点击上方蓝字关注我们噢~
![aab013bbeefb6e4d8afbe362ce9c9266.gif](https://i-blog.csdnimg.cn/blog_migrate/20f119f04ddd35b77f8ca419ef08767b.gif)
![4cec0ccf7cefb88969e7b7aa61a2612d.png](https://i-blog.csdnimg.cn/blog_migrate/5642e9324592e3faeb37103536bfd84c.png)
![6b13f5e834da0c050ea556b234a54206.png](https://i-blog.csdnimg.cn/blog_migrate/edda407157c3c8947582871f486976c9.jpeg)
![58983ef54036f91abc11b150c9f28e3f.png](https://i-blog.csdnimg.cn/blog_migrate/33d9a7405450815b97a61769b8874b02.png)
![6b13f5e834da0c050ea556b234a54206.png](https://i-blog.csdnimg.cn/blog_migrate/edda407157c3c8947582871f486976c9.jpeg)
![1131e17240212819d6e361d8385000c6.png](https://i-blog.csdnimg.cn/blog_migrate/01d1e6c71c852cd86d8681748083a2dc.png)
![1fb24daf9bc85b4ede881ee62cdf67a1.gif](https://i-blog.csdnimg.cn/blog_migrate/55a528c58ce43ed98e4c019fa1519ed7.gif)
OWASP Internet of Things
要知道OWASP Internet of Things是什么,我们首先要了解一下OWASP。 OWASP(Open Web Application Security Project)是一个非盈利的全球性安全组织致力于提高软件安全的开源研究项目。这个组织的使命是使应用软件更加安全,使企业和组织能够对应用安全风险作出更清晰的决策,推动安全标准、安全测试工具、安全指导手册等应用安全技术的发展。 OWASP Internet of Things是OWASP众多研究项目中的一员。OWASP Internet of Things项目旨在帮助制造商、开发人员和消费者更好地理解与物联网相关的安全问题,并使用户在任何情况下构建、部署或评估物联网技术时都能够做出更好的安全决策。 OWASP Internet of Things项目 将它的子项目分成了三个类别,分别是"Seek& Understand","Validate & Test"和"Governance"。因为"Governance"类别中的子项目待定中,所以下面我们主要从"Seek& Understand"和"Validate & Test"两类别的子项目去介绍。Seek & Understand
![a5336128d9f2b5920a913eeca5cdfcb2.gif](https://i-blog.csdnimg.cn/blog_migrate/809fee7036583e72db117ae35f795fb4.gif)
OWASP IoT top10 2018
"Seek & Understand"类别中 最具代表性的项目 就是 OWASP IoT top10 2018 ,这个项目告诉了我们 构建、部署或者管理IoT系统时需要避免的十大事项。 这十个事项非常简洁清晰,分别是: 1. 弱密码、可猜测密码或硬编码密码 Weak, Guessable, or Hardcoded Passwords 2. 不安全网络服务 Insecure Network Services 3. 不安全的生态接口 Insecure Ecosystem Interfaces 4. 缺乏安全的更新机制 Lack of Secure Update Mechanism 5. 使用不安全或已遭弃用的组件 Use of Insecure or Outdated Components 6. 隐私保护不充分 Insufficient Privacy Protection 7. 不安全的数据传输和存储 Insecure Data Transfer and Storage 8. 缺乏设备管理 Lack of Device Management 9. 不安全的默认设置 Insecure Default Settings 10. 缺乏物理加固措施 Lack of Physical Hardening![4b60571964345a5b93fddd278272230b.png](https://i-blog.csdnimg.cn/blog_migrate/2a533daf8df9ed8edd8afd13ae65fbe8.png)
Validate & Test
![a5336128d9f2b5920a913eeca5cdfcb2.gif](https://i-blog.csdnimg.cn/blog_migrate/809fee7036583e72db117ae35f795fb4.gif)
Firmware Security Testing Methodology (FSTM)
Firmware Security Testing Methodology(固件安全测试方法,简称FSTM),这是一个非常受关注的项目。 对于任意一个物联网设备来说,固件都是它们的灵魂,控制着整个物联网设备的运转。因此,了解固件的安全性是十分重要的。 而这个项目为固件安全性测试和逆向工程提供了一份详细的测试方法,一步一步的指导我们应该怎么样去进行测试,包括列举了每一步需要使用到的工具和测试中需要注意的地方。测试方法一共由9个阶段组成,分别为:![9f20ed5d8681770e697c742ef6f50ecc.png](https://i-blog.csdnimg.cn/blog_migrate/8742c8438806d7a984df24d37011d70c.png)
FSTM的整个测试方法循序渐进,每个阶段获取到的信息都会对后面阶段的测试有一定的帮助。
例如,在分析文件系统内容阶段,可以为动态分析和运行时分析收集到相关的线索,这个阶段应该检查目标固件中是否包含以下信息:
![da23389254619d7add0ec34d476e982e.gif](https://i-blog.csdnimg.cn/blog_migrate/55f9a5e07c89264b4cbfb5f6c192f471.gif)
· 遗留的不安全网络守护进程
· 硬编码凭证(用户名、密码、API密钥、SSH密钥等)
· 可以用作入口点的服务器更新功能
· 未编译的代码和用于远程代码执行的启动脚本
……
在使用FSTM进行测试的时候,我们还可以通过EmbedOS来提高我们的测试效率。EmbedOS是基于Ubuntu 18.04的嵌入式安全测试操作系统,预装了很多有用的固件安全测试工具。 这个虚拟机可以通过链接https://github.com/scriptingxss/EmbedOS下载,然后将其作为OVF文件导入VirtualBox或VMWare,就可以正常使用了。 在EmbedOS中预装的固件安全测试工具可以在~/tools中可以找到,常用的包括:![da23389254619d7add0ec34d476e982e.gif](https://i-blog.csdnimg.cn/blog_migrate/55f9a5e07c89264b4cbfb5f6c192f471.gif)
· Firmware Analysis Toolkit 分析和识别IoT设备和嵌入式设备中固件漏洞
· Firmware Analysis Comparison Toolkit (FACT) 固件自动化分析工具
· ByteSweep 一个免费的IoT固件安全分析平台
· QEMU 一个通用的开源机器仿真器和虚拟器
· Firmwalker 搜索已经提取或挂载的固件文件系统
· Firmware Modification Kit 提取和重建基于Linux的固件
![1977c0c3febce216a0a2ebb6802300e4.png](https://i-blog.csdnimg.cn/blog_migrate/4cae776d270c691bcef2d3b211dd74aa.png)
![6b13f5e834da0c050ea556b234a54206.png](https://i-blog.csdnimg.cn/blog_migrate/edda407157c3c8947582871f486976c9.jpeg)
![9510e0eaa180d0504c52ecc75ac4f6f9.png](https://i-blog.csdnimg.cn/blog_migrate/9d5ad36bf5c7df441b57c7c0460ed3c6.png)
![a5336128d9f2b5920a913eeca5cdfcb2.gif](https://i-blog.csdnimg.cn/blog_migrate/809fee7036583e72db117ae35f795fb4.gif)
ByteSweep
ByteSweep是一个免费IoT固件安全分析平台。在固件发布之前,IoT设备商可以通过这个平台对固件进行完全自动化的安全检查,发现一些安全问题。
这个平台的分析包括:
![b5140360f8413f8c0f84b83c3aa9b4d5.png](https://i-blog.csdnimg.cn/blog_migrate/84ab58c326f93d002303fc69b4251a46.jpeg)
在上面提及的EmbedOS中已经预装了这个平台,我们可以直接使用。运行脚本./start-bytesweep.sh
启动ByteSweep
然后在浏览器中打开http://127.0.0.1:8000,选择需要分析的固件进行测试。下图是对DVRF_v03.bin固件分析后的情况,例如不安全函数sym.imp.strcpy的使用,第三方组件busybox等等。
分析概述
不安全函数使用
第三方组件
通过使用这个平台,开发者或者安全评估人员可以快速的发现固件中的一些安全问题,极大地提高了工作效率。
OWASP Internet of Things还有其它子项目,这里只是“抛砖引玉”,感兴趣的同学可以到OWASP Internet of Things主页进一步了解其它的子项目。 随着物联网的快速发展,暴露出的安全问题也日渐增多,希望能有更多的人去了解和参与到物联网安全工作中,共建安全的“万物互联”时代。 参考: https://iot-analytics.com/iot-2019-in-review/ https://wiki.owasp.org/index.php/OWASP_Internet_of_Things_Project#tab=Main https://www.shoufenxiongfeng.com/h-nd-273.html http://wldjzx.sxjdxy.org/xxjl/5122.jhtml https://www.chainnews.com/articles/927059159056.htm https://www.iyiou.com/p/119680.html 《OWASP-FSTMv1.1》![28f9c37c12078bad20102f9f30090e2b.gif](https://i-blog.csdnimg.cn/blog_migrate/2ad26ee9a5b93e4285f198e0c3447dcd.gif)
![f266b51398f9f52e2c1eee1e3caf30d7.gif](https://i-blog.csdnimg.cn/blog_migrate/310619fd942e0a9853de8f96925d126c.gif)