Што трэба, каб завітаць у госці? Часам досыць ведаць IP, да якога падключаная хатняя сістэма відэаназірання
Гэта прадэманстраваў малады хлопец, які навучаецца на курсах Сацыяльнай інжынерыі ў Сіэтле, на старонках свайго блогу.
Цяпер вельмі распаўсюджаныя сістэмы IP-відэаназірання. Гэта танны і эфектыўны метад аховы. Але калі ёсць плюсы, чакайце і мінусаў.
Хлопец апублікаваў даследаванне, у якім паказаў, што ў некаторых мадэлях сістэм хатняга відэаназірання (у прыватнасці, Trendnet) выяўленая памылка, што дазваляе злодзею далучацца да сістэмы праз інтэрнэт і глядзець відэа з любой IP-камеры.
Высветлілася, што, хаця для доступу да відэасістэмы патрабуецца пароль, але калі дадаць у канцы радок / anony / mjpg.cgi, то ўвесь кантэнт камераў паказваецца без пароля, досыць увесці IP-адрас камеры і дадаць радок з 15 сімвалаў, аднолькавы для ўсіх камераў.
Напрыклад, уводзячы адрас http://192.168.1.17/anony/mjpg.cgi, вы атрымліваеце беспарольны доступ да хатняй сістэмы відэаназірання, усталяванай на IP-адрасе 192.168.1.17. І ніякага пароля не трэба.
Спасылка на інструкцыю хутка разляцелася па інтэрнэце.
Паколькі спосаб выключна просты і патрабуе ўсяго толькі IP-адрасу ахвяры, то на форумах і ў блогах адразу з'явіліся дзясяткі і сотні спасылак на відэатрансляцыі з чужых дамоў.
Калі ў чыёйсьці кватэры адбывалася нешта цікавае (напрыклад, з'яўлялася аголеная жанчына), хакеры з задавальненнем дзяліліся скрыншотамі з супольнасцю.
Спіс з больш чым 1000 IP-адрасоў камер выклалі на Pastebin. Выявіць IP-адрасы розных сістэм відэаназірання можна праз пошукавую сістэму Shodan, якая для гэтага і прызначаная. Дастаткова ўвесці пошукавы запыт [netcam].
Апублікаваны нават скрыпт на Python, каб аўтаматычна падбіраць вынікі з пошукавай сістэмы, аўтаматычна падстаўляць вышэйзгаданы радок і выводзіць на экран усе ўдала атрыманыя відэакадры.
Усё настолькі проста, што нават дзіўна, як вытворца сістэм відэаназірання зрабіў такую памылку.
Кампанія Trendnet прызнала, што памылка сапраўды прысутнічае ў 26 мадэлях яе відэакамер з 2010 года, і апублікавала новую версію прашыўкі.
Спіс мадэляў уразлівых камер:
TV-IP110 (Version A1.0R)
TV-IP312 (Version A1.0R)
TV-IP110W (Version A1.0R)
TV-IP312W (Version A1.0R)
TV-IP110WN (Version V2.0R)
TV-IP312WN (Version v1.0R)
TV-IP110WN (Version V1.0R)
TV-IP322P (Version v1.0R)
TV-IP121W (Version A1.0R)
TV-IP410 (Version A1.0R)
TV-IP121WN (Version v2.0R)
TV-IP410W (Version A1.0R)
TV-IP121WN (Version v1.0R)
TV-IP410WN (Version v1.0R)
TV-IP212 (Version A1.0R)
TV-IP422 (Version A1.0R)
TV-IP212W (Version A1.0R)
TV-IP422W (Version A1.0R)
TV-IP252P (Version B1.xR)
TV-IP422WN (Version V1.0R)
Даследаванні адносна іншых вытворцаў працягваюцца.
Каментары