二十四:RTSP未授权访问漏洞

RTSP（Real Time Streaming Protocol），实时流传输协议，是TCP/IP协议体系中的一个应用层协议，该协议定义了一对多应用程序如何有效地通过IP网络传送多媒体数据，被广泛用于视频直播领域,为方便用户远程监控摄像头内容，许多摄像头厂商会在摄像头或NVR中开启RTSP服务器。攻击者可通过VLC等视频播放软件打开rtsp地址进行摄像头画面的实时查看。

VLC media player，单击“媒体”选项，选择“打开网络串流”。
在弹出的窗口中输入网络URL：
rtsp://admin:888888@192.168.1.1:554/cam/realmonitor?channel=2&subtype=1
username: 用户名。例如admin。
	password: 密码。例如admin。
	ip: 为设备IP。例如 192.168.1.1。
	port: 端口号默认为554，若为默认可不填写。
	channel: 通道号，起始为1。例如通道2，则为channel=2。
	subtype: 码流类型，主码流为0（即subtype=0），辅码流为1（即subtype=1）。

》》》漏洞复现《《《

步骤一：使用以下语句在Fofa上进行资产收集....

(port="554") && (is_honeypot=false && is_fraud=false) && protocol="rtsp"

》》》漏洞防护《《《

1. 修改默认口令。
2. 禁止开放到外网。