搜索

[14130] 2019-05-20_智能摄像头安全分析及案例参考

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-05-20_智能摄像头安全分析及案例参考 智 能 摄 像 头 安 全 分 析 及 案 例 参 考 F r e e B u f   2 0 1 9 - 0 5 - 2 0 以 下 文 章 来 源 于 T i d e S e c 安 全 团 队   ， 作 者 重 剑 无 锋 通 过 对 智 能 摄 像 头 的 网 络 结 构 和 设 备 特 性 进 行 分 析 ， 总 结 了 智 能 摄 像 头 常 见 的 几 类 攻 击 方 式 ， 并 结 合 实 际 案 例 进 行 全 面 的 安 全 分 析 。 由 于 自 己 也 是 刚 开 始 接 触 这 方 面 知 识 ， 所 以 涉 及 的 通 过 对 智 能 摄 像 头 的 网 络 结 构 和 设 备 特 性 进 行 分 析 ， 总 结 了 智 能 摄 像 头 常 见 的 几 类 攻 击 方 式 ， 并 结 合 实 际 案 例 进 行 全 面 的 安 全 分 析 。 由 于 自 己 也 是 刚 开 始 接 触 这 方 面 知 识 ， 所 以 涉 及 的 内 容 都 比 较 浅 显 ， 大 佬 无 视 即 可 。 内 容 都 比 较 浅 显 ， 大 佬 无 视 即 可 。 智 能 摄 像 头 介 绍 智 能 摄 像 头 介 绍 传 统 摄 像 头 ， 一 般 指 传 统 的 只 能 存 储 监 控 画 面 的 老 实 摄 像 头 ， 如 需 及 时 发 现 画 面 中 的 异 常 ， 需 长 时 间 回 看 画 面 ， 比 如 之 前 一 些 警 匪 片 中 出 现 的 几 个 人 端 着 泡 面 守 着 电 脑 回 滚 监 控 视 频 。 而 智 能 摄 像 头 之 所 以 称 之 为 “ 智 能 ” ， 就 是 由 于 智 能 摄 像 头 可 主 动 捕 捉 异 常 画 面 并 自 动 发 送 警 报 ， 大 大 降 低 了 用 户 精 力 的 投 入 ， 方 便 、 简 单 。 智 能 摄 像 头 的 核 心 为 物 联 网 及 云 应 用 双 剑 合 璧 ， 缺 一 不 可 ： 要 想 实 现 即 时 且 随 时 随 地 的 监 控 ， 摄 像 头 需 要 可 通 过 手 机 a p p 与 手 机 相 连 ， 点 开 便 可 查 看 摄 像 头 即 时 拍 摄 的 画 面 ； 同 时 ， 当 拍 摄 画 面 出 现 异 常 动 态 或 声 响 时 ， 摄 像 头 除 了 可 自 动 捕 捉 异 常 并 启 动 云 录 像 并 自 动 上 传 ， 还 可 通 过 短 信 或 手 机 a p p 向 用 户 发 送 警 报 信 息 ， 从 而 实 现 全 天 候 智 能 监 控 。 智 能 摄 像 头 网 络 结 构 智 能 摄 像 头 网 络 结 构 目 前 市 面 上 的 智 能 摄 像 头 都 包 含 了 云 端 、 手 机 端 、 摄 像 头 设 备 端 三 部 分 。 摄 像 头 设 备 终 端 ： 主 要 存 放 设 备 密 码 、 与 云 端 交 互 的 信 息 、 协 议 相 关 信 息 ； 手 机 端 ： 通 过 蓝 牙 、 w i f i 等 方 式 管 理 智 能 设 备 、 用 户 注 册 、 密 码 修 改 、 绑 定 设 备 、 管 理 设 备 等 ； 云 端 ： 提 供 存 储 空 间 进 行 上 传 的 视 频 存 储 、 对 用 户 进 行 管 理 、 对 a p p 进 行 管 理 、 提 供 a p i 接 口 等 。 智 能 摄 像 头 常 见 攻 击 方 法 智 能 摄 像 头 常 见 攻 击 方 法 根 据 网 络 结 构 中 的 三 个 部 分 云 端 、 手 机 端 、 摄 像 头 设 备 端 以 及 通 讯 协 议 可 分 为 四 类 攻 击 方 法 （ 部 分 内 容 参 考 了 绿 盟 科 技 和 白 帽 汇 的 物 联 网 安 全 分 析 报 告 ） 。 针 对 摄 像 头 设 备 的 攻 击 针 对 摄 像 头 设 备 的 攻 击 1 、 针 对 物 理 设 备 的 攻 击 ： 调 试 接 口 暴 露 、 固 件 提 取 、 设 备 序 列 号 篡 改 、 篡 改 存 储 介 质 、 获 取 普 通 用 户 权 限 、 权 限 提 升 等 ； 2 、 针 对 固 件 的 攻 击 ： 获 取 敏 感 数 据 、 获 取 硬 编 码 密 码 、 逆 向 加 密 算 法 、 获 取 敏 感 a p i 接 口 、 f t p 或 s s h 等 服 务 攻 击 、 固 件 降 级 等 ； 3 、 针 对 内 存 的 攻 击 ： 获 取 内 存 中 的 敏 感 数 据 （ 如 用 户 名 、 密 码 等 ） 、 获 取 加 密 K e y 等 。 针 对 手 机 端 的 攻 击 针 对 手 机 端 的 攻 击 针 对 手 机 端 a p p 的 攻 击 相 对 比 较 常 见 ， 而 结 合 摄 像 头 的 特 殊 性 ， 主 要 可 以 从 以 下 几 个 方 面 入 手 。 1 、 静 态 反 编 译 ： 对 A P P 进 行 脱 壳 、 使 用 反 编 译 工 具 获 取 源 码 、 本 地 敏 感 数 据 存 储 、 l o g c a t 日 志 、 w e b v i e w 风 险 测 试 等 ； 2 、 通 信 安 全 ： 中 间 人 攻 击 、 访 问 控 制 是 否 合 理 、 数 据 加 密 强 度 等 。 针 对 云 端 的 攻 击 针 对 云 端 的 攻 击 云 服 务 端 面 临 的 风 险 和 常 规 的 应 用 服 务 器 类 似 ， 简 单 列 举 几 个 。 1 、 w e b 应 用 安 全 ： 用 户 注 册 的 各 种 问 题 、 任 意 用 户 注 册 、 用 户 枚 举 、 验 证 码 缺 陷 、 各 种 越 权 、 密 码 复 杂 度 、 单 点 登 录 、 密 码 修 改 等 等 。 2 、 服 务 安 全 ： 针 对 服 务 器 开 放 的 各 种 服 务 存 在 的 缺 陷 进 行 攻 击 ， 如 f t p 、 s s h 、 m y s q l 等 各 种 弱 口 令 ， 针 对 操 作 系 统 的 各 种 N d a y 和 0 d a y 等 ； 3 、 其 他 ： 各 种 C 段 、 子 域 名 等 等 ， 还 可 以 先 打 入 摄 像 头 公 司 内 部 办 公 网 再 觊 觎 服 务 器 ， D D O S 打 乱 对 方 部 署 也 是 一 种 思 路 。 针 对 协 议 的 攻 击 针 对 协 议 的 攻 击 除 了 摄 像 头 设 备 、 手 机 端 、 云 服 这 三 个 重 要 节 点 外 ， 三 者 之 间 的 通 讯 安 全 也 非 常 关 键 。 1 、 A P P 与 云 端 一 般 通 过 H T T P 、 H T T P S 通 信 ， 分 析 中 应 判 断 通 信 流 量 是 否 加 密 ， 可 否 抓 包 劫 持 通 信 数 据 ; T i d e S e c 安 全 团 队 安 全 团 队   . T i d e 安 全 团 队 以 信 安 技 术 研 究 为 目 标 ， 致 力 于 分 享 高 质 量 原 创 文 章 、 开 源 安 全 工 具 、 交 流 安 全 技 术 ， 研 究 方 向 覆 盖 网 络 攻 防 、 W e b 安 全 、 移 动 终 端 、 安 全 开 发 、 物 联 网 / 工 控 安 全 / A I 安 全 等 多 个 领 域 ， 对 安 全 感 兴 趣 的 小 伙 伴 可 以 关 注 我 们 。
2 、 设 备 与 云 端 一 般 采 用 M Q T T 、 X M P P 、 C o A P 等 协 议 通 信 ， 也 会 使 用 H T T P 、 H T T P S 通 信 , 部 分 厂 家 的 设 备 会 使 用 私 有 协 议 进 行 通 讯 ， 例 如 京 东 、 小 米 、 b r o a d l i n k 等 ; 3 、 A P P 与 设 备 之 间 通 信 一 般 利 用 短 距 离 无 线 网 络 进 行 通 信 ， 如 Z i g B e e 、 W i - F i 以 及 蓝 牙 等 。 摄 像 头 安 全 分 析 案 例 摄 像 头 安 全 分 析 案 例 情 况 简 述 情 况 简 述 本 案 例 是 针 对 一 互 联 网 小 型 摄 像 头 厂 商 ， 在 测 试 前 期 已 经 和 相 关 负 责 人 进 行 了 沟 通 并 签 署 了 授 权 和 保 密 协 议 等 ， 在 测 试 后 已 经 完 全 交 付 了 测 试 结 果 ， 并 在 厂 商 整 改 后 进 行 了 复 测 确 保 所 有 风 险 均 已 修 复 。 在 时 隔 一 年 半 后 ， 已 经 确 保 该 旧 版 摄 像 头 已 经 基 本 退 市 ， 在 征 得 厂 商 同 意 后 才 和 大 家 分 享 一 下 本 案 例 。 由 于 部 分 加 密 算 法 和 协 议 仍 在 使 用 ， 所 以 部 分 内 容 进 行 了 脱 敏 和 文 字 混 淆 。 那 时 候 也 是 刚 开 始 接 触 这 方 面 知 识 ， 所 以 涉 及 的 内 容 都 比 较 浅 显 ， 大 佬 勿 喷 。 本 次 分 析 主 要 包 括 摄 像 头 设 备 、 服 务 云 端 、 数 据 通 信 三 个 方 面 ， 另 外 还 涉 及 到 部 分 手 机 端 A P P 、 网 站 系 统 等 。 固 件 升 级 包 可 被 逆 向 固 件 升 级 包 可 被 逆 向 通 过 对 X X 官 网 提 供 的 固 件 升 级 程 序 进 行 分 析 ， 发 现 大 部 分 升 级 包 均 可 被 逆 向 出 源 文 件 ， 在 固 件 包 中 可 获 取 s s h 和 f t p 登 录 账 号 和 密 码 以 及 一 些 重 要 a p i 接 口 和 加 密 算 法 等 ， 以 s s h 密 码 获 取 为 例 。 从 其 中 下 载 了 两 个 固 件 包 为 例 进 行 测 试 ， 使 用 B i n w a l k 对 该 固 件 进 行 分 析 。 从 上 图 中 可 以 看 到 固 件 中 包 含 了 L Z M A 压 缩 的 数 据 和 S q u a s h f s 文 件 系 统 以 及 其 他 系 统 信 息 ， 但 B i n w a l k 直 接 提 取 数 据 失 败 。 固 件 使 用 的 是 s q u a s h f s 文 件 系 统 ， 它 是 一 套 供 L i n u x 核 心 使 用 的 G P L 开 源 只 读 压 缩 文 件 系 统 。 s q u a s h f s 文 件 系 统 开 始 于 0 x 4 0 0 4 0 ,   大 小 为   4 6 0 5 5 8 4   字 节 ,   用 d d 命 令 提 取 该 文 件 系 统 ， 再 用 U n S q u a s h f s 对 S q u a s h f s 文 件 系 统 进 行 解 包 。 解 压 出 来 的 系 统 文 件 ：
可 以 查 看 系 统 文 件 信 息 ： 可 直 接 查 看 系 统 p a s s w d 文 件 ： 使 用 暴 力 破 解 工 具 j o h n   t h e   r i p p e r 可 轻 易 破 解 该 密 码 。 风 险 分 析 ： 1 、 可 根 据 p a s s w d 文 档 破 解 默 认 的 摄 像 头 r o o t 密 码 ， 通 过 该 默 认 密 码 可 直 接 登 录 暴 露 在 内 网 中 或 互 联 网 上 的 摄 像 头 设 备 ； 2 、 可 根 据 系 统 内 的 文 件 逆 向 密 码 加 密 算 法 ， 破 解 摄 像 头 和 云 端 的 通 信 数 据 。 加 密 算 法 可 被 逆 向 加 密 算 法 可 被 逆 向 通 过 对 手 机 端 A P K 的 分 析 ， 发 现 虽 然 有 的 版 本 使 用 了 加 密 和 混 淆 ， 但 通 过 解 密 和 反 编 译 后 ， 大 部 分 A P K 可 直 接 被 逆 向 出 源 程 序 。
使 用 J D 可 将 s m a l i 反 编 译 为 j a v a 源 码 ， 更 为 直 观 的 查 看 程 序 代 码 。 随 后 将 l i b 目 录 下 的 s o 文 件 进 行 了 逆 向 分 析 。 根 据 关 键 字 定 位 到 密 码 加 密 算 法 几 个 相 关 的 函 数 。
由 于 逆 向 能 力 比 较 一 般 ， 于 是 又 结 合 了 上 一 节 摄 像 头 固 件 解 包 出 的 / p r o g s / b i n 目 录 下 的 s c t r l 文 件 进 行 逆 向 分 析 。 结 合 手 机 端 A P K 和 摄 像 头 固 件 中 的 文 件 反 编 译 分 析 ， 推 导 出 了 用 户 密 码 加 密 逻 辑 。 用 户 密 码 使 用 了 M D 5 ( u n i x ) + S A L T 的 方 式 进 行 加 密 ， S A L T 使 用 了 函 数 生 成 ， 但 生 成 算 法 非 常 简 单 。 根 据 加 密 算 法 编 写 的 解 密 算 法 如 下 ：
使 用 该 算 法 对 密 码 1 2 3 4 5 6 进 行 加 密 ： 该 密 文 和 用 户 在 手 机 端 A P K 登 录 时 的 加 密 后 的 密 码 完 全 一 致 。 这 也 证 明 了 通 过 逆 向 加 密 算 法 而 推 导 出 的 解 密 算 法 是 正 确 的 。 风 险 分 析 ： 1 、 A P K 未 进 行 混 淆 、 加 壳 或 使 用 了 较 简 单 的 加 壳 保 护 ， 很 容 易 导 致 A P K 被 反 编 译 、 重 打 包 等 ； 2 、 较 弱 的 s a l t 生 成 算 法 可 通 过 反 编 译 还 原 出 来 解 密 算 法 ， 进 而 使 用 程 序 模 拟 用 户 登 录 。 用 户 密 码 可 被 批 量 破 解 用 户 密 码 可 被 批 量 破 解 在 用 户 使 用 手 机 端 登 录 时 ， 对 数 据 进 行 抓 包 分 析 。 多 次 抓 包 分 析 后 ， 可 得 到 几 个 关 键 T C P 数 据 包 。
根 据 前 面 逆 向 编 写 出 的 解 密 算 法 ， 使 用 s o c k e t 进 行 数 据 发 包 测 试 ： 可 以 模 拟 A P K 进 行 用 户 登 录 ， 并 能 进 行 其 他 操 作 。 如 获 取 设 备 列 表 、 添 加 设 备 、 修 改 设 备 密 码 等 。 分 析 发 现 ， 在 用 户 密 码 正 确 和 错 误 时 ， 返 回 信 息 时 不 同 的 。
根 据 这 种 不 同 ， 可 以 设 计 字 典 对 用 户 和 密 码 进 行 破 解 。 编 写 程 序 使 用 手 机 号 字 典 进 行 用 户 枚 举 测 试 ， 简 单 测 试 后 发 现 1 5 0 多 个 手 机 号 使 用 了 1 2 3 4 5 6 做 为 手 机 端 登 录 密 码 。
编 写 程 序 对 手 机 云 端 I D 号 进 行 简 单 的 枚 举 测 试 ， 经 过 十 分 钟 测 试 便 发 现 了 在 线 且 使 用 默 认 设 备 密 码 的 手 机 云 端 I D 号 码 有 二 三 百 个 。
风 险 分 析 ： 1 、 云 端 对 A P K 发 送 的 数 据 没 有 更 多 的 校 验 ， 导 致 可 编 写 程 序 批 量 破 解 用 户 名 和 密 码 ， 导 致 用 户 身 份 失 窃 。 2 、 通 过 通 信 数 据 的 分 析 ， 可 有 针 对 性 的 编 写 程 序 进 行 批 量 添 加 设 备 ， 进 行 批 量 的 破 解 设 备 密 码 。 3 、 理 论 上 讲 ， 使 用 该 方 法 可 遍 历 所 有 的 用 户 、 密 码 和 手 机 端 设 备 。 互 联 网 设 备 可 被 探 测 发 现 互 联 网 设 备 可 被 探 测 发 现 通 过 对 摄 像 头 设 备 的 分 析 ， 发 现 摄 像 头 在 正 常 工 作 时 默 认 开 放 了 如 下 端 口 。 其 中 8 0 端 口 为 w e b 管 理 端 ， 1 1 0 1 0 为 数 据 转 发 端 口 。 而 有 些 部 署 在 互 联 网 上 的 X X 摄 像 头 设 备 在 开 放 一 个 w e b 管 理 端 外 ， 也 会 开 放 1 1 0 1 0 端 口 进 行 录 像 机 的 管 理 。 使 用 z m a p 对 全 国 I P 进 行 扫 描 ， 发 现 中 国 境 内 I P 开 放 了 1 1 0 1 0 端 口 的 服 务 器 大 约 有 3 . 5 W 个 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理