摄像头之疡 当心你的摄像头
发布时间：2022-07-27 11:27:39 所属栏目：安全 来源：互联网
导读：摄像头之疡 当心你的摄像头： 1. 场景介绍 据媒体报道，杭州的胡女士发现她家的摄像头未经操作，自己在动。她登录手机客户端，发现只绑定了她一个用户的摄像头，竟有两个用户同时在线观看。 这是生活中真实的案例，还有很多人并不知道自己家的摄像头存在各种
|
摄像头之疡 当心你的摄像头： 1. 场景介绍 “据媒体报道，杭州的胡女士发现她家的摄像头未经操作，自己在动。她登录手机客户端，发现只绑定了她一个用户的摄像头，竟有两个用户同时在线观看。” 这是生活中真实的案例，还有很多人并不知道自己家的摄像头存在各种安全隐患，摄像头下的隐私正被偷窥着。作为一名安全研究人员，笔者写此文旨在提醒广大摄像头使用者提高网络安全意识，督促摄像头厂商关注产品生命周期的安全性，使得智能摄像头在给大家带来各项便利的同时，也能让大家用得放心。 2. 摄像头之疡 摄像头归属于物联网设备。物联网设备大都存在设备系统较老，人员维护少，固件缺乏自动更新机制，更新慢等特点，所以一旦联网，就会马上成为攻击者的靶标，从而沦落为安全重灾区。物联网设备的安全问题常在于：权限绕过、拒绝服务、信息泄露、跨站、命令执行、缓冲区溢出、SQL注入、弱口令、文件操作、目录遍历等脆弱性风险。除了隐私泄露，DDOS攻击也是物联网漏洞被利用后的一种威胁。比如某一种或者多种型号的设备都存在同一个命令执行漏洞，通过设备扫描，漏洞扫描及批量利用，很容易成为僵尸网络里的“肉鸡”，大范围地实施DDOS攻击，对网络安全构成的威胁更大。下面我们以不同类型的摄像头漏洞为例展示一下漏洞被利用后的威胁。 (1) 弱口令漏洞 某款cctv摄像头存在弱口令漏洞，web登录默认用户名和密码,用户名为admin，密码为空。资料显示这款廉价的CCTV摄像头对公网开放的全球大概有42545台，最常用的端口是80/8080，用的最多的国家是土耳其，印度，越南。 随意选择某IP摄像头设备验证该漏洞成功，如图1所示： (2) 信息泄露 大华某型号摄像头存在信息泄露的问题。大华的这个漏洞很简单，直接在浏览器打开存在漏洞的URL,就可以在该URL里读取到摄像头配置里的敏感信息，比如用户账号名以及对应的密码hash。如图4和图5所示，获取了admin及其密码hash 以及user及其密码hash。密码hash可以通过别的工具破解。 （编辑：应用网_丽江站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
浙公网安备 33038102330468号