知名監(jiān)控產(chǎn)品供應(yīng)商?？低?Hikvision)的大量數(shù)碼錄像機設(shè)備被曝存在遠程代碼執(zhí)行漏洞，黑客可以由此直接獲取設(shè)備最高權(quán)限。海康威視是中國領(lǐng)先的監(jiān)控產(chǎn)品供應(yīng)商。在今年大約3月末的時候，?？低曉槐銎湓O(shè)備因默認密碼是12345，而被攻擊者充當比特幣挖掘器的安全事件。

漏洞初探

從知名網(wǎng)絡(luò)安全Rapid7公司的報告來看，?？低暤臄?shù)碼錄像機在實時數(shù)據(jù)流協(xié)議的請求處理代碼中，包含三個典型的緩沖區(qū)溢出漏洞。上周，Rapid7發(fā)布了該漏洞的Metasploit測試模塊，研究人員可以通過這個模塊實現(xiàn)遠程代碼執(zhí)行漏洞利用測試。

Hikvision的數(shù)碼錄像機并不是一款家用設(shè)備，它的設(shè)計初衷是用來存儲監(jiān)測記錄和辦公樓樓宇的安全監(jiān)控錄像的，也就是一款安防設(shè)備。Rapid7對整個網(wǎng)絡(luò)進行了批量檢測，試圖獲取含有該漏洞的設(shè)備數(shù)量。最后他們表示，在IPv4協(xié)議的網(wǎng)絡(luò)里，大約有150,000臺?？低曉O(shè)備存在該漏洞。

Rapid7公司的安全研究員Mark Schloesser推測，這批海康威視設(shè)備的普及，可能與該公司出品的iPhone APP有關(guān)，該應(yīng)用允許用戶通過手機APP遠程監(jiān)控錄像。

漏洞淺析

具體的漏洞編號是CVE-2014-4878、CVE-2014-4879和CVE-2014-4880。漏洞大體原理即：在RTSP(TCP/IP協(xié)議體系中的雙向?qū)崟r流傳輸協(xié)議)的請求body、請求頭以及基礎(chǔ)認證處理中，通過某種手法實現(xiàn)緩沖區(qū)溢出。接下來即使不經(jīng)過認證，黑客也能實現(xiàn)遠程任意代碼執(zhí)行。

安全研究員還指出了另一個讓人不禁吐槽的點，這類設(shè)備還帶著弱口令：賬號admin，密碼12345。

第一個漏洞(CVE-2014-4878)：

安全研究員解釋道：RTSP請求處理機制使用了一個固定大小為2014字節(jié)的緩沖區(qū)，來填充http請求body。如果你發(fā)送一個更大的body會導(dǎo)致緩沖區(qū)溢出。這個漏洞可以被利用來進行代碼執(zhí)行。但Rapid7公司認為這個漏洞實為拒絕服務(wù)攻擊。

第二個漏洞(CVE-2014-4879)：

RTSP請求處理機制在解析http頭的時候，也使用了固定大小的緩沖區(qū)。與前面類似，當用戶發(fā)送一個過大的http頭時，也會出現(xiàn)緩沖區(qū)溢出。在write-up里，安全研究員表示：該漏洞除了用來實現(xiàn)任意代碼執(zhí)行，也可以用于拒絕服務(wù)攻擊。

第三個漏洞(CVE-2014-4880):

用戶可以通過發(fā)送一個特制的RTSP請求，在RTSP事務(wù)對基礎(chǔ)認證頭進行處理的時候，引發(fā)緩沖區(qū)溢出。

Schloesser解釋道：

“我們分析下這種情況：當發(fā)送的請求控制了遠程指令指針，在執(zhí)行一系列ROP小工具時，會把棧轉(zhuǎn)移到請求包那里，然后繼續(xù)執(zhí)行命令。”

這個漏洞的利用不需要做認證，通過Metasploit利用測試模塊可以看到，攻擊者可以輕松拿下存在該漏洞設(shè)備的最高權(quán)限。

?？低暵┒礆v史

Rapid7在一臺固件為V2.2.10 build 131009的Hikvision-DS-7204-HVI-SV上發(fā)現(xiàn)并實驗了這些漏洞。盡管他們并沒有做全面測試來列出海康威視受漏洞影響的版本號和設(shè)備，但可以確定其他同類產(chǎn)品也受到了影響。安全研究人員Schloesser在發(fā)現(xiàn)了這些漏洞后，于9月15日將其上報給海康威視，并在11月19日公布了漏洞。

Threatpost記者試圖聯(lián)系?？低?，確認相關(guān)事件的細節(jié)。但直到這篇文章發(fā)表時，?？低暪俜竭€沒有給出任何回應(yīng)。

?？低曇膊皇堑谝淮纬雎┒戳?。SANS研究所安全處理日記博客的Johannes Ullrich發(fā)布過，Threatpost在以前的文章中也報道過相關(guān)事件：?？低晹?shù)碼錄像機曾受“The Moon”蠕蟲影響，成為挖比特幣的免費礦工，以及被利用來掃描Synology磁盤站。而其漏洞中最大的槽點就是設(shè)備的root密碼居然是12345，并且至今仍未改變。

Ullrich還寫道：

“直到現(xiàn)在，?？低暤脑O(shè)備制造商還是沒有警醒。像?？低晹?shù)碼錄像機這樣設(shè)備中的漏洞，讓人不禁聯(lián)想到了90年代操作系統(tǒng)和服務(wù)器的漏洞。值得注意的是，而存在漏洞的?？低曉O(shè)備可能只是同類產(chǎn)品中的一種，剩下的需要安全研究員們繼續(xù)研究和挖掘。”