搜索

[11619] 2017-08-03_中国深圳一家厂商的智能摄像头曝出漏洞：至少17.5万设备可被远程攻击

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2017-08-03_中国深圳一家厂商的智能摄像头曝出漏洞：至少17.5万设备可被远程攻击 中 国 深 圳 一 家 厂 商 的 智 能 摄 像 头 曝 出 漏 洞 ： 至 少   1 7 . 5   万 设 备 可 被 远 程 攻 击 E l a i n e _ z   F r e e B u f   2 0 1 7 - 0 8 - 0 3 安 全 企 业 安 全 企 业   B i t d e f e n d e r   和 和   C h e c k m a r x   均 发 布 报 告 表 示 ， 安 全 研 究 员 在 多 个 常 用 智 能 摄 像 头 中 发 现 远 程 侵 入 漏 均 发 布 报 告 表 示 ， 安 全 研 究 员 在 多 个 常 用 智 能 摄 像 头 中 发 现 远 程 侵 入 漏 洞 ， 涉 及 洞 ， 涉 及   V S t a r c a m 、 、 L o f t e k 、 以 及 、 以 及   N e o   I P   c a m e r a 。 其 中 的 。 其 中 的   N e o   I P   c a m e r a   就 是 中 国 深 圳 厂 商 丽 鸥 电 子 就 是 中 国 深 圳 厂 商 丽 鸥 电 子 （ （ N e o   E l e c t r o n i c s ） 生 产 的 智 能 摄 像 头 设 备 ， 此 次 安 全 企 业 提 供 的 报 告 中 具 体 列 出 了 丽 鸥 电 子 的 两 款 产 品 ： ） 生 产 的 智 能 摄 像 头 设 备 ， 此 次 安 全 企 业 提 供 的 报 告 中 具 体 列 出 了 丽 鸥 电 子 的 两 款 产 品 ： i D o o r b e l l   以 及 以 及   N e o   C o o l c a m   N I P - 2 2   两 种 摄 像 头 均 存 在 缓 冲 区 溢 出 问 题 ， 受 影 响 的 设 备 可 以 被 攻 击 者 远 程 入 两 种 摄 像 头 均 存 在 缓 冲 区 溢 出 问 题 ， 受 影 响 的 设 备 可 以 被 攻 击 者 远 程 入 侵 ， 执 行 任 意 代 码 并 彻 底 接 管 。 侵 ， 执 行 任 意 代 码 并 彻 底 接 管 。 关 键 发 现 关 键 发 现 深 圳 丽 欧 电 子 是 家 中 国 企 业 ， 他 们 提 供 智 能 传 感 器 、 报 警 器 和 摄 像 头 。 目 前 其 产 品 中   i D o o r b e l l   和   N I P - 2 2   摄 像 头 存 在 几 个 缓 冲 区 溢 出 漏 洞 （ 部 分 出 现 在 身 份 验 证 之 前 ） 。 而 其 他 摄 像 头 也 都 在 使 用 相 同 的 软 件 ， 因 此 研 究 者 认 为 深 圳 丽 欧 电 子 的 其 他 产 品 中 可 能 也 有 存 在 问 题 的 产 品 ， 而 不 仅 是   i D o o r b e l l   以 及   N e o   C o o l c a m   N I P - 2 2   摄 像 头 。 B i t d e f e n d e r   使 用   S h o d a n   扫 描 后 ， 认 为 大 概 有   1 7 5 0 0 0   个 设 备 所 使 用 的   U P n P 上 存 在 开 放 端 口 ， 可 被 攻 击 者 利 用 。
C h e c k m a r x   的 研 究 员 还 分 析 了 几 组   L o f t e k   和   V S t a r c a m   的 智 能 摄 像 头 ， 发 现 了 其 他 的 安 全 漏 洞 以 及 之 前 就 曝 出 的 安 全 问 题 。 他 们 在   L o f t e k   C X S   2 2 0 0   摄 像 头 中 ， 发 现 了   C S R F   漏 洞   — — 攻 击 者 可 以 利 用 这 个 漏 洞 添 加 新 的 管 理 员 账 号 ， 还 有 可 引 发   D o S   的   S S R F   漏 洞 ， 执 行 任 意 代 码 的   X S S   漏 洞 和 文 件 泄 露 漏 洞 ； 而 在   V S t a r c a m   C 7 8 3 7 W I P   摄 像 头 中 ， 研 究 员 发 现 了 存 储 式   X S S ， 开 放 重 定 向 ， 强 制 重 置 等 问 题 。 这 些 摄 像 头 都 可 以 直 接 处 理   H T T P   响 应 ， 这 会 提 升 如 X S S 攻 击 、 页 面 劫 持 、 用 户 信 息 修 改 、 缓 存 中 毒 等 问 题 发 生 的 可 能 性 。 C h e c k m a r x   指 出 一 部 分 厂 商 制 造 的 摄 像 头 比 较 简 陋 ， 只 是 使 用 了 非 常 简 单 的 硬 件 和 软 件 。 调 查 表 明 超 过 1 2 0 万 设 备 是 可 能 存 在 漏 洞 的 。 我 们 的 初 次 扫 描 结 果 出 来 后 ， 我 们 发 现 只 要 你 的 摄 像 头 是 能 够 联 网 的 ， 你 就 处 在 风 险 之 中 。 恶 意 用 户 可 以 利 用 你 的 设 备 追 踪 你 的 每 日 生 活 ， 知 道 你 是 在 家 还 是 外 出 了 。 他 们 能 窃 取 你 的 邮 箱 信 息 ， 获 取 你 的 无 线 连 接 ， 取 得 其 他 设 备 的 权 限 ， 监 听 你 的 对 话 。 — —   C h e c k m a r x   在 报 告 中 写 道 技 术 分 析 技 术 分 析 深 圳 丽 欧 电 子 的 两 款 摄 像 头 出 现 的 问 题 可 能 遭 受 两 种 类 型 的 攻 击 ， 第 一 种 是 来 自 摄 像 头 连 接 的   w e b   服 务 ， 第 二 种 则 来 自 实 时 流 协 议   R S T P   服 务 。 w e b   服 务 服 务   E x p H T T P 服 务 中 出 现 的 漏 洞 可 以 通 过 登 陆 处 理 用 户 名 和 密 码 的 错 误 方 式 触 发 。 用 户 在 进 行 身 份 验 证 的 时 候 ， 他 们 会 在 G E T   请 求 中 传 递   “   h t t p : / / / ? u s r = & p w d = ” 的 身 份 凭 证 。 w e b   认 证 模 块 试 图 解 析 这 些 值 的 时 候 ， “ l i b s _ p a r s e d a t a ” 会 复 制 栈 上 的 两 个 参 数 的 内 容 而 没 有 检 查 实 际 的 存 储 容 量 ， 所 以 会 引 发 越 界 写 入 的 问 题 。
由 于 启 用 了 完 整 的 A S L R 机 制 ， 加 载 二 进 制 文 件 的 地 址 总 是 随 机 的 。 但 是 ， 由 于 二 进 制 本 身 不 是 P I E （ 位 置 独 立 可 执 行 程 序 是 一 种 保 护 技 术 ， 允 许 二 进 制 及 其 所 有 依 赖 在 每 次 执 行 应 用 程 序 时 都 会 在 虚 拟 内 存 中 被 加 载 到 随 机 位 置 ） ， 也 就 是 说 它 每 次 还 是 会 加 载 在 同 一 地 址 上 。 在 模 拟 攻 击 中 ， 研 究 员 使 用 两 个 溢 出 来 调 用 “ 系 统 ” 函 数 ， 并 指 定 了 要 执 行 的 命 令 。 为 此 ， 他 们 会 使 用 位 于 地 址 0 x 0 0 0 7 E D D 8   的   R O P   工 具 。 这 会 将 栈 指 针 的 地 址 改 为   R 0 ， 之 后 调 用 系 统 函 数 。 跳 转 到   R O P   中 ， 栈 指 针 就 会 指 向 返 回 地 址 所 在 之 处 。 为 了 执 行 命 令 ， 研 究 员 首 先 需 要 用   0 x 0 0 0 7 E D D 8   覆 盖 返 回 地 址 ， 并 在 该 地 址 之 后 写 入 命 令 。 通 过   u s e r n a m e   参 数 的 溢 出 ， 可 以 覆 盖 栈 上 的 所 有 内 容 ， 包 括 返 回 值 ， 之 后 可 以 使 用 这   2 0 4   字 节 的 空 间 写 入 命 令 。 随 后 ， 可 以 使 用 密 码 这 部 分 的 溢 出 来 覆 盖   3 2 8   字 节 的 返 回 地 址 。 由 于 字 符 串 必 须 是 以   n u l l   终 止 的 ， 所 以 该 字 节 被 自 动 附 加 ， 将 小 工 具 的 地 址 留 在 栈 上 。 最 后 的   p a y l o a d   看 起 来 应 当 如 下 所 示 ： 这 段 命 令 不 能 包 含   n u l l   ， ’ ＆ ’ 字 符 或 空 的 空 间 。 但 这 里 的 限 制 可 以 使 用 内 部 字 段 分 隔 符   $ { I F S }   来 轻 松 实 现 。 代 码 执 行 之 后 ， 服 务 崩 溃 ， 但 保 护 进 程 会 继 续 重 启 摄 像 头 。 由 于 文 件 系 统 是 以 读 写 方 式 挂 载 的 ， 所 以 可 以 通 过   T F T P   下 载 二 进 制 文 件 并 修 改   r c S   文 件 以 在 启 动 时 保 持 持 久 性 。 摄 像 头 的 摄 像 头 的   R S T P   服 务 服 务   E X P 这 个   R T S P   漏 洞 发 生 在   D E S C R I B E   请 求 中 的 授 权 字 段 的 处 理 中 。 首 先   “ A u t h o r i z a t i o n :   D i g e s t ” 字 段 需 要 先 复 制 到 缓 冲 区 中 ， 然 后 执 行 如 下 代 码 ， R 0 就 会 指 向   “ D i g e s t ”   的 开 头 。 G E T   / ? u s r = < 2 0 4 b y t e s > & p w d = < 3 2 8 b y t e s > < 0 x D 8 E D 0 7 >   H T T P / 1 . 1
接 下 来 ， 由 于 程 序 会 希 望 将 输 入 的 内 容 格 式 化 成 = “ ”   的 形 式 ， 它 会 尝 试 使 用   “ s s c a n f ”   来 解 析 输 入 内 容 。 R 0 是 初 始 来 源 ， R 1   中 是 正 则 表 达 式 ， R 2   和   R 3   则 是 目 标 。 因 为 没 有 检 查 字 符 串 长 度 ， 可 以 触 发 缓 冲 区 溢 出 。 由 于   H T T P   服 务 器 和   R T S P   服 务 器 都 运 行 在 同 一 个 二 进 制 文 件 中 ， 所 以 可 以 使 用 上 述 相 同 的 工 具 来 获 取 代 码 执 行 的 权 限 。 名 称 应 该 具 有 以 下 形 式 ： < 2 9 6 字 节 > + ， 这 会 用 在 写 入 命 令 中 ， 而 字 段 为 < 5 4 8 字 节 > + ， 最 终 请 求 将 如 下 所 示 ： 可 以 看 到 添 加 最 后 的 n u l l 字 节 之 后 ， 栈 上 会 形 成 和 （ 0 x 0 0 0 7 E D D 8 ） 相 同 的 地 址 ， 此 时 ， 命 令 中 不 能 包 含   “ = ”   字 符 但 可 以 包 含 空 格 。 在 两 种 摄 像 头 型 号 都 都 出 现 这 个 漏 洞 ， 唯 一 的 区 别 是 系 统 调 用 程 序 的 地 址 是 不 同 的 ， 如 上 所 示 可 以 用 在 i D o o r b e l l 上 ， 而 如 果 想 要 用 在   N I P - 2 2   型 号 摄 像 头 上 地 址 应 该 是   0 x 0 0 0 8 4 b 6 4   。 目 前 ， B i t d e f e n d e r   及   C h e c k m a r x   都 向 相 关 用 户 发 出 预 警 ， 这 些 存 在 安 全 隐 患 的 设 备 可 能 会 被 劫 持 、 组 建 成 如   M i r a i 之 类 的 大 型 僵 尸 网 络 。 相 关 用 户 应 当 提 起 重 视 并 尽 快 更 新 系 统 。 * 参 考 来 源 ： s e c u r i t y w e e k ， r e p o r t ， E l a i n e 编 译 ， 转 载 请 注 明 F r e e B u f . C O M D E S C R I B E   r t s p : / / : 5 5 4 /   R T S P / 1 . 0 A u t h o r i z a t i o n :   D i g e s t   < 2 9 6   b y t e s > = ” < 5 4 8   b y t e s > < 0 x D 8 E D 0 7 > ”
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理