检测表明：嵌入式设备大多存在高位安全缺陷

据报道，对数百个可以公开获得的路由器、DSL调制解调器、网络电话、网络摄像头和其他嵌入设备的固件镜像文件进行的分析发现，其中许多固件都存在高风险的安全缺陷，这表明厂商没有对产品的安全性进行充分测试。

这项研究是由法国Eurecom研究中心和德国波鸿-鲁尔大学的研究人员进行的。他们开发了一个能对固件镜像文件解压缩、在模拟环境中运行固件和启动嵌入式Web服务器的自动平台。

研究人员对来自54家厂商的嵌入式设备的1925款基于Linux的固件镜像文件进行了研究，但只成功地启动了其中246个固件的Web服务器。他们认为，通过对他们的平台进行调整，这一数字还会增加。他们的目标，是利用开放源代码渗透测试工具，对固件中基于Web的管理界面进行动态缺陷分析。结果研究人员在46个分析的固件镜像文件中发现225个高危安全缺陷。

PCWorld表示，在测试中，研究人员把Web界面代码分离出来，并在一个通用服务器上运行这些代码，在不模拟真实固件环境的情况下检测缺陷。这一测试存在不足之处，但成功对515个固件镜像文件进行了测试，并发现其中的307个存在缺陷。

研究人员还利用另外一款开放源代码工具，对从设备固件镜像文件中提取的PHP代码进行了静态分析，在其中的145个固件镜像文件中发现9046个安全缺陷。研究人员通过静态和动态分析，在185个固件镜像文件的基于Web的管理界面中发现重要的安全缺陷，例如命令执行、SQL injection和跨站脚本攻击，涉及54家厂商中约四分之一厂商的设备。

PCWorld称，研究人员致力于开发一种可靠的方法，在不“接触”相应物理设备的情况下，自动对固件镜像文件进行测试，而非对固件中的缺陷进行完全扫描。他们没有人工对代码进行分析，也没有使用各种各样的扫描工具对高级逻辑缺陷进行分析。

这意味着他们发现的都是最容易被发现的问题，都是在任何标准化的安全测试中应当很容易被发现的缺陷。这就引发了一个问题：相关厂商为什么没有发现和修正这些缺陷？

参与这项研究的研究人员安德烈·科斯廷（Andrei Costin）表示，情况似乎是这样的：相关厂商要么没有对代码进行安全测试，要么测试工作相当马虎。

科斯廷当地时间上周四在布加勒斯特举办的DefCamp安全会议上阐述了其团队的研究成果。这是对固件镜像文件进行的第二次大规模测试，去年，参与这项研究的部分研究人员就开发了相关方法，自动检测大量固件镜像文件中的后门和加密问题。

PCWorld指出，在他们的测试中，部分固件不是最新版本，因此他们发现的缺陷并非全部是零日缺陷——之前没有被发现、尚未修正的缺陷。但是，这一研究的影响仍然相当大，因为大多数用户很少对嵌入式设备的固件进行升级。

在DefCamp上，作为IoT Village的一部分，与会者受邀对4款物联网设备进行攻击。与会者在一款智能视频门铃中发现2处危急缺陷，黑客可以利用这2处缺陷完全获得设备的控制权。这款门铃还能控制智能门锁。

一款高端D-Link路由器的固件也存在一处缺陷。这一缺陷已经被发现，并在新版固件中得到修正，但路由器没有提醒用户对固件进行更新。

与会者还在Mikrotik的一款路由器中发现一处危险性不高的缺陷。唯一保持金刚不坏之身的一款设备是Nest Cam。

这些缺陷的相关信息并未公开，因为IoT Village组织者会首先向相关厂商通报被发现的缺陷，以便他们修正这些缺陷。