您正在使用IE低版浏览器,为了您的FUTUREAI账号安全和更好的产品体验,强烈建议使用更快更安全的浏览器
FUTUREAI 发展趋势
发私信给FUTUREAI
发送

小心!这款黑客工具可能向大尺度网站上传你的隐私视频

本文作者:FUTUREAI 2018-05-07 10:36
导语:夏天夏天悄悄过去留下小秘密…… 眼看着夏天要到了,大家在室内室外都换上了轻薄衣服,特别是在家里。叔不知,有人暗戳戳打起了摄像头的主意。 据BleepingComputer报道,一位名为

夏天夏天悄悄过去留下小秘密……

眼看着夏天要到了,大家在室内室外都换上了轻薄衣服,特别是在家里。叔不知,有人暗戳戳打起了摄像头的主意。

据BleepingComputer报道,一位名为 Ezequiel Fernandez 的阿根廷黑客在 5 月 1 日发布了一款功能强大的新型黑客工具,可以轻松提取各种针对 TBK 和相关贴牌厂商生产的数字视频录像机(DVR)的明文凭证,授予攻击者访问权限,并可以随意查看录制的视频。

这个名为 getDVR_Credentials 的工具是 CVE-2018-9995 的概念验证(Proof-of-Concept, PoC),它是 Fernandez 在上月初发现的一个安全漏洞。通过使用 “Cookie:uid = admin” 的 Cookie 标头来访问特定 DVR 的控制面板,DVR 将以明文形式响应设备的管理员凭证。整个开发过程足够小,甚至通过一条微博就能够发布。

$> curl "http://{DVR_HOST_IP}:{PORT}/device.rsp?opt=user&cmd=list" -H "Cookie: uid=admin"

在Google上搜索DVR Login会出现一大票相关页面,

小心!这款黑客工具可能向大尺度网站上传你的隐私视频

根据 Shodan 的扫描结果,使用 /login.rsp 进行搜索发现易受攻击设备的数量有5.6万台;

小心!这款黑客工具可能向大尺度网站上传你的隐私视频

使用 /device.rsp 来搜索,还能够发现额外的超过 1 万台的设备。

小心!这款黑客工具可能向大尺度网站上传你的隐私视频

这一漏洞最初被发现时仅影响由 TBK 制造的 DVR 设备,但在本周一的更新中,Fernandez扩大了易受攻击设备品牌供应商列表,包括:Novo、CeNova、QSee、Pulnix、XVR 5 in 1、Securus 和 Night OWL。

小心!这款黑客工具可能向大尺度网站上传你的隐私视频

Fernandez 还发布了一些通过利用 CVE-2018-9995 和他的工具获得的设备屏幕截图。根据这些屏幕截图的显示,Fernandez 可以完全访问这些设备的控制面板,同时也可以观看实时录制的视频。

小心!这款黑客工具可能向大尺度网站上传你的隐私视频

不过围观群众也不必过于担心,景智AI网了解到,在 CVE-2018-9995 被公开的这几周以来,并没有出现针对该漏洞的大规模扫描活动,即使是在 Fernandez 发布这个工具之后,也没有出现这种情况。

当然,这可能是暂时的。毕竟对那些专门利用安全漏洞聚合被劫持的安全摄像头或者 DVR 录制视频的网站来说(比如某些大尺度网站),Fernadez 发布的这款工具简直是神器。

参考来源:雷德蒙科技

声明:景智AI网尊重行业规范,任何转载稿件皆标注作者和来源;景智AI网的原创文章,请转载时务必注明文章作者和"来源:景智AI网", 不尊重原创的行为将受到景智AI网的追责;转载稿件或作者投稿可能会经编辑修改或者补充,有异议可投诉至:mailto:813501038@qq.com

分享:
相关文章
最新文章