前言

近二十年來，DNS重綁定(DNS rebinding)攻擊一直是討論的話題。盡管瀏覽器廠商做出了努力，但仍然無法找到一個能穩定抵御這些攻擊的防御系統。據說這類問題八年前就已經被修復了。但是這類攻擊通過新的攻擊向量再次出現。

總的來說，可以肯定未來的黑客活動將通過多個現有攻擊組合形成新的攻擊向量。這些新攻擊向量的一個很好的例子就是攻擊加密貨幣錢包的DNS重綁定攻擊。

在本文中，我們討論了Princeton(普林斯頓大學)和UC Berkeley(加州大學伯克利分校)關于基于web的方式攻擊物聯網設備的研究，這些攻擊會導致設備被黑客發現、攻擊和接管。研究于2018年8月發表。

[[255135]]

設備與黑客發現和攻擊物聯網設備的方法

研究人員的目標是測試15個物聯網設備。這些設備中只有七臺有本地HTTP服務器，所以研究的重點放在它們上，它們包括：Google Chromecast、Google Home、一臺智能電視、一個智能開關和三個攝像頭。

使用的攻擊方法是：

• 欺騙受害人，誘導他們訪問攻擊者控制的網站。
• 在受害者的本地網絡上發現物聯網設備。
• 通過基于web的攻擊控制設備。

攻擊的持續時間

從技術上講，這不是新的攻擊向量。研究報告引用了之前的研究，發現攻擊者使用這些攻擊向量平均需要一分鐘才能獲得結果。奇怪的是，一項著名的研究結果

(What You Think You Know About the Web is Wrong)顯示，55%的用戶花在網站上的時間不超過15秒。看來大多數用戶不會受到物聯網漏洞的影響。

但是在普林斯頓大學和加州大學伯克利分校的研究中，研究人員明顯縮短了攻擊的持續時間。研究人員表示使用他們發現的方法，可以比之前的研究更快地發現和訪問本地網絡中的設備。但是Chrome除外，因為它緩存DNS請求，如果TTL低于某個閾值，則忽略TTL。需要注意的是，隔離區(DMZ，防火墻內的內部網絡)中的設備通常被認為是安全的，因為用戶假設外部是無法訪問這些設備的。但是，通過這里描述的攻擊，攻擊者可以訪問受害者內部網絡中的瀏覽器。

發現HTTP端點

研究人員通過將這些設備連接到Raspberry Pi的無線接入點來分析這些設備。觀察并分析了從設備發送和接收的數據包，以及與每個設備綁定的移動應用發送和接收的數據包。通過分析發現了35個GET請求端點和8個POST請求端點。這些端點用于識別發現階段中的IP地址。

研究的階段

研究人員通過兩個不同的階段進行研究，即發現階段和接入階段：

• 發現階段的目標是在本地網絡上找到瀏覽器上包含HTML5元素的物聯網設備。
• 接入階段的目標是使用DNS重綁定和已發現的IP地址訪問HTTP端點。

1. 發現階段：識別物聯網設備

• 使用WebRTC獲取本地IP地址。
• 通過81端口向IP范圍內的所有IP地址發送請求。由于81端口通常不被占用，活動設備將立即響應一個TCP RST數據包。而對于IP范圍內的非活動設備，請求數據包將超時。
• 每個活動IP地址都接收到最初階段使用HTML5為35個GET端點收集的請求。根據返回的錯誤消息信息，攻擊腳本將識別IP地址是否與七個設備中的任意一個匹配。

研究計劃使用三種不同的操作系統(Windows 10、MacOS和Ubuntu)和四種不同的瀏覽器(Chrome、Firefox、Safari、MicrosoftEdge)。然而只有Chrome和Firefox這兩個瀏覽器適合這項研究。因此不使用Safari和Edge瀏覽器，因為根據(基于Web的方式對本地物聯網設備的發現和控制的攻擊)：

2. 接入階段：控制物聯網設備

• 受害者訪問攻擊者控制的域名(domain.tld)，瀏覽器執行在攻擊者站點上找到的惡意JavaScript代碼。域名仍然解析為攻擊者的服務器IP。
• 惡意腳本請求domain.tld上的另一個資源，該資源僅存在于攻擊者服務器上。
• 如果受害者的本地DNS緩存仍然解析為攻擊者的遠程IP，則對/hello.php的請求將返回字符串“hello”，并重復步驟2。
• 但是如果受害者緩存中的domain.tld過期，則將向攻擊者發送新的DNS查詢。
• 最后將返回從發現階段中獲得的本地IP，而不是攻擊者的遠程IP，/hello.php不會使用字符串“hello”進行響應，而是使用不同的內容，如404錯誤，它告訴惡意腳本DNS重綁定攻擊已經成功。

通過這次攻擊，惡意腳本繞過了瀏覽器同源策略(Same-Origin Policy)，并獲得了對運行在設備上的Web應用的訪問權限。現在攻擊者已經可以在Google Chromecast、Google Home、智能電視和智能開關設備上執行重新啟動或啟動視頻/音頻文件。

如何防止針對物聯網設備的DNS重綁定攻擊

研究人員稱，用戶、瀏覽器廠商、物聯網廠商和DNS提供商需要采取預防措施，以避免DNS重綁定攻擊。以下是研究給出的一些措施：

• 用戶可以在瀏覽器上禁用WebRTC，并防止泄露私有IP。攻擊者將能夠通過向私有IP范圍內的所有*.1地址(路由器地址)發送請求來發現用戶的私有IP。
• 攻擊者假設所有物聯網設備的IP范圍與受害者的PC具有相同的IP范圍。用戶可以通過配置路由器的DHCP服務器，在另一個子網(如 /16)上分配IP地址。
• 用戶可以安裝dnsmasq，通過從DNS響應中刪除RFC 1918地址來防止DNS重綁定攻擊。用戶還可以使用dnsmasq的OpenWRT路由器。
• 物聯網廠商可以在發送到Web接口的請求中控制Host標頭。如果沒有符合RFC 1918的私有IP，則可以阻止訪問。
• DNS提供商可以使用像dnswall這樣的機制從DNS響應中篩選私有IP。
• 瀏覽器廠商可以開發限制公網訪問私有IP范圍的擴展程序。

更多資料

有關本文中討論的普林斯頓大學和加州大學伯克利分校的研究的更多信息，請參見基于Web的發現和控制本地物聯網設備的攻擊。

要了解關于本地網絡中應用和設備上基于Web的攻擊向量的更多信息，請參見開發者計算機上易受攻擊的Web應用允許黑客繞過公司防火墻。

原文地址：https://www.netsparker.com/blog/web-security/discovering-hacking-iot-devices-using-web-based-attacks/