摄像头之疡:防DDoS小心你的摄像头-墨者安全-墨者盾
DDOS防御_CC防护_高防CDN服务器_【墨者安全】—墨者盾墨者盾—你的网站贴身保镖!
QQ:800185041
高防免费接入:400-0797-119

渠道合作:156 2527 6999

主页 > CC防护 > 摄像头之疡:防DDoS小心你的摄像头

摄像头之疡:防DDoS小心你的摄像头

小墨安全管家 2020-08-03 16:21 CC防护 89 ℃
DDoS防御

某款cctv摄像头存在弱口令漏洞,web登录默认用户名和密码,用户名为admin,密码为空。资料显示这款便宜的CCTV摄像头对公网开放的全球似乎有42545台,最常用的端口是80/8080,用的最多的国家是土耳其,印度,越南。 随意挑选某IP摄像头设备验证该漏洞成功,如图1所示:

(3) 信息泄露

大华某型号摄像头存在信息泄露的咨询题。大华的那个漏洞特别简单,直截了当在扫瞄器打开存在漏洞的URL,就能够在该URL里读取到摄像头配置里的敏感信息,比如用户账号名以及对应的密码hash。如图4和图5所示,猎取了admin及其密码hash 以及user及其密码hash。密码hash能够经过别的工具破解。

摄像头之疡:防DDoS小心你的摄像头

设备厂商要关注安全开辟,并举行安全测试,充分思量黑客的攻击场景,并规避潜在的产品配置和代码缺陷。

(4) 命令注入

摄像头之疡:防DDoS小心你的摄像头

3. 缓解建议

图中,右下角的摄像头方向正对着卧房的床,想一想,怕不怕?

图3:摄像头配置界面

建议摄像头不要正对卧房、浴室等敏感、隐私区域,当发觉摄影像头角度无端挪移时往往意味着设备大概基本被恶意破解或利用。

图2:猎取的摄像头主界面

摄像头之疡:防DDoS小心你的摄像头

摄像头归属于物联网设备。物联网设备大都存在设备系统较老,人员维护少,固件缺乏自动更新机制,更新慢等特点,于是一旦联网,就会急忙成为攻击者的靶标,从而沦陷为安全重灾区。物联网设备的安全咨询题常在于:权限绕过、拒绝服务、信息泄露、跨站、命令执行、缓冲区溢出、SQL注入、弱口令、文件操作、名目遍历等脆弱性风险。除了隐私泄露,DDOS攻击也是物联网漏洞被利用后的一种威胁。比如某一种或者多种型号的设备都存在同一具命令执行漏洞,经过设备扫描,漏洞扫描及批量利用,特别容易成为僵尸网络里的“肉鸡”,大范围地实施DDOS攻击,对网络安全构成的威胁更大。下面我们以不同类型的摄像头漏洞为例展示一下漏洞被利用后的威胁。

摄像头之疡:防DDoS小心你的摄像头

2. 摄像头之疡

用户及时更改默认账户名和密码。

图4: 信息泄露漏洞

某DVR登录绕过漏洞允许攻击者经过修改“Cookie: uid=admin” 之后访咨询特定 DVR 的操纵面板,返回此设备的明文治理员凭证。通过笔者验证,受阻碍的摄像机范围特别广,数量特别多,漏洞利用难度低,阻碍特别大。如图2和图3所示:

“据媒体报道,杭州的胡女士发觉她家的摄像头未经操作,自个儿在动。她登录手机客户端,发觉只绑定了她一具用户的摄像头,竟有两个用户并且在线观察。” 这是日子中真实的案例,还有特别多人并不懂自个儿家的摄像头存在各种安全隐患,摄像头下的隐私正被偷窥着。作为一名安全研究人员,笔者写此文旨在提醒宽敞摄像头使用者提高网络安全意识,催促摄像头厂商关注产品生命周期的安全性,使得智能摄像头在给大伙儿带来各项便利的并且,也能让大伙儿用得放心。

及时升级固件到最新。

针对智能摄像头面临的安全风险,建议采纳代码审计、渗透测试、人员安全意识培训、安全接入和行为审计,全面爱护入网设备安全。

由于web应用程序对用户提交的数据过滤不严格,导致攻击者能够经过构造特殊命令字符串的方式,将数据提交至web应用程序中,并利用该方式执行外部程序或系统命令实施攻击,非法猎取数据资源。如图6所示某型号摄像头存在命令注入漏洞,能够实现经过命令注入在目标设备上执行命令,图7中能够猎取目标设备的root密码,有了root密码能够进一步猎取反弹shell。像这种能够远程执行命令猎取shell的漏洞常常也被用于构建僵尸网络发起DDOS攻击,而存在漏洞的设备也就成为“肉鸡”之一。

图5:信息泄露漏洞

同理,经过该漏洞,猎取root用户密码。

能不联网就不联网,假如必须联网,建议设置为不常用的接入端口,幸免使用81、82、8080等常被攻击的端口。

(1) 弱口令漏洞

摄像头之疡:防DDoS小心你的摄像头

图1:摄像头弱口令漏洞

root的密码解密后是:juantech. 有了root:juantech,能够进一步猎取反弹shell,或者经过telnet直截了当登录到目标设备里。

摄像头之疡:防DDoS小心你的摄像头

图7:命令注入漏洞

图6:命令注入漏洞

(2) 未授权访咨询


DDoS防御

当前位置:主页 > CC防护 > 摄像头之疡:防DDoS小心你的摄像头

标签列表
DDoS防御
网站分类
X
 

QQ客服

400-0797-119