據(jù)外媒報道，數(shù)以萬計大華設(shè)備的登陸密碼被緩存在ZoomEye的搜索結(jié)果中，這意味著它們處于危險之中。ZoomEye是一個用于發(fā)現(xiàn)連接互聯(lián)網(wǎng)設(shè)備的搜索引擎，也被稱為物聯(lián)網(wǎng)搜索引擎。

Ankit Anubhav是一家專門從事物聯(lián)網(wǎng)安全的網(wǎng)絡(luò)安全公司NewSky Security的首席研究員。他發(fā)現(xiàn)，這些密碼適用于運(yùn)行有老舊固件的大華DVR(數(shù)字視頻錄像機(jī))，該固件易受五年漏洞的影響。

該漏洞名為CVE-2013-6117，它是由Depth Security的安全研究者Jake Reynolds發(fā)現(xiàn)和披露的。

根據(jù)研究人員的博客文章，他解釋了整個過程：攻擊者可以在37777端口上的大華DVR啟動原始TCP連接，以發(fā)送特殊的有效載荷。

一旦大華設(shè)備收到此有效負(fù)載，它將以DDNS憑證響應(yīng)以訪問設(shè)備和其他數(shù)據(jù)，這一切都是以明文形式進(jìn)行響應(yīng)。

自2013年以來，該漏洞就已經(jīng)為人所知，并且被修補(bǔ)。但是，許多大華設(shè)備所有者未能更新其設(shè)備，甚至直到今天仍然在線部署運(yùn)行過時固件的DVR。

但是，這聽起來很糟糕，但事實或許會更嚴(yán)重。本周早些時候，Anubhav發(fā)現(xiàn)物聯(lián)網(wǎng)搜索引擎ZoomEye已經(jīng)以這種方式對大華設(shè)備進(jìn)行索引。

Anubhav告訴Bleeping Computer，“事實上，黑客不需要利用此漏洞，因為當(dāng)ZoomEye掃描端口37777時，它會傳遞這些特殊字節(jié)并以明文緩存輸出，因此黑客只需要去ZoomEye，創(chuàng)建一個免費(fèi)賬戶，并通過結(jié)果就能獲取憑據(jù)?！?/p>

該搜索引擎的所有者稱，“在ZoomEye中阻止數(shù)據(jù)并不能解決問題”，并且他并不打算刪除這些數(shù)據(jù)。

NewSky研究人員表示，他從BrickerBot物聯(lián)網(wǎng)惡意軟件作者發(fā)布的帖子中了解到這一伎倆。該惡意軟件是去年參與其中的一個惡意軟件，它將不安全的設(shè)備打包，試圖讓它們脫機(jī)而不是添加到物聯(lián)網(wǎng)僵尸網(wǎng)絡(luò)。

Bleeping Computer進(jìn)行了快速搜索，發(fā)現(xiàn)了令人擔(dān)憂的易受攻擊設(shè)備。例如，它們發(fā)現(xiàn)近15800個大華設(shè)備，密碼為“admin”，超過14000個，密碼為“123456”，超過600個，密碼為“password”。