压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

　　一項(xiàng)針對(duì)多家廠商N(yùn)AS設(shè)備的安全調(diào)查顯示，NAS設(shè)備比家用路由器更加容易受到惡意的攻擊，而路由器之前常常因?yàn)槠浒踩灾秃痛嗳醯拇a而廣受詬病。

　　來(lái)自獨(dú)立安全評(píng)估機(jī)構(gòu)的安全分析師Jacob Holcomb參與了這項(xiàng)針對(duì)10家廠商生產(chǎn)的NAS設(shè)備的安全測(cè)試，目前為止，他在所有參評(píng)的10種NAS設(shè)備中都找到了可以導(dǎo)致設(shè)備危險(xiǎn)的漏洞。

　　Holcomb在拉斯維加斯舉行的黑帽大會(huì)的演講中說(shuō)：“沒(méi)有一臺(tái)機(jī)器能夠阻止我的入侵。”他在演講中展示了一些她之前的發(fā)現(xiàn)：“至少有50%的設(shè)備可以未經(jīng)授權(quán)就能夠被破解。”

　　參與評(píng)估的設(shè)備有：Asustor的 AS-602T，TRENDnet的 TN-200和TN-200T1，QNAP的 TS-870，希捷的BlackArmor 1BW5A3-570，網(wǎng)件的ReadyNAS104，D-LINK的 DNS-345，Lenovo的IX4-300D，Buffalo的TeraStation 5600，Western Digital的MyCloud EX4 和ZyXEL’s NSA325 v2。

　　目前為止，安全組織MITRE已經(jīng)因?yàn)樯鲜鲅芯咳藛T找到的漏洞派出了22個(gè)CVE(通用漏洞紕漏)認(rèn)證人員，但是該項(xiàng)目剛剛開(kāi)始。他希望在年底之前能夠找到更多。他說(shuō)，這些設(shè)備比路由器的情況更加糟糕。

　　Holcomb在去年主導(dǎo)了一個(gè)類(lèi)似的針對(duì)通用SOHO路由器的調(diào)查，當(dāng)時(shí)認(rèn)證了超過(guò)50多個(gè)漏洞。他希望能夠在這個(gè)新的針對(duì)NAS的調(diào)查項(xiàng)目完結(jié)之前，能夠找到NAS系統(tǒng)中更多的漏洞，而他認(rèn)為這個(gè)數(shù)字會(huì)遠(yuǎn)遠(yuǎn)超過(guò)路由器中的數(shù)量。

　　在NAS系統(tǒng)中，他發(fā)現(xiàn)的問(wèn)題包括：命令諸如、跨站點(diǎn)請(qǐng)求偽造、緩沖區(qū)溢出、認(rèn)證旁路或失敗、信息紕漏、后門(mén)賬戶(hù)、不健全的會(huì)話(huà)管理和目錄遍歷等。通過(guò)總結(jié)上述的漏洞，攻擊者可以獲得該設(shè)備的“root”腳本，可以允許他們使用最高權(quán)限來(lái)執(zhí)行命令。

　　Holcomb在他的黑帽大會(huì)的演講中證實(shí)了對(duì)D-Link、網(wǎng)件、Buffalo和TRENDnet NAS設(shè)備的攻擊。他還透漏了希捷設(shè)備上的一個(gè)后門(mén)賬戶(hù)以及Asustor產(chǎn)品上的一個(gè)確定的cookie發(fā)生器。

　　目前為止，所有發(fā)現(xiàn)的漏洞都已經(jīng)報(bào)告給了各個(gè)廠商，但是他們的補(bǔ)丁發(fā)布可能要話(huà)費(fèi)數(shù)月的時(shí)間。Holcomb說(shuō)，黑帽大會(huì)上提出的這些問(wèn)題還沒(méi)有固定(+微信關(guān)注網(wǎng)絡(luò)世界)，所以他們可以被認(rèn)為是零-day漏洞。

　　破解NAS設(shè)備和破解路由器設(shè)備之后可以做什么呢？?jī)烧咧g是有很大去別的。通過(guò)控制一臺(tái)路由器，入侵者可以捕捉并控制一個(gè)網(wǎng)絡(luò)的流量，而黑客入侵NAS設(shè)備可以獲得針對(duì)那些敏感數(shù)據(jù)的訪(fǎng)問(wèn)入口。

　　路由器相比于NAS來(lái)說(shuō)，更易于從互聯(lián)網(wǎng)進(jìn)行訪(fǎng)問(wèn)，但是這并不意味著NAS設(shè)備并不在黑客的攻擊之列。

　　一份來(lái)自Dell SecureWorks的報(bào)告顯示，一個(gè)黑客通過(guò)攻擊一臺(tái)Synology的NAS設(shè)備，并用它們來(lái)挖掘Dogecoin(這是一種數(shù)字貨幣)，最后獲利60萬(wàn)美元。更近的一段時(shí)間，一些Synology NAS用戶(hù)報(bào)告稱(chēng)他們的系統(tǒng)曾經(jīng)被一個(gè)叫做SynoLocker的文件加密惡意軟件入侵。

　　Holcomb介紹，通過(guò)入侵一個(gè)NAS設(shè)備，黑客可以使用像ARP之類(lèi)的欺騙技術(shù)來(lái)劫持處于同一個(gè)網(wǎng)絡(luò)中的其他設(shè)備。

　　研究者說(shuō)，一個(gè)很大的問(wèn)題就是NAS廠商針對(duì)他們的高端和低端設(shè)備使用的都是同樣的代碼。這意味著在低端的家用NAS設(shè)備里可能存在的漏洞同樣也有可能存在于那些昂貴的用于企業(yè)級(jí)環(huán)境的高端NAS系統(tǒng)。

　　Holcomb說(shuō)：“花費(fèi)更多買(mǎi)一臺(tái)更高級(jí)的設(shè)備并不意味著得到了更高的安全性。”

　　獨(dú)立安全評(píng)估機(jī)構(gòu)已經(jīng)與前沿電子基金會(huì)進(jìn)行合作來(lái)組織一個(gè)SOHO路由器的黑客大賽。目的是為了提高大家對(duì)這類(lèi)設(shè)備不安全狀態(tài)的人士。Holcomb的新研究認(rèn)為其他的嵌入式設(shè)備可能會(huì)更糟糕。