ब्लैक हट यूएसए सम्मेलन। कैसे एक हॉलीवुड हैकर निगरानी कैमरों का उपयोग करता है। भाग २

ब्लैक हट यूएसए सम्मेलन। कैसे एक हॉलीवुड हैकर निगरानी कैमरों का उपयोग करता है। भाग 1

हम इस त्रुटि का उपयोग एन्क्रिप्टेड व्यवस्थापक पासवर्ड को प्राप्त करने या बदलने के लिए भी कर सकते हैं, जो / etc / privpasswd में संग्रहीत है।



हम इस फ़ाइल से सामग्री खींच सकते हैं। जैसा कि आप देख सकते हैं, इसमें रूट यूज़रनेम और एन्क्रिप्टेड पासवर्ड है।



फिलहाल, हमारे पास 2 विकल्प हैं: आप जॉन द रिपर जैसे टूल का उपयोग करके पासवर्ड को डिक्रिप्ट करने का प्रयास कर सकते हैं:



यदि यह काम नहीं करता है, तो इसके साथ नरक करने के लिए - हमारे पास जड़ है, और हम बस इस फाइल को ओवरराइट करते हैं। किसी भी स्थिति में, हमें "व्यवस्थापक पैनल" तक पहुंच प्राप्त होती है, और उसी तरह जैसे पिछले कैमरे के मामले में, हमारे पास फिर से व्यवस्थापक और रूट उपयोगकर्ता दोनों के अधिकार होंगे।



3 और 7 श्रृंखला, सेंटिनल श्रृंखला, एलायंस-प्रो, एलायंस-एमएक्स और एलायंस-मिनी सहित अधिकांश आईक्यू इनविज़न कैमरों में ये कमजोरियां होती हैं। मैं सभी मॉडलों को सूचीबद्ध नहीं करूंगा, अन्यथा मैं हमेशा के लिए यहां रहूंगा, इन कैमरों की पूरी सूची इंटरनेट पर शोडान डॉर्क सूची में उपलब्ध है। दुखद बात यह है कि, जैसा कि आप जानते हैं, इस निर्माता के कैमरों का व्यापक रूप से स्कूलों, पुलिस स्टेशनों, बैंकों, कैसीनो, वित्तीय और परामर्श कंपनियों, डीएचएल सेवा और इतने पर उपयोग किया जाता है।

मैंने देखा कि आज सबसे महंगा कैमरा 3SVision की N5072 है। इसकी कीमत "हमसे संपर्क करें" वाक्यांश से इंगित की जाती है, इसलिए मुझे तुरंत एहसास हुआ कि मैं इसे बर्दाश्त नहीं कर सकता। मुझे इस कैमरे से कुछ समस्याएं थीं, क्योंकि अन्य सभी कैमरों के लिए मैं सिर्फ निर्माता की वेबसाइट पर जा सकता था, फर्मवेयर डाउनलोड कर सकता था और कमजोरियों के लिए कोड का विश्लेषण कर सकता था। प्रारंभिक परीक्षण करने के लिए मुझे कम से कम एक उपकरण खरीदने की आवश्यकता नहीं थी।



लेकिन जब मैं इस कैमरे के लिए फ़र्मवेयर डाउनलोड करने के लिए निर्माता की वेबसाइट पर गया, तो मेरे सामने एक जावास्क्रिप्ट पॉप-अप विंडो आई, जिसमें मुझसे अपना पासवर्ड दर्ज करने के लिए कहा गया। मैंने तुरंत सभी सबसे आम पासवर्डों की कोशिश की: प्यार, सेक्स, भगवान, लेकिन यह काम नहीं किया। लेकिन अंत में, पासवर्ड टैब = 4 ने काम किया। और तुम जानते हो क्यों? क्योंकि यदि आप सर्वर पर पासवर्ड भेजने वाले जावास्क्रिप्ट को देखते हैं, तो मुझे यह समझाने की आवश्यकता नहीं है कि आप वहाँ क्या देख रहे हैं (हँसी), यह बहुत अच्छा है।



जब तक आपको सही पासवर्ड नहीं मिलता है, तब तक आप बस पंक्ति के अंत में एम्परसैंड टैब = 4 के साथ वर्तमान URL पर पुनर्निर्देशित हो जाते हैं। चूंकि मैं यह समझने के लिए पर्याप्त रूप से सक्षम हूं कि यह क्या है, मैंने इस चीज को पासवर्ड के रूप में दर्ज किया और फर्मवेयर डाउनलोड पृष्ठ पर गया।

इस तरह का दृष्टिकोण उनकी प्रणाली की सुरक्षा के लिए अच्छा नहीं है। तथ्य यह है कि वे फर्मवेयर में कस्टम httpd वेब सर्वर का उपयोग करते हैं, बहुत हानिरहित दिखता है, लेकिन यदि आप इस बाइनरी फ़ाइल में लाइनों को देखते हैं, तो आप देख सकते हैं कि वे सभी उच्च अनुकूलन योग्य हैं।



इसलिए मैंने फैसला किया कि चूंकि यह वास्तव में अनुकूलन योग्य दिखता है, इसलिए मुझे यह विचार करने की आवश्यकता है कि उनका वेब सर्वर प्रमाणीकरण कैसे संभालता है। अब जब मुझे पता है कि कैमरे प्रमाणीकरण के लिए बुनियादी HTTP उपकरणों का उपयोग करते हैं, तो मैं डिक्रिप्ट करने के लिए बेस 64 का उपयोग करता हूं। यदि आप http के माध्यम से प्रमाणीकरण से परिचित हैं, तो आप जानते हैं कि यहां उपयोगकर्ता नाम और पासवर्ड संयुक्त हैं, और फिर base64 में एन्कोड किया गया है।



इसलिए मैंने क्रॉस-रेफरेंस के लिए कोड देखना शुरू कर दिया, जो b64_decode का उल्लेख करता है। जब वे आपके पासवर्ड को डिक्रिप्ट करते हैं तो वे इसे सत्यापन के लिए b64_decode पर पास कर देते हैं, और पूरी तरह से, यह सब ठीक है, उन्होंने आपका पासवर्ड डिक्रिप्ट किया है। फिर वे दो स्ट्रिंग तुलना करते हैं: एक स्ट्रिंग जिसमें हार्ड-कोडेड पैरामीटर 3sadmin और दूसरा हार्ड-कोडेड स्ट्रिंग 27988303 है।

मैं सोचता था कि आप अपने HTTP सर्वर में हार्ड-कोडेड चीजों को डालने के लिए इतने विनम्र नहीं हो सकते हैं, क्योंकि यह विश्वसनीय नहीं है, लेकिन यह काम करना जारी रखता है।



इस प्रकार, आप किसी भी 3SVision कैमरे का उपयोग कर सकते हैं और एक प्रशासक बन सकते हैं। यह आपको वीडियो कैश रजिस्टर, ताइवानी चौकियों और रूसी औद्योगिक उद्यमों के तहखाने तक पहुंच प्रदान करता है।

लेकिन यह सब वीडियो देखने से बहुत जल्दी उबाऊ हो जाता है, इसलिए मैं रूट करना चाहता था। सौभाग्य से, उनका कोड सभी प्रकार की असुरक्षित प्रणाली कॉलों से भरा हुआ है, और हमलावर हमले के लिए व्यापक क्षेत्र को खोलता है, खासकर अगर वह एक व्यवस्थापक के रूप में लॉग इन करता है। इसका सबसे अच्छा उदाहरण record.cgi वीडियो हैंडलर है।



सभी नहीं, लेकिन इनमें से कई कैमरे स्थानीय भंडारण का समर्थन करते हैं, इसलिए, आप कह सकते हैं कि कैमरे के अंदर अपना एसडी मेमोरी कार्ड डालें और उस पर अपने लिए वीडियो सहेजें। आपको व्यवस्थापक इंटरफ़ेस के माध्यम से कुछ मूल फ़ाइलों को प्रबंधित करने का अवसर भी दिया जाता है, और यह cgi पृष्ठ पर do_records फ़ंक्शन के माध्यम से किया जाता है। Cgi डिस्क पर एक भौतिक पृष्ठ नहीं है। जब वेब सर्वर देखता है कि आपने CGI रिकॉर्ड का अनुरोध किया है, तो यह do_records फ़ंक्शन हैंडलर को कॉल करता है, जो यह जांचता है कि आप क्या कार्य कर रहे हैं। उदाहरण के लिए, यदि आप किसी फ़ाइल को निकालना चाहते हैं, तो आपको "हटाएं" के बराबर aRemove कमांड मान पास करना होगा।



इसके अलावा, आपको संकेत करना चाहिए कि आप किस फ़ाइल को हटाना चाहते हैं।



यह फ़ाइल नाम RM कमांड में डाला जाता है, जिसे सिस्टम में पास किया जाता है।



मुझे लगता है कि आप पहले ही समझ गए थे कि इससे क्या हो सकता है। एक फ़ाइल नाम के बजाय, आप एक कमांड डाल सकते हैं जो सिस्टम रिबूट का कारण होगा, और इसी तरह। इस मामले में, हम सिस्टम पर पूर्ण नियंत्रण प्राप्त करेंगे, जैसा कि पिछले कैमरों की हैकिंग के मामले में था।



यह लगभग पूरे 3SVision उत्पाद लाइन पर काम करता है, और न केवल कैमरों, बल्कि उनके वीडियो सर्वर को भी प्रभावित करता है, क्योंकि वे एक ही वेब सर्वर का उपयोग करते हैं। जब मैंने अपना शोध किया, तो मैंने A-Linking नामक एक और कंपनी की खोज की, जो अपने कैमरों में समान फर्मवेयर का उपयोग करती है। लेकिन उन्होंने हार्ड-कोडेड क्रेडेंशियल्स को कुछ और में बदल दिया। इसलिए उनके पास अभी भी ये हार्ड-कोडेड डेटा है, लेकिन अब वे 3SVision कैमरा फ़र्मवेयर में इस्तेमाल किए गए क्रेडेंशियल्स से अलग हैं। मैं ऐसे कैमरों के सभी मॉडलों को सूचीबद्ध नहीं करूंगा, मैं बस ध्यान देता हूं कि वे सभी शोडान डॉर्क भेद्यता रेटिंग में हैं।



अन्य निर्माताओं के कैमरों की तुलना में उनकी उच्च लागत को देखते हुए, यह विशेष रूप से दिलचस्प है, इसके अलावा, जैसा कि आप जानते हैं, इन कैमरों का उपयोग विदेशी सैन्य, ऊर्जा और औद्योगिक उद्यमों में किया जाता है। यदि आपने उन्हें शोडान डॉर्क में देखा है, तो इन कैमरों को विदेश में बेचने से सावधान रहें और अगर चीनी सेना आपके लिए आती है तो मुझे दोष न दें।

तो क्या मैं तुम्हें क्या बताया के बारे में बताता है? मैं आपके नेटवर्क में प्रवेश करता हूं, मैं आपको देखता हूं और मेरे पास रूट विशेषाधिकार हैं। किसी भी हमलावर के लिए यह एक शानदार अवसर है, यह देखते हुए कि इनमें से अधिकांश कैमरे आंतरिक नेटवर्क से भी जुड़े हैं। आप उन्हें दूरस्थ रूप से एक्सेस कर सकते हैं, अंदर ले जा सकते हैं, रूट-अधिकार प्राप्त कर सकते हैं, लिनक्स-आधारित कंप्यूटर में प्राप्त कर सकते हैं और वहां से आप अपने स्थानीय नेटवर्क के साथ जो चाहें कर सकते हैं।

यहाँ मैं थोड़ा पीछे हट गया और कहा: "ठीक है, यह सब बहुत अच्छा है, लेकिन मैं कैमरे के साथ क्या कर सकता हूँ"? मुझे कैमरे के लिए रूट एक्सेस मिला, यह बहुत बढ़िया है, लेकिन अगर आप सर्विलांस सिस्टम के सामान्य व्यवस्थापक के पास जाते हैं और उसे बताते हैं कि आपके पास कैमरे की रूट एक्सेस है, तो उसे समझ में नहीं आता कि इसका क्या मतलब है। इसलिए, मैं कुछ और दिलचस्प करना चाहता था, कुछ ऐसा जो वास्तव में सभी संभावनाओं को प्रदर्शित करता हो। मैं एक वीडियो स्ट्रीम को इंटरसेप्ट करना चाहता था जो इस तरह दिखे:



और इसे कुछ इस तरह से बदलें जो इस तरह दिखता है:



यह एक प्रकार की क्लासिक हॉलीवुड हैक है, जब आप निगरानी कैमरों के साथ भरी हुई एक पहरेदार वस्तु को भेदना चाहते हैं, और आपके समूह के एक हैकर को इस कैमरे को क्रैक करना चाहिए ताकि यह पता चले कि वहाँ कोई नहीं है, हालाँकि वास्तव में वहाँ कोई है। इस तरह की चाल की संभावना को साबित करने के लिए, मैंने ट्रेंडनेट टीवी-आईपी 410 डब्ल्यूएन निगरानी कैमरे को चुना।



मैंने इसे कई कारणों से चुना। सबसे पहले, मैं इसे खरीद सकता हूं, जो एक बड़ा प्लस है। दूसरे, यह एक पिछले दरवाजे खाता है:



आपको इन फ़ाइलों को प्राप्त करने की अनुमति है:



जो एक बहुत व्यापक भेद्यता है जो आदेशों के इंजेक्शन की अनुमति देता है:



बदले में, हमें बहुत ही आसानी से उन पैकेजों को भेजने के लिए इस्तेमाल किया जा सकता है जिन्हें हमें कैमरे की आवश्यकता है:





यहां वही हैकिंग अवसर हैं जो मैंने पहले उल्लेख किया था, केवल इस मामले में हमारे पास एक सस्ता कैमरा है।

जैसा कि यह निकला, यह विशेष त्रुटि 2011 में वापस ज्ञात हुई। लेकिन समस्या यह थी कि न तो मैं और न ही कोई अन्य इस जानकारी का उपयोग कर सकता था, क्योंकि इस भेद्यता के वर्णन में न तो उन उपकरणों की सूची थी जिनमें यह मौजूद था, न ही एक विशिष्ट फर्मवेयर के संकेत थे, इसलिए सभी ने इसे अनदेखा किया संदेश। इसलिए, यदि आपने "TV-IP410WN कैमरा भेद्यता" के अनुरोध के साथ Google का रुख किया, तो आपको कुछ भी नहीं मिलेगा।
इस तरह की जानकारी नहीं देने की एक और समस्या यह है कि यह भेद्यता न केवल कंप्यूटर सुरक्षा में शामिल लोगों, बल्कि उत्पादों के निर्माताओं और आपूर्तिकर्ताओं के लिए भी अज्ञात है। यह उन्हें यह निर्धारित करने की अनुमति नहीं देता है कि कौन से फर्मवेयर और कौन से कैमरा मॉडल को ठीक करने की आवश्यकता है। इसलिए इन उपकरणों को अभी भी हर जगह एक ही बग के साथ बेचा जाता है - शोडान डॉर्क 28 हजार से अधिक ऐसे कैमरों को इंगित करता है।

तो, मान लीजिए कि व्यवस्थापक द्वारा देखे गए वीडियो चैनल की छवि यहां दिखाई गई है, जो हमारे प्रयोग के उद्देश्यों के अनुरूप है। हम मानते हैं कि व्यवस्थापक इस वीडियो को वेब इंटरफ़ेस के माध्यम से देखता है, न कि किसी प्रकार की उपयोगकर्ता सेवा, RTPID, या कुछ इस तरह के माध्यम से।



यदि आप किसी ब्राउज़र में देखे गए इस विशेष कैमरे से छवि लेते हैं, तो आप देख सकते हैं कि इस स्ट्रीमिंग वीडियो को देखने के लिए mjpg.cgi प्रक्रिया जिम्मेदार है।



कमांड इंजेक्शन का उपयोग करके, हम देख सकते हैं कि कौन सी प्रक्रियाएं चल रही हैं, और फिर वास्तव में सभी प्रक्रियाओं को "मार"। mjpg.cgi:



यह व्यवस्थापक के वीडियो चैनल की छवि के अस्थायी "ठंड" के प्रभाव को जन्म देगा। ऐसा इसलिए होगा क्योंकि ब्राउज़र इसे प्राप्त की गई अंतिम छवि दिखाएगा और अब इस कैमरे से कोई चित्र प्राप्त नहीं करेगा। लेकिन हम ऐसा नहीं करेंगे, क्योंकि यदि व्यवस्थापक ब्राउज़र को अपडेट करता है या किसी नए पृष्ठ पर नेविगेट करता है, और फिर कैमरे से देखने पर लौटता है, तो स्ट्रीमिंग वीडियो फिर से शुरू हो जाएगा और वह वास्तविक समय में छवि को देखेगा।

इसलिए, हम mjpg.cgi फ़ाइल को बदलने की कोशिश करेंगे, जो मुश्किल नहीं होनी चाहिए - बैश स्क्रिप्ट की दो लाइनें पर्याप्त होंगी।



विशेष रूप से, आपको बस इतना करना है कि डिस्क पर इस cgi पृष्ठ को एक स्क्रिप्ट के साथ बदलें जो ब्राउज़र में कुछ बुनियादी हेडर लौटाता है, और फिर स्थानांतरण में खाली एलिवेटर की स्थिर JPEG छवि सम्मिलित करने के लिए बिल्ली कमांड का उपयोग करता है। यह एक बकरी की छवि, कुछ भी हो सकता है। लेकिन हमारे मामले में, प्रशासक अब लगातार एक खाली लिफ्ट को देखेगा, जो वास्तव में वहां हो रहा है।



वास्तव में, यह "लाइव" वीडियो में बहुत अधिक दिलचस्प लगता है, इसलिए यदि प्रदर्शन के देवता आज मेरे साथ हैं, तो हम ठीक हो जाएंगे। इसलिए, जैसा कि स्क्रीन पर देखा जा सकता है, मेरा कैमरा मेरे खजाने की रक्षा करता है - बीयर की एक बोतल। देखें, मैं इसे लेता हूं, और कैमरा इसे प्रदर्शित करता है। अब मैं इस स्क्रिप्ट के रूप में एक शोषण का उपयोग करूंगा जो वास्तविक समय में वीडियो को "मार" देगा और इसे एक स्थिर छवि फ़ाइल के साथ बदल देगा, जिसके बारे में मैंने अभी बात की है।

वह मुझे कैमरे को नियंत्रित करने और एक गुप्त URL सेट करने के लिए प्रशासनिक अधिकार भी देगा, ताकि मैं अभी भी वास्तविक वीडियो देख सकूं जबकि व्यवस्थापक चैनल जमे हुए वीडियो को प्रसारित करता रहे। स्क्रीन पर आप देखते हैं कि यह शोषण कैसे भेजा जा रहा है।



तो, सब कुछ ठीक हो गया, उसने मुझे उपयोगकर्ता क्रेडेंशियल्स - व्यवस्थापक लॉगिन और सिक्योरकैम 1234 पासवर्ड वापस कर दिया।



वह मुझे यह भी बताता है कि URL कॉन्फ़िगर किया गया है ताकि मैं वास्तविक वीडियो चैनल देख सकूं, इसलिए यदि मैं अपने हैकर ब्राउज़र पर अभी जाता हूं, तो अपनी साख दर्ज करें, मैं देख सकता हूं कि क्या होता है।



इसलिए, अगर कोई बोतल उठाता है, तो मैं उसके बारे में पता लगाऊंगा:



लेकिन व्यवस्थापक - नहीं, उसकी बोतल मेज पर रहेगी।



इसलिए, इस विषय पर कुछ अंतिम विचार जो मैं चाहता हूं। मैंने आपको कमजोर कैमरों की व्यापक सूची से दूर से प्रस्तुत किया है; मेरा शोध इस प्रकृति का नहीं था। वास्तव में, ऐसे कई और कैमरे हैं, और उनमें से अधिकांश को दरार करना बहुत आसान है।

लगभग हर कैमरा लॉगिन पेज या क्रेडेंशियल एंट्री पेज पर मॉडल नंबर दिखाएगा, भले ही आपने प्रमाणीकरण न किया हो, इस पर निर्भर करता है कि वे इस प्रमाणीकरण को कैसे सत्यापित करते हैं। यदि हमलावर को इस कैमरे के बारे में अधिक कुछ जाने बिना मॉडल नंबर पता है, तो वह Google पर जा सकता है, निर्माता की वेबसाइट ढूंढ सकता है और फर्मवेयर डाउनलोड कर सकता है।

आपको उस टैब = 4 का भी पता लगाने की आवश्यकता हो सकती है, लेकिन फ़र्मवेयर प्राप्त करने के बाद, आप इसे खरीदे बिना भी इस कैमरे में कमज़ोरियों को खोज सकते हैं।

यह ठीक यही है कि मैंने इन सभी कैमरों के साथ क्या किया - सब कुछ फर्मवेयर विश्लेषण की मदद से किया गया था, सभी कारनामों को इसके आधार पर बनाया गया था और मैंने एक भी कैमरा नहीं खरीदा था। तब फर्मवेयर का विश्लेषण और अनपैक करने के लिए बिनवॉक का उपयोग करने के लिए पर्याप्त था, और यदि आवश्यक हो, तो आईडीए और केमू को अलग करना और अनुकरण करना, जिसके बाद एक जीत की प्रतीक्षा की गई।
और अब मैं आपके सवालों का जवाब दूंगा। कैमरों की सुरक्षा के बारे में, मैं यह कहता हूं: कुछ घंटों के लिए मैं उन सभी कैमरों का वर्णन कर सकता हूं जिनकी सुरक्षा की मैंने जांच की थी, लेकिन उनमें से एक भी कैमरा ऐसा नहीं था जो पूरी तरह से संरक्षित हो। इस बीच, ऐसे निर्माता हैं जिनके उत्पाद मेरे पास बस परिचित होने का अवसर नहीं था, क्योंकि इस तरह के कैमरे को खरीदने के लिए कोई पैसा नहीं था, क्योंकि वे फर्मवेयर को मुफ्त में डाउनलोड करने की क्षमता प्रदान नहीं करते हैं। इसलिए, मैं यह दावा करने की हिम्मत नहीं करता कि कोई विश्वसनीय निगरानी कैमरे नहीं हैं।

वे मुझसे पूछते हैं कि क्या स्थैतिक छवि को कुछ गतिशील के साथ हैकिंग से बदलना संभव है। सबसे आसान तरीका एक एनीमेशन.जीआईएफ फ़ाइल की तरह कुछ सम्मिलित करना होगा, यह एक विशुद्ध रूप से हैकर समाधान होगा। हालांकि, मुझे लगता है कि अपनी खुद की cgi लिखना काफी संभव है, जो आपको वास्तविक समय में वीडियो प्रदर्शित करने की अनुमति देगा। अपने डेमो के बावजूद, मैं इसके लिए बहुत आलसी हूं। लेकिन अगर आप इन उपकरणों की अवधारणा को जानते हैं, तो आप उनके साथ जो चाहें कर सकते हैं।


हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

VPS (KVM) E5-2650 v4 (6 करोड़) 10GB DDR4 240GB SSD 1Gbps दिसंबर तक मुफ्त में जब छह महीने की अवधि के लिए भुगतान करते हैं, तो आप यहां ऑर्डर कर सकते हैं ।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps नीदरलैंड और यूएसए में $ 249 से 100 टीवी है ! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?