路由器不安全NAS更糟糕 十大名廠無一幸免
責編：admin ｜2014-08-12 19:23:16愛活昨天曾分享過黑帽大會與會專家的觀點，路由器漏洞多易受攻擊是因為太便宜更新不起，那那些動不動就冒個更新出來的NAS安全情況如何呢？同樣也是參與黑帽大會的Security Evaluator安全分析師Jacob Holcomb說，弱爆了。他們隨手從市場上挑了10款NAS進行測試，結果沒一個能抵御入侵并最終把管理員權限雙手奉上。
Holcomb評估的十款NAS分別是：華蕓AS-602T、TRENDnet TN-200/TN200T1、威聯通TS-870、希捷BlackArmor 1BW5A3-570、網件ReadyNAS104、D-LINK DNS-345、聯想IX4-300D、布法羅TeraStation 5600、西數My Cloud EX4和ZyXEL NSA325 v2.。他對現有的NAS安全狀況進行了尖銳的批評：“基本上沒有一部設備是我沒有辦法入侵并控制的，而且至少有一半NAS連安全驗證都不用繞過就可以成功完成攻擊，這些玩意的安全狀況比路由器要糟糕多了。”
Holcomb在這些NAS里找到的安全漏洞種類也是五花八門，命令注入、跨站請求造假、緩存溢出、安全驗證缺失或失敗、信息泄露、后門賬號、會話管理能力低下以及目錄遍歷。比如說希捷的NAS設備就存在后門賬號問題，而華蕓的產品則在cookie生成算法上有著漏洞可被預判。
NAS不像路由器一樣作為一個家庭網絡的出入口和控制中樞，在網絡中的地位沒有路由器那么重要，但并不代表它不會成為受攻擊的目標——這兩天爆發的SynoLocker就是一個絕佳的案例。但這種做法其實還算是雕蟲小技，因為大多數數據本身可能不會有太大的價值，更可怕的是NAS也可以成為攻擊者所控制的肉雞，用作對網絡內其它設備進行監聽和劫持的跳板。
既然大家都這么不安全，那我就一個手無寸鐵的家用用戶，還有沒有安全的出路？悄悄告訴你一聲，自己動手，豐衣足食……NAS其實也就是一部用途特定化的PC，是可以DIY的。