 隙 。   在 我 们 看 来 这 是 任 何 想 保 护 其 物 理 财 产 的 机 构 至 少 要 做 的 。 来 源 声 明 ： 本 文 来 自 n c c g r o u p 的 博 文 《 D o o r   C o n t r o l   S y s t e m s :   A n   E x a m i n a t i o n   o f   L i n e s   o f   A t t a c k 》 ， 由 I D F 实 验 室 徐 文 博 翻 译 。 （ 全 文 完 ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理