PowerPoint 演示文稿

Size: px

Start display at page:

Download "PowerPoint 演示文稿"

贴强
4 years ago
Views:

1 IoT 的安全威胁分析 : 智能插座和监控摄像头的案例研究凌振东南大学计算机科学与工程学院 2017 年 7 月 12 日

2 报告提纲背景介绍智能插座安全分析智能摄像头安全分析总结 2

3 研究动机随着 IoT 的发展, 各种智能设备接入到 Internet 如果设备被攻击, 人们生活工作受到很大影响 3

4 我们的相关工作智能插座在 GeekPwn2016 进行了现场破解一旦用户开启 APP, 攻击者便可获取用户认证信息我们的技术成功率很高! 4

5 报告提纲背景介绍智能插座安全分析智能摄像头安全分析总结 5

6 Edimax 智能插座 Authentication server Command relay server 6

7 远程通信流程测试网络 (1) 访问网站时间同步 (2) pool.ntp.org 注册设备 (34) 外网认证 (5~8) 控制阶段 (9~11) 转发服务器 7

8 反向通信协议通信协议混淆方式报文数据内容明文 : <param> 报文数据 ASCII 码值 : 3c d 3e 编码后的码值 : b 93 0b 6b f1 移位差值 = 41-3c = 5 8

9 详细流程智能终端 9

10 详细流程 5:Send a UDP request. 1.MAC 地址 ; 2.MD5(Admin: 密码 ); 3.MAC+UnixTime 智能终端 10

11 详细流程 6:Forward the UDP request to device. 1. 客户端 IP 地址和端口 ; 2.Relay 服务器的 IP 和 port; 3. 转发 MD5(Admin: 密码 ) 4.relayid 5:Send a UDP request. 1.MAC 地址 ; 2.MD5(Admin: 密码 ); 3.MAC+UnixTime 智能终端 11

12 详细流程 6:Forward the UDP request to device. 1. 客户端 IP 地址和端口 ; 2.Relay 服务器的 IP 和 port; 3. 转发 MD5(Admin: 密码 ) 4.relayid 7:Send a UDP response. 1. 客户端 IP 和端口 ; 2. 设备的 IP 和 port; 3.Relay 服务器的 IP 和 port; 4.relayid 5:Send a UDP request. 1.MAC 地址 ; 2.MD5(Admin: 密码 ); 3.MAC+UnixTime 智能终端 12

13 详细流程 6:Forward the UDP request to device. 1. 客户端 IP 地址和端口 ; 2.Relay 服务器的 IP 和 port; 3. 转发 MD5(Admin: 密码 ) 4.relayid 7:Send a UDP response. 1. 客户端 IP 和端口 ; 2. 设备的 IP 和 port; 3.Relay 服务器的 IP 和 port; 4.relayid 8:Forward the UDP response. 1. 设备的 IP 和 port; 2.Relay 服务器的 IP 和 port;3.relayid; 4.timelimits; 5 设备型号, 类型, 名称等等一系列信息 5:Send a UDP request. 1.MAC 地址 ; 2.MD5(Admin: 密码 ); 3.MAC+UnixTime 智能终端 13

14 详细流程 6:Forward the UDP request to device. 1. 客户端 IP 地址和端口 ; 2.Relay 服务器的 IP 和 port; 3. 转发 MD5(Admin: 密码 ) 4.relayid 7:Send a UDP response. 1. 客户端 IP 和端口 ; 2. 设备的 IP 和 port; 3.Relay 服务器的 IP 和 port; 4.relayid 9:Send a TCP data. MAC 地址 +relayid 8:Forward the UDP response. 1. 设备的 IP 和 port; 2.Relay 服务器的 IP 和 port;3.relayid; 4.timelimits; 5 设备型号, 类型, 名称等等一系列信息 5:Send a UDP request. 1.MAC 地址 ; 2.MD5(Admin: 密码 ); 3.MAC+UnixTime 智能终端 14

15 详细流程 6:Forward the UDP request to device. 1. 客户端 IP 地址和端口 ; 2.Relay 服务器的 IP 和 port; 3. 转发 MD5(Admin: 密码 ) 4.relayid 7:Send a UDP response. 1. 客户端 IP 和端口 ; 2. 设备的 IP 和 port; 3.Relay 服务器的 IP 和 port; 4.relayid 9:Send a TCP data. MAC 地址 +relayid 8:Forward the UDP response. 1. 设备的 IP 和 port; 2.Relay 服务器的 IP 和 port;3.relayid; 4.timelimits; 5 设备型号, 类型, 名称等等一系列信息 5:Send a UDP request. 1.MAC 地址 ; 2.MD5(Admin: 密码 ); 3.MAC+UnixTime 智能终端 9:Send a TCP data. MAC 地址 +relayid 15

设备的 IP 和 port; 2.Relay 服务器的 IP 和 port;3.relayid; 4.

16 详细流程 6:Forward the UDP request to device. 1. 客户端 IP 地址和端口 ; 2.Relay 服务器的 IP 和 port; 3. 转发 MD5(Admin: 密码 ) 4.relayid 7:Send a UDP response. 1. 客户端 IP 和端口 ; 2. 设备的 IP 和 port; 3.Relay 服务器的 IP 和 port; 4.relayid 9:Send a TCP data. MAC 地址 +relayid 8:Forward the UDP response. 1. 设备的 IP 和 port; 2.Relay 服务器的 IP 和 port;3.relayid; 4.timelimits; 5 设备型号, 类型, 名称等等一系列信息 5:Send a UDP request. 1.MAC 地址 ; 2.MD5(Admin: 密码 ); 3.MAC+UnixTime 智能终端 9:Send a TCP data. MAC 地址 +relayid 10:Send commands 16

17 问题? 测试网络 (1) 访问网站时间同步 (2) pool.ntp.org 注册设备 (34) 外网认证 (5~8) 控制阶段 (9~11) 转发服务器 17

18 远程通信的认证智能插座的注册 ID 是 MAC 无认证机制 <param> <code value="1010" /> <model value="sp-2101w" /> <id value="74da384aa93d" /> <type value="smartplug" /> <alias value="plug4aa93d" /> <lanip value=" " /> <lanport value="9501" /> <sn value= KKKKKKKK /> <encryption value="0" /> <nattype value="7" /> <devfwver value="1.04#010001" /> <productid value="edimax#sp-2101w#1.0#1.04" /> </param> 18

19 远程通信的认证外网认证 ID 是 MAC 密码是 MD5 值认证服务器 Relay ID 转发服务器 IP 地址和端口 <param> <code value="1030" /> <id value= MAC 地址 " /> <lanip value=" " /> <lanport value="36587" /> <nattype value="7" /> <reqdirport value="0" /> <reqfwver value="1.0#010000" /> <auth value="38f989453c733de4afaf64b6db7361df" /> <seq value="74da384aa93d " /> </param> 19

20 局域网通信流程内网认证 HTTP Basic Auth 密码是 Base64 同时实施外网认证 20

21 设备扫描攻击基于密码的用户认证 ID:MAC 地址密码 : 默认值 1234 扫描该厂商的 MAC 地址空间查找所有智能插座的在线状态检测默认密码使用情况有许多用户未修改默认密码!! 21

22 暴力破解攻击非默认密码 22

23 设备欺骗攻击伪装插座程序到云端服务器注册自己将真实插座临时踢下线一旦用户打开 APP, 认证信息自动就发送到软件中软件伪装插座 23

24 设备欺骗攻击的成功率分析 Attack starts 24

25 设备欺骗攻击的评估成功率 vs 伪造注册报文时间间隔 25

26 本地固件更新攻击安装恶意固件建立反向链接到攻击者服务器获取 root shell 完全控制插座的操作系统发 SPAM, 内网 arp 攻击发了微博, 充当水军 26

27 命令注入攻击密码修改存在的漏洞调用本地 md5 的 hash 命令 /bin/agent 27

28 GeekPwn 破解秀 28

29 报告提纲背景介绍智能插座安全分析智能摄像头安全分析总结 29

30 Edimax 智能摄像头 Registration server Command relay server 30

31 远程通信流程设备注册 31

32 远程通信流程设备注册 1 <param> <opcode value="1" /> <id value="7ab2f331-1e6f -49e6-af95-3b61af8d7bb1" /> </param> 32

33 远程通信流程设备注册 1 <param> <opcode value="10" /> <id value="7ab2f331-1e6f -49e6-af95-3b61af8d7bb1 " /> <ip value=" " /> <port value="39762" /> <nhip value=" "> <nhport value="8760"> </param> 33

34 远程通信流程设备注册 2 <param> <opcode value="1" /> <id value="3a226e10-d159-41c6-b264-3ccc9b23347f" /> </param> 34

35 远程通信流程设备注册 2 <param> <opcode value="10" /> <id value="3a226e10-d159-41c6-b264-3ccc9b23347f" /> <ip value=" " /> <port value="39762" /> <nhip value=" "> <nhport value="8760"> </param> 35

36 远程通信流程设备注册智能摄像头的注册 (34) ID 是 MAC 无认证机制 <param> <code value="1010" /> <model value="ic-3115w" /> <id value="801f0279b90f" /> <type value="ipcamera" /> <alias value="ic-79b90f" /> <lanip value=" " /> //Camera 内网 IP 地址 <lanport value="40574" /> //Camera 内网端口 <sn value= 22ffee3438ebc861cbc5bab4b98def4a162d /> <encryption value="0" /> <nattype value="3" /> <devfwver value="2.03#030000" /> <zone value="sg" /> <productid value="edimax#ic-3115w#1.00#2.03" /> <customer value="edimax"> <devstate value="0000"> </param> 36

37 远程通信流程设备发现和数据通信 37

38 远程通信流程设备发现和数据通信 Relay ID 客户端发出 MAC 地址 + 时间戳数据获取 PnvDataLen:96 <param> <code value= 1100 /> <url value="/mobile.jpg" /> <auth value="ywrtaw46mtizna=="> </param> <param> <code value="2030" /> <id value="801f0279b90f" /> <lanip value=" " /> <lanport value="42597" /> <nattype value="0" /> <reqdirport value="0" /> <reqfwver value="1.3.4.a#020100" /> <relayid value="801f0279b9l0f " /> </param> 认证成功回复 : HTTP/ OK 认证失败回复 : HTTP/ Unauthorized 38

39 针对摄像头的攻击设备扫描攻击查找所有智能摄像头的在线状态检测默认密码使用情况暴力破解密码设备欺骗攻击控制器注册服务器命令中继服务器智能摄像头运行攻击程序的 PC 39

40 隐藏后门隐藏的 Telnetd 服务访问 telnetd.cgi 程序并传递正确的参数 Telnet 服务默认用户名和密码 :admin 和 1234 可远程开启该后门 PnvDataLen:125 <param> <code value= 1100 /> <url value= /camera-cgi/private/telnetd.cgi?action=start" /> <auth value="ywrtaw46mtizna=="> </param> 40

隐藏后门 lw $a0, 0x820+haystack($fp) # haystack li $a1, 0x430000 nop addiu $a1, (aactionstart - 0x430000) # "action=start" la

41 隐藏后门 lw $a0, 0x820+haystack($fp) # haystack li $a1, 0x nop addiu $a1, (aactionstart - 0x430000) # "action=start" la $t9, strstr nop jalr $t9 ; strstr nop addiu $a0, (atelnetd - 0x430000) # "telnetd &" la $t9, system nop jalr $t9 ; system 41

42 命令注入攻击安全的系统调用 : addiu $a0, (akillall9telnet - 0x430000) # "killall -9 telnetd" la $t9, system nop jalr $t9 ; system nop 危险的系统调用 : addiu $v0, $fp, 0x8D8+var_7F8 move $a0, $v0# command la $t9, system nop jalr $t9 ; system nop /test/iperf -c %s -P 1 -i 1 -p f m -t %d -w 128.0K -M 1 42

43 命令注入攻击远程命令注入数据报文 <param> <code value= 1100 /> <url value="/cameracgi/private/factory.cgi?testiperf=testbutton&host=;command;&testtime=1" /> <auth value="ywrtaw46mtizna=="> </param> 43

44 密码修改漏洞远程漏洞验证 <param> <code value= 1100 /> <url value="/camera-cgi/admin/param.cgi?action=update &System_adminPasswd=password&System_confirmPasswd =password" /> <auth value="ywrtaw46mtizna=="> </param> 44

45 报告提纲背景介绍智能插座安全分析智能摄像头安全分析总结 45

46 总结智能设备的 D2D 认证存在缺陷认证尝试没有保护机制采用流量混淆机制未加密明文密码隐藏危险后门 46

47 谢谢

untitled

untitled 1....2...2...6 2....10 3. UDP...15 4. TCP...16...16...16 1 1. PC COM1 COM2 COM1 COM2 DTU 2 3 4 COM1 COM1 COM2 COM ID 13900000000 DTU COM1 5 COM2 DTU DTU DTU DTU DTU DTU DTU ID ID 3031 3032 2 ID 13900000001