curl 指定发起的端口_如何面对利用物联网设备发起大规模恶意攻击活动

最新推荐文章于 2024-12-09 12:34:13 发布

开眼旅行精选

最新推荐文章于 2024-12-09 12:34:13 发布

阅读量361

点赞数

文章标签： curl 指定发起的端口

本文链接：https://blog.csdn.net/weixin_35734296/article/details/112116022

版权

本文分析了攻击者利用物联网设备默认配置漏洞，将其用作代理发起基于HTTP的大规模凭据滥用攻击。攻击者通过SSH选项将设备转换为SOCKS代理进行恶意活动。文章指出漏洞根本原因，并为最终用户和设备供应商提供应对建议，还提及部署物联网安全的5个基本要素。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

点击上方“昆仑联通”，选择关注公众号

众多IT干货持续分享

物联网设备正在被利用并对第三方受害者发起攻击。攻击者利用物联网设备对客户发起基于 HTTP 的大规模凭据滥用攻击。此次攻击并非新型的漏洞或攻击技术，而是物联网设备的很多默认配置中存在的一种漏洞。

通过分析，发现这种攻击的几个共同特点，得出攻击者是将物联网设备用作代理，将恶意流量路由至受害者网站。通过实验室快速检查显示，SSH 守护程序 (sshd) 是为所有活动 HTTP/HTTPS 连接负责的进程。而该进程由名为“admin”的用户执行。此用户是出厂默认的管理员，随该品牌的 NVR系统一起提供。供应商的文档还显示该用户配置了默认密码“admin”。检查出厂默认设备，发现“admin:admin”凭据对允许我们连接到基于 Web 的配置界面。但是，默认配置不允许“admin”用户通过 SSH 连接到设备 - 如 /etc/passwd 文件中所示(“command/shell”字段设置为 /sbin/nologin)。

通过这次试验发现以下事实：

• 远程用户能够使设备生成 HTTP 流量；

• 远程用户在使用设备的 SSH 守护程序；

• SSH 守护程序由出厂默认的“admin”用户执行；

• “admin”用户没有活动的 shell 会话，这是合理的，因为“admin”用户将“/sbin/nologin”配置为了 shell。

通过推理并推测攻击者可能正在通过使用 -D 选项利用SSH 功能充当 SOCKS 代理，SSH 手册页对此提供了如下描述：

“[-D] 指定本地动态应用程序级端口转发...只要与此端口建立连接，就会通过安全通道转发连接，然后使用应用程序协议确定从远程计算机连接到的位置。目前支持 SOCKS4 和SOCKS5 协议，SSH 将充当SOCKS 服务器。”

为了克服上面提到的 /sbin/nologin 限制，攻击者可能会利用另一个有趣的 SSH 选项-N，SSH 的手册页对此进行了如下描述：

“不要执行远程命令。这对于转发端口非常有用(仅限协议版本 2)。”

-D 和 -N SSH 选项的组合允许远程用户(他们知道设备的“admin”用户的凭据，该凭据具有公开的出厂默认值)将设备转换为 SOCKS 代理并利用它进行恶意活动 - 尽管设备上的配置被认为是“经过强化”。同样，攻击者可以使用 -L 和 -N 选项配置显式代理，以便与不易使用 SOCKS 的攻击工具一起使用。实验室设备的快速验证表明，这种弱点确实很容易被利用。

首先，攻击者必须形成 SSH 隧道。通过此 SSH 隧道路由的任何流量都将显示为源自 NVR 设备的 IP 地址。