安全路透社
当前位置:安全路透社 > 安全客 > 正文

【技术分享】智能家居设备安全分析手记

 

传送门——IOT系列


【技术分享】物联网设备安全分析之网络摄像头篇

前言


随着智能家居的兴起,黑客和安全研究人员也逐渐将目光转向智能家居技术。在本文中,我们将深入研究一款用于控制智能家居系统的设备,称为“eibPort”,该设备的供应商为 BAB TECHNOLOGIE GmbH。这款设备可以利用不同的技术,例如EnoCean或KNX等技术来控制智能家居系统,具体采用哪种技术取决于设备的版本。eibPort提供了一个可视化操作界面来控制整个系统,并且其代码是在web服务器上运行的。通过这个可视化的界面,用户可以打开或关闭窗户,调节不同房间的温度,甚至可以通过简单地点击符号来打开或关闭报警系统。以下截图展示了该界面: 

http://p0.qhimg.com/t0121713bef2ea25c96.png

http://p3.qhimg.com/t012d4c170533d62d96.png

 

因此,eibPort可以说是系统安全的核心部分,因为eibPort附带的各个软件的安全问题都会系统产生举足轻重的影响。通过本文的分析,将会帮助大家发现其中的一些漏洞。

 

分析UpdateTool


与其他嵌入式设备解决方案不同的是,BAB TECHNOLOGIE GmbH是通过单独的更新工具来更新设备的,实际上,这个工具就是一个简单的Java Jar文件。这种方法非常有趣,因为更新过程本身与其他解决方案不同。通常来说,更新是在web应用程序中安装的,并提供一个存储所有更新相关数据的独立文件。但是,这里的更新文件将提交给UpdateTool,然后,由这个更新工具将数据传送到设备。所以,我们不妨仔细考察一下这个UpdateTool,有可能发现非常有趣的东西。

UpdateTool启动后,它会搜索位于同一网络中的eibPort设备。如果找到了eibPort,则将显示关于设备的信息,例如IP地址、序列号、安装的固件版本以及各种端口等。

http://p0.qhimg.com/t01e684ab47997028d0.png

由于这个更新工具并不复杂,所以我们不妨直接来查看一下它的源代码。当我们编译Java代码的时候,这些代码将会被转换为一种中间形式(JVM字节码),该中间形式保留了原始Java代码中的大量信息。这使得反编译Java代码变得非常容易,就本例来说,我们要处理的.class文件位于Jar文件中。

 

更新工具的源代码


在使用Java反编译器打开文件“UpdateTool-20141219.jar”之后,我们可以看到更新工具中包含的软件包的代码结构。

http://p6.qhimg.com/t01377e811d0c7653d2.png

其中,有两个名为“babtec”和“eibport”的包引起了我们的注意。在分析源代码以及不同类和方法之间的关系之后,我们在类“KeyStorageStatic”中找到了一个加密的DSA私钥。

http://p5.qhimg.com/t0158d22aee5195283b.png

 

实际上,这个密钥是方法“startUpdate”和“getRescueVersion”以用户“bt1”连接到eibPort时的凭证。事实上,此DSA私钥是加密的,并且将在另一个类中用于连接设备,这表明还必须有加密密钥来解密它。另一个可能情况是,如果更新工具要连接到eibPort,则必须输入密码以解锁密钥,但事实上并非如此。经过进一步的研究,我们发现一个字符串非常符合DSA私钥的上下文,并且看起来像是一个密码。该字符串位于类“UpdateController”中,如下图所示:

http://p0.qhimg.com/t019e4edb63a91249e5.png


连接EibPort


 根据上面收集的信息,我们可以尝试通过SFTP连接到设备。因为我们已经知道了用户名、加密的DSA私钥以及解锁密钥的密码。

http://p5.qhimg.com/t019001ea4931dc7ea3.png

正如上图所示,已经成功连接上了,并进入位于"/config/chroot/"的chroot环境。 

然而,如果要想获得一个具有更多功能的shell,我们可以上传一个PHP shell,因为从HTTP响应头X-Powered-By中可以发现,该系统运行的PHP版本为“4.3.1”。在将PHP文件上传到bt1用户的主目录之后,我们就可以通过Web浏览器来访问该文件了。

一旦上传了webshell,我们就获得了该设备的root权限。这是因为,这个Web服务器以root权限运行的,因此上传的PHP脚本也具有同样的权限。这样一来,我们就完全控制了该设备,进而控制智能家居系统。我们不仅可以控制灯和电源插座,还可以打开窗户或门,甚至可以关闭报警系统。

接下来,我们将对这个web应用程序本身进行一番考察,同时还要了解一下它所提供的功能。我们发现一个PHP脚本看起来很有趣,因为它可以提取数据。这个脚本通过GET参数“src”和“dst”来接收两个值。这两个参数的处理过程如下所示: 

“exec(“unzip ../..”.$src.” -d ../..”.$dst);”

这两个参数没有对恶意输入进行过滤,而是将输入直接交由方法exec进行处理,然后用于unzip命令。对于不可信的用户输入来说,这种处理方式有可能导致远程代码执行。因为,它可以轻松地逃出实际的unzip命令的上下文,并执行其他操作系统命令,并且也以root权限来执行它们。

http://p3.qhimg.com/t01d547800d934d37e0.png


结论


智能家居设备(如eibPort)是智能家居装置的重要组成部分。虽然人们希望能够从任何地方控制他们的家,但他们却没有意识到这种需求背后所隐含的安全隐患。

通过Google搜索或通过编写一个简短的Python脚本(可针对特定路径进行爬网),我们可以非常轻松地找到这些设备。如果你知道eibPort上的web应用程序的结构,你可以在互联网上找到数百个可用的eibPort,其中一些甚至没有激活任何认证机制,其后果可想而知。

BAB TECHNOLOGIE GmbH已经为受影响的eibPort版本(2.1)提供了更新。eibPort 2.1的用户应尽快更新其设备,并按照BAB TECHNOLOGIE提供的建议进行相应的处理。这个更新可以在这里找到。

 

传送门——IOT系列


【技术分享】物联网设备安全分析之网络摄像头篇


原文链接:https://insinuator.net/2016/12/analyzing-yet-another-smart-home-device/

未经允许不得转载:安全路透社 » 【技术分享】智能家居设备安全分析手记

赞 (0)
分享到:更多 ()

评论 0

评论前必须登录!

登陆 注册