基于Web攻击的方式发现并攻击物联网设备介绍

      近二十年来，DNS重绑定(DNS rebinding)攻击一直是讨论的话题。尽管浏览器厂商做出了努力，但仍然无法找到一个能稳定抵御这些攻击的防御系统。据说这类问题八年前就已经被修复了。但是这类攻击通过新的攻击向量再次出现。

　　总的来说，可以肯定未来的黑客活动将通过多个现有攻击组合形成新的攻击向量。这些新攻击向量的一个很好的例子就是攻击加密货币钱包的DNS重绑定攻击。

　　在本文中，我们讨论了Princeton(普林斯顿大学)和UC Berkeley(加州大学伯克利分校)关于基于web的方式攻击物联网设备的研究，这些攻击会导致设备被黑客发现、攻击和接管。研究于2018年8月发表。

　　设备与黑客发现和攻击物联网设备的方法

　　研究人员的目标是测试15个物联网设备。这些设备中只有七台有本地HTTP服务器，所以研究的重点放在它们上，它们包括：Google Chromecast、Google Home、一台智能电视、一个智能开关和三个摄像头。

　　使用的攻击方法是：

　　欺骗受害人，诱导他们访问攻击者控制的网站。

　　在受害者的本地网络上发现物联网设备。

　　通过基于web的攻击控制设备。

　　攻击的持续时间

　　从技术上讲，这不是新的攻击向量。研究报告引用了之前的研究，发现攻击者使用这些攻击向量平均需要一分钟才能获得结果。奇怪的是，一项着名的研究结果

　　(What You Think You Know About the Web is Wrong)显示，55%的用户花在网站上的时间不超过15秒。看来大多数用户不会受到物联网漏洞的影响。

　　但是在普林斯顿大学和加州大学伯克利分校的研究中，研究人员明显缩短了攻击的持续时间。研究人员表示使用他们发现的方法，可以比之前的研究更快地发现和访问本地网络中的设备。但是Chrome除外&#