الصيف الصيف بهدوء ترك الماضي السر الصغير ......
رؤية الصيف القادمة، وضعنا في ملابس خفيفة داخلية وخارجية، وخاصة في المنزل. T أنا لا أعرف، كان الظلام، بدس فكرة اللعب الكاميرا.
ومن التقارير BleepingComputer، هاكر اسمه ايزيكيل فرنانديز من الأرجنتين يوم 1 مايو الافراج عن نوع جديد قوي من أدوات القرصنة، يمكنك بسهولة استخراج المختلفة ذات الصلة لTBK وOEM الشركات المصنعة للمسجل الفيديو الرقمي (DVR) من أوراق عادي، ومنح وصول مهاجمين ومجانا لعرض تسجيل الفيديو.
وتسمى هذه الأداة getDVR_Credentials CVE-2018-9995 إثبات المفهوم (إثبات صحة مفهوم، اضغط لتتحدث)، وهو ثغرة أمنية اكتشفت فرنانديز مطلع الشهر الماضي. باستخدام "كوكي: رمز المستخدم = المسؤول" رؤوس كوكي للوصول إلى لوحة تحكم DVR معينة، أوراق اعتماد نص واضح DVR ردا على الجهاز المسؤول. في جميع مراحل عملية التنمية هي صغيرة بما فيه الكفاية، حتى من قبل بو الصغير سوف تكون قادرة على نشر.
$ > حليقة "HTTP: // {DVR_HOST_IP}: {PORT} /device.rsp؟opt=user&cmd=list" -H "كوكي: رمز المستخدم = المشرف"
بحث DVR الدخول سيكون تصويت كبير على الصفحة ذات الصلة من جوجل،
وفقا لنتائج مسح /login.rsp البحث وجدت أن عدد الأجهزة الضعيفة 5.6 مليون وحدة الحزام الأسود باستخدام.
استخدام /device.rsp للبحث، ويمكن أيضا أن تكون موجودة في أكثر من 10،000 وحدة إضافية من المعدات.
عندما تم العثور على هذا الضعف في البداية أن تؤثر على الأجهزة فقط DVR التي TBK، ولكن في تحديث يوم الاثنين، فرنانديز عرضة للتوسيع قائمة ماركات معدات البائعين، بما في ذلك: نوفو، CeNova، QSee، Pulnix، XVR 51، Securus وبومة الليل.
صدر فرنانديز أيضا لقطة من بعض المعدات التي تم الحصول عليها باستخدام CVE-2018-9995 وأدواته. عرض هذه الصور، فرنانديز الوصول الكامل إلى لوحة التحكم من الجهاز، ولكن أيضا يمكن مشاهدة في الوقت الحقيقي تسجيل الفيديو.
ولكن بعد الحشد لم يكن لديك ما يدعو للقلق أكثر من اللازم، لى فنغ شبكة تعلمت في الاسابيع القليلة الماضية منذ CVE-2018-9995 مفتوح، لم يكن هناك أي نشاط المسح على نطاق واسع لهذا الضعف، حتى نشر هذه الأداة فرنانديز، ولا هذا هو الحال.
وبطبيعة الحال، وهذا قد يكون مؤقتا. بعد كل شيء، بالنسبة لأولئك الذين يستغلون البلمرة خطفت الكاميرات الأمنية الخاصة أو DVR لمواقع الفيديو على شبكة الإنترنت القياسية (مثل بعض المواقع على نطاق واسع)، هذه الأداة Fernadez الإصدار هو مجرد قطعة أثرية.
المصدر المرجعي: ريدموند تقنية
