智能设备安全吗—Synack逆向Dropcam过程整理

  Dropcam是多功能的无线网络视频监控摄像头。具备网络直播、网络存储、双向通话等功能,还可以把动态物体出现的时间标记下来。2014年6月,谷歌旗下的Nest公司宣布,以5.55亿美元的现金价格收购Dropcam。目前Dropcam是亚马逊网站上最畅销的安全摄像头,并且已经进入了苹果和百思买公司的零售商店。Dropcam已经成为一种流行的婴儿监控摄像头。当然目前中国版的“dropcam”也开始有了,比如小度i耳目、联想看家宝、小蚁智能摄像机(前阵子躺枪,被称为Dropcam在中国的"合伙人",发现小蚁用的Ambarella(安霸)A7LS处理器,dropcam用的A5系列)、360智能摄像机。

  智能设备或者说物联网设备正在快速的被研究开发出来,给用户带来很好的用户体验,但是另一方面,体验的同时,安全隐私性缺令人担忧,下面整理Synack团队在2014年黑帽大会上的作品—Implanting a dropcam

  企业安全研究公司 Synack 对 16 个常见的物联网设备进行了测试,从 SmartThings 的设备,到 Nest 和 Lyric 恒温器等。结果发现,它们都存在不同程度的安全问题,其中,联网摄像头是最不安全的。

  虽然他们是通过物理接触方式进行攻击,但不排除以后有人可以截获物联网设备,然后更换其中的配件。将来此类攻击可能会不断增加。尤其注意二手货或者返修产品哦~~

  下面是他们对dropcam的逆向攻击步骤:

  1. 物理打开摄像机,通过对dropcam的串口、USB接口进行探测,在物理上连接上dropcam.
  2. 然后启动dropcam,尝试进入bootloader。这里有两种方式
    • 上电然后点击“enter”键
    • 将串口tx/rx的管脚(pin3 &pin 4)短接
  3. 进入boot后,输入help命令,一般嵌入式开发中使用help可以显示系统可以支持的命令。研究者发现了以下命令:setenv  ,同时对setenv进行命令帮助追踪setenv help  。最终实现对dropcam的boot启动参数的修改如下:
    amboot>setenv cmdline DCSECconsole=ttyS0 ubi.mtd=bak root=ubi0:rootfs rw rootfstype=ubifs <span style="font-family: KaiTi_GB2312;">init=/bin/sh</span>
    该命令表明,设置boot参数到 /bin/sh下
  4. 尝试删除root密码
    # ls -l /etc/shadow
    /etc/shadow ->/mnt/dropcam/shadow
    # more /etc/fstab
    <filesystem> <mount pt> <type>
    /dev/root / ext2
    …
    NFS configurationfor ttyS0
    /dev/mtdblock9/mnt/dropcam jffs2
    # mount -tjffs2 /dev/mtdblock9/mnt/dropcam
    # vi /mnt/dropcam/shadow
    root:$1$Sf9tWhv6$HCsGEUpFvigVcL7aV4V2t.:10933:0:99999:7:::
    # more /mnt/dropcam/shadow
    root::10933:0:99999:7:::

  5. 查看dropcam的arm系统环境
    #uname -a
    Linux Ambarella 2.6.38.8 #80 Aug 2013    armv6l GNU/Linux
    # ps aux | grepconnect
    821 root 0:10/usr/bin/connect
    823 root 0:13 /usr/bin/connect              dropcam specific binaries
    824 root 0:00/usr/bin/connect


  6. 发现dropcam的opensssl使用了之前的漏洞版本1.0.1e。使用heartleech 获取摄像头的私有证书,这样就可以利用该证书做坏事了。 (注:Heartleech 可利用 Heartbleed 漏洞自动提取 OpenSSL 私钥信息。
  7. 发现dropcam的程代码执行漏洞。
    •  Dropcam使用嵌入式linux,里面有busybox.BusyBox是一个可执行程序,它把很多标准Linux工具的简版组合成在一起。 BusyBox 1.20.0之前版本中的DHCP客户端(udhcpc)没有从DHCP服务器响应中正确转义某些shell元字符,导致存在代码执行漏洞。远程攻击者可通过欺骗DHCP服务器以超级用户权限执行任意代码。攻击者可以进行反汇编出dropcam的代码。
  8. 修改IOS 上的Dropcam APP。发起Mitm(man in the middle ) 攻击。
  9. 克隆dropcam的音频
    思想是:所有的音视频流都得从系统的API接口和IOCTL接口流出到dropcam的云端。
    因此尝试连接音频卡: 
    # arecord   (ALSA声卡驱动的录音程序)
    #LD_PRELOAD=./injectMe.so /usr/biin/connect
    ALSA(Advanced Linux Sound Architecture)可以用来读取读取音频,例如:
    Get audio via snd_pcm_readn()
    通过这种方式,研究者写了一段注入代码,里面读取音频数据,并把它发送到自己的服务器中。
    

  10. 获取视频
    A) 打开设备/dev/iav
    B)  通过ioctl获取h264的参数,  IAV_IOC_GET_H264_CONFIG_EX
    C)  通过ioctl 找到系统构建(BSB)内存映射图     IAV_IOC_MAP_BSB
    D) 通过ioctl 找到DSP 内存映射图            IAV_IOC_MAP_DSP
    E)  通过ioctl 获取流的状态   IAV_IOC_GET_ENCODE_STREAM_INFO_EX
    F)  最后,通过ioctl读取流数据,IAV_IOC_READ_BITSTREAM_EX


  11. 控制视频
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值