数万台大华设备现漏洞 密码暴露于ZoomEye物联网搜索引擎

据外媒报道，数以万计大华设备的登陆密码被缓存在ZoomEye的搜索结果中，这意味着它们处于危险之中。ZoomEye是一个用于发现连接互联网设备的搜索引擎，也被称为物联网搜索引擎。

Ankit Anubhav是一家专门从事物联网安全的网络安全公司NewSky Security的首席研究员。他发现，这些密码适用于运行有老旧固件的大华DVR(数字视频录像机)，该固件易受五年漏洞的影响。

该漏洞名为CVE-2013-6117，它是由Depth Security的安全研究者Jake Reynolds发现和披露的。

根据研究人员的博客文章，他解释了整个过程：攻击者可以在37777端口上的大华DVR启动原始TCP连接，以发送特殊的有效载荷。

一旦大华设备收到此有效负载，它将以DDNS凭证响应以访问设备和其他数据，这一切都是以明文形式进行响应。

自2013年以来，该漏洞就已经为人所知，并且被修补。但是，许多大华设备所有者未能更新其设备，甚至直到今天仍然在线部署运行过时固件的DVR。

但是，这听起来很糟糕，但事实或许会更严重。本周早些时候，Anubhav发现物联网搜索引擎ZoomEye已经以这种方式对大华设备进行索引。

Anubhav告诉Bleeping Computer，“事实上，黑客不需要利用此漏洞，因为当ZoomEye扫描端口37777时，它会传递这些特殊字节并以明文缓存输出，因此黑客只需要去ZoomEye，创建一个免费账户，并通过结果就能获取凭据。”

该搜索引擎的所有者称，“在ZoomEye中阻止数据并不能解决问题”，并且他并不打算删除这些数据。

NewSky研究人员表示，他从BrickerBot物联网恶意软件作者发布的帖子中了解到这一伎俩。该恶意软件是去年参与其中的一个恶意软件，它将不安全的设备打包，试图让它们脱机而不是添加到物联网僵尸网络。

Bleeping Computer进行了快速搜索，发现了令人担忧的易受攻击设备。例如，它们发现近15800个大华设备，密码为“admin”，超过14000个，密码为“123456”，超过600个，密码为“password”。