Уязвимости в безопасности IP устройств различных брендов. Dahua и его клоны. Часть 1

татья публикуется в авторской редакции

Безопасность – понятие широкое, и пренебрегать каким-либо одним из многих составляющих её компонентов нельзя, так как воздействие непосредственно через уязвимую компоненту влечёт неизменно за собой крах всей обороняемой системы в целом. Предыдущая статья была лишь пробой и неким введением в общую тему, связанную с безопасностью IP устройств видеонаблюдения различных брендов в целом, но с указанием вполне конкретных уязвимостей.

Возможно, те, кому все это опять покажется надуманным и не имеющим никакого отношения ни к безопасности, ни к уязвимостям, все спишут на уже звучавшие мнения "проблемы роста" или "детские проблемы", однако я всегда стараюсь рассмотривать вопрос в целом и со всех его сторон касаемо программных составляющих частей. Своего мнения я не навязываю, а только лишь предлагаю посмотреть на всё это под другим углом.

Чтобы лучше понять глубину рассматриваемых вопросов, постараюсь, пусть даже вкратце, но всё же описать этапы процесса изучения. По ходу описания будут возникать некие оценочные критерии, описывающие сложность исследования каждого из этапов.

Это даст понять, насколько просто, сложно или невозможно удастся повторить данный процесс впоследствии - при изучении и внедрении стороннего кода и его дальнейшего исполнения уже на самом устройстве. Конечно, после подсказки всегда бывает проще, однако детальных подробностей я не стану раскрывать, чтобы не делать это совсем уж простым и доступным. Предполагаю, что для такой оценки достаточно будет 5-бальной системы, где 1 - очень плохо, а 5 - отлично. Это мои личные критерии и оценки, с которыми можно не соглашаться как по трактовке, так и по их оценке. Далее я буду их выделять как:

Первое знакомство и постановка задачи

Невозможно исследовать "чёрный ящик" только снаружи, ибо тогда остается лишь смутно догадываться, что же там внутри и лишь теоретически рассуждать о возможных вариантах.

Опишу события процесса изучения некоторых технологий оборудования бренда Dahua, как это происходило на самом деле в 2011 году.

Так сложилось, что мне в руки попал 4-х канальный DVR с шильдиком RVi-04LA, реальным производителем которого оказался Dahua. Архитектура DVR была построена на базе процессора Hi3515, и она порадовала меня как аппаратными решениями, так и программными. Одним из заинтересовавших меня компонентов был функционал прошивки, который позволял из варианта на старте: 1 канал D1-25 к/с; 2, 3 и 4 каналы D1 – 6 к/с, раскачать его до 4 x D1 x 25 к/c! Аналогичные варианты FULL D1 в то время были гораздо дороже по сравнению с менее производительными регистраторами. Попавшая в руки прошивка устанавливалась и на модель другого бренда Spymax, внешне отличавшейся от модели RVi не только шильдиком, что немало меня удивило и порадовало.

Некоторые шероховатости имеющегося перевода, отображаемого в меню регистратора и его веб-интерфейсе, а где-то и его отсутствие, расстраивали, поэтому решил сам, не дожидаясь кого-либо, выяснить этот вопрос вместе с другими возникшими вопросами. Это и стало отправной точной изучения прошивок бренда Dahua в целом и впоследствии всех его клонов, в частности, таких как RVi, Spymax, SNR, PROvision, CRYSTAL, FalconEye, CP-PLUS, DH-Vision и многих других. Уже позже мне даже попадалась прошивка Dahua, сделанная для NVR устройств бренда BOSCH, которая была взята с официального сайта последнего. Извлечённые графические ресурсы из прошивки 100% производства Dahua были c фирменными цветами BOSCH и другими отличительными признаками.

Потайная дверь

В устройстве DVR я обнаружил всегда открытый telnet доступ. Служба техподдержки RVi явно не желала, по своим соображениям безопасности и от греха подальше, раскрывать этот секрет. Пришлось раскрыть его самому, так как содержимое "чёрного ящика" привлекало и рисовало ряд перспектив расширения функционала использования и сопряжения с другим дополнительным сторонним оборудованием. Можно было выпаять микросхему флеш-памяти и получить образ прошивки, начав изучение быстрее, но для этого нужны были прибамбасы, которых под рукой не было, да к тому же не хотелось раскурочить новый и не дешевый аппарат, поэтому было принято решение, разобравшись с прошивкой, решить все вопросы разом. Мои ожидания в итоге оправдались!

Хоть для меня эта тема была новой однако, разобрать прошивку на её отдельные крупные составляющие удалось очень быстро, причём, корректно с первого раза, а также произвести обратную сборку тех же готовых частей. На это ушло тогда не более часа со всеми предварительными и последующими тестами, с обновлением вновь собранной прошивки, так как внутри ничего не менял, и самой оригинальной прошивкой уже прошивал регистратор.

Также сразу удалось определить, чем являются составные части. Это оказалось не сложно, даже для меня, совсем не линуксоида тогда, да и сейчас. Открыв все части, в одной из них я увидел хэш MD5(UNIX) пароля пользователя root, который я и извлёк для его дальнейшего перебора брутфорсом.

Привожу результаты перебора хэша брутфорсом John c некоторыми промежуточными результатами, полученными в 2011 году:

guesses: 0 time: 0:00:02:44 c/s: 6874 trying: meadla
guesses: 0 time: 0:00:10:09 c/s: 6921 trying: phmz
guesses: 0 time: 0:00:38:14 c/s: 6940 trying: poretol
guesses: 0 time: 0:01:00:49 c/s: 6930 trying: fidaka
…………………..
vizxv (root)
guesses: 1 time: 0:08:06:00 c/s: 7103 trying: vizxv

Как видно, хэш удалось перебрать за 8 дней на обычном ПК c ОС Windows без всяких ухищрений и наворотов. Конечно, я обрадовался, что получил на тот момент эксклюзивный доступ внутрь "чёрного ящика" и могу теперь исследовать более подробно интересующие меня вопросы. Все 8 дней я не сидел у ПК, но изредка поглядывал на результаты. Хватило бы у меня терпения и времени, если бы выбрал другой алгоритм перебора – не знаю, но узнать пароль хотелось, хотя сгенерировать свой, более сложный пароль, затем упаковать его в прошивку и применить превентивные меры её защиты, обновив штатно ей регистратор, наверное, можно было и тогда, однако я не торопил события. Позже был один случай, когда изучалась прошивка от Microdigital. Пришлось потрудиться подольше, чтобы извлечь хэш из неё, который перебирался той же программой и с теми же параметрами перебора за 125 дней. До конца я так и не дошёл, так как потребовались ресурсы ПК для чего-то другого, да и не так было актуально, но промежуточные результаты остались, и всегда можно продолжить с того же самого места.

Без "хирургического вмешательства" был получен доступ вовнутрь системы и изучено окружение линукс: я увидел, какие порты DVR слушает, какие процессы на нём выполняются, в ообщем, всю подноготную.

Причём, мало кто на тот момент вообще знал, что такое существует, а если и знал, кроме техподдержки, конечно, то не знал ни доступа вовнутрь, ни как вообще можно разобрать прошивку. По поводу последнего, меня удивили представители RVi, с которыми удалось лично пообщаться в середине 2013 года. Они хоть и знали пароль для telnet доступа, однако были не в курсе, как разбираются и как собираются их прошивки. Они очень заинтересовались, так как им самим этого очень хотелось, а также они пытались понять, как это делает кто-то, кто вообще не имеет никакого отношения к продвигаемой ими технике. Дальнейшее сотрудничество с ними по подобным вопросам не сложилось, так как они хотели всего и сразу, и за так.

Однако, даже те, в разговоре ими озвученные их насущные проблемы по брендам, которые они реализуют со своим шильдиком: Dahua (неудобство c DHCP в NVR без PоE), Hikvision (новая серия RVi-MA DVR распаковка прошивки) и SUNELL (IPC распаковка и упаковка прошивки), были решены мной за пару дней - для себя, что продвинуло меня далеко вперёд и стало базой для дальнейших изысканий, за что я им премного благодарен. ;)

Как мне показалась, та лёгкость, с которой уже тогда удалось мне узнать, как эта потайная дверь открывается, меня натолкнула на размышления о том, что эта дверь очень даже небезопасна, так как повлиять на неё владелец этого оборудования никак не может: просто не знает об этом. Даже в то время я встречал много случаев, когда к таким регистраторам был предоставлен полный доступ в сеть интернет, однако только отсутствие информации об этой лазейке многих и спасала, потому как получив доступ во внутрь, можно как случайно, так и специально вывести IP устройство из строя. Как выяснилось этот пароль был у всех IP устройств Dahua долгое время, почти до конца 2013 года во многих прошивках.

Впоследствии разработчик внёс ряд изменений, но, на мой взгляд, они не сильно изменили ситуацию. Эта небольшая подвижка говорить о том, что всё не так уж косно и способно меняться в лучшую сторону. Но, всё так же легко можно выяснить, как изменён доступ в telnet. Добавленный префикс при авторизации несколько, конечно, усложняет, но это только в самом начале изучения. Есть способы доступа, позволяющие обойти созданные новые ограничения. Из плюсов надо отметить количество попыток для ввода пароля, которое всегда было ограничено на самом регистраторе и в веб-интерфейсе. В последних прошивках ограничение произошло и с telnet доступом, который ограничен также тремя попытками, и в случае неудачи возникает получасовое ожидание, что не может не радовать в сравнении с другими производителями подобной техники, например, такими, как Hikvision.

Сейчас, когда я изменяю или модернизирую какие-то сборки прошивок для новых моделей оборудования этого бренда или его клонов, конечно, стараюсь закрывать обнаруженные мной уязвимости и намного усложняю для любопытных осуществить доступ, используя описанное выше.

Конечно, на месте ничего не стоит, и если раньше я был просто ограничен теми средствами для разработки решений, а точнее, их практически не было, то сейчас использую разный инструментарий и разрабатываются варианты, которые будут защищать базовые компоненты от любопытных взглядов как в самом пользовательском файле прошивки, так и в образе флеш-памяти на самом устройстве. Сделать это самому производителю куда проще, однако в этом направлении практически ничего не меняется, хотя это не слишком усложнит процесс разработки прошивки или как-то сделает его дороже, однако убережёт от многих проблем.

Кардинальных изменений в структуре защиты новых прошивок DVR, NVR я не обнаружил. Постоянная чехарда с форматами данных от версии к версии прошивок - не более того.
Что же касается прошивок IP камер, то дело обстоит примерно таким же образом, хотя немного усложнено, но не сильно.

Внутри прошивок также используются различные общеизвестные не модифицированные форматы данных, которые вполне возможно открыть и пересобрать в этом виде, даже имея небольшие навыки работы с линукс.

Крах обновления

Немалый интерес к прошивкам данного бренда возник у многих из-за того, что стоимость покупки оборудования для внутреннего рынка Чиная, даже с учётом доставки в Россию, гораздо ниже розничной стоимости продажи оборудования, которое пытаются реализовать разные организации на территории РФ, предлагающие данную продукцию под разными брендами.

Голосуя кошельком, покупатель мало задумывается о возможных последствиях, хотя для ряда простых задач, где регистратор никогда и не понюхает ни интернет-доступа, ни тем более подключение к ЛВС, это, возможно, и оправдано!

Сейчас, много тех, кто ищет прошивки для устранения языкового барьера своим недорогим покупкам, и хотя бы один раз они могут попасться на удочку. Решая данный вопрос, они с удивлением обнаружат (получив недорогой вариант из Чиная или заранее прекрасно зная, на чём экономят), что и в меню регистратора, и на веб-интерфейсе в названиях чинайский хворост ;) Кого-то это не беЗпокоит, потому как используют русифицированное ПО, и это их устраивает, однако таких не так и много. Я об этом сужу по большому количеству обращений с просьбами помочь решить этот вопрос, и каждый рассказывает свою душещипательную историю.

Конечно, я самостоятельно для себя решил вопросы с русификацией и во многом с нуля, а также правил ресурсы так, как надо, во многих моделях DVR и всех свежих моделях NVR, а также IPC не обошёл стороной.

Ни официальный поставщик Dahua, ни его представители или представители клонов, или реселлеры не стремятся снабдить покупателей свежими прошивками, делают из этого какой-то секрет или тайну и тем более, когда речь идёт о языковых ресурсах, отличных от стандартных. Конечно, это попытка защитить интересы своих агентов-представителей в разных странах, для успешного продвижения товара и зарабатывания больших денег, однако покупатель во много неразборчив, ведётся на дешевизну и от безысходности рад взять любую прошивку и попробовать обновить ей свою технику для устранения различного рода проблем.

Такое желание возникает не только у таких покупателей, но и у многих других, пытающихся устранить проблемы функционала устройств с заводскими прошивками, даже официально приобретёнными! На проблемах функционала я не стану останавливаться, так как ответственность за это целиком и полностью лежит на совести производителя.

Не столько проявляется какой-то "вредоносный код" (хотя никто ведь не уверен и не знает, что внутри), сколько просто по непониманию, да и из-за недопонимания общей ситуации, а также без достойной поддержки покупателя со стороны производителя (продавца) - техника после обновления может просто не запуститься.

С одной стороны, вроде, виноваты и сами, взявшие на себя ответственность обновления, и, как правило, таким уготован путь в сервис, и не важно дешевая техника или нет, а обратиться, по сути, бывает не к кому. Да и заплатить в случае с чисто чинайской техникой за ремонт сумму, в некоторых случаях сравнимую со стоимостью регистратора, да и добавить сюда транспортные расходы в обе стороны... – для покупателя проще заказать просто новый. Немало случаев, когда после обращения в официальный сервис и сдачи туда устройства по гарантии, решение этого, на мой взгляд, простого вопроса, затягивалось надолго, а порой, промурыжив клиента, ничего не оставалось как выдать обратившемуся новый экземпляр техники.

Однако я уже не раз встречал в сети интернет некоторые прошивки, которые хоть и предназначены для старых моделей регистраторов или камер, но названы в общем, и ими просто можно "убить" свой регистратор или камеру: хотя они даже близко не совпадали по моделям с новой техникой.

Ко мне было большое количество обращений с просьбами помочь восстановить такую технику в результате различных ситуаций, как штатных, так и нештатных. Обновление регистратора не той прошивкой или пропадание питания на устройстве в процессе его обновления, а иногда бывало и такое, что обычно успешное обновление подходящей прошивкой выводит регистратор из строя после последующей штатной перезагрузки. В большинстве случаев сам пользователь самостоятельно не может устранить данную проблему. Такие случаи описаны на разных форумах.

Чтобы понять, какие неудобства это причиняет, нужно просто оказаться в данной ситуации самому. Однако позже, когда я познакомился поближе с оборудованием Hikvision, я был приятно удивлён, что у них этот вопрос решён играючи: пользователь, имея простые навыки, полученные после прочтения штатной инструкции, порой не обладая дополнительным инструментом или приспособлениями, в большинстве случаев получал возможность на месте решить большинство вопросов, связанных с восстановлением регистратора после "неудачной" прошивки.

Прошло немало времени, однако в этом вопросе изменений так и не произошло. Приятный момент всё же я увидел в новых IP камерах некоторых моделей: появилась дополнительная кнопка, нажатие на которую в момент старта запускало механизм полного восстановления прошивки встроенными средствами без доступа куда-либо. Пусть она хоть и внутри корпуса, но она есть! Восстанавливать технику после таких сбоев могут в паре сервис-центров на всю страну или разные умельцы (я тоже не исключение), разобравшиеся в сути данного вопроса.

Не всё можно сделать удалённо, однако во многом такие проблемы именно так и решались. Иногда приходилось делиться с простыми пользователями навыками и показывать способы восстановления. Кто-то это брал на вооружение, а кто-то так и не мог понять, что происходит, но был рад и доволен результату. Примеров таких достаточно, благодарностей за восстановление и помощь от пользователей море, реакция официалов иногда неоднозначная, ну, это и не главное.

Та лёгкость, с которой можно снять некоторые ограничения, препятствующие обновлению и находящиеся в самом внешнем файле прошивки, даёт неограниченные возможности вероятным злоумышленниками, пользующимся тем, что официально производитель Dahua не выкладывает в открытый доступ обновления для своей продукции, а распространяет её через сеть своих представителей, да и то с некоторыми проблемами свежих обновлений.

Возможно, рецепт и ответ просты, покупайте у авторизованных представителей, и будет вам счастье. Однако зачастую продавцы такой техники занимается исключительно торговой деятельностью, и поддержка покупателя в их планы не входит. Да и обратившись к другому представителю с другим шильдиком на этой же технике пользователь не получает ни ответа, ни прошивки для решения своих как текущих вопросов эксплуатации в общем, так и конкретно по решению "языковой проблемы". Это понятно, и является лишь следствием политики производителя.

Проанализировав прошивки различных представителей и перепродавцов данного бренда, я пришёл к выводу, что практически никто не утруждает себя подобными вопросами, и внешние и внутренне файлы прошивок, разработанные именно для них, мало чем отличаются друг от друга.

Также существует возможности получения доступа к внутренним файлам системы, которые позволяют увидеть реальный список пользователей и их зашифрованные пароли. Описываемый в предыдущей статье  алгоритм шифрации пароля пользователя Hikvision странным образом чем-то походил на алгоритм модификации пароля у Dahua. Позже, разбираясь с этим, я пережил некое "де-жа-вю": я это уже где-то подобное видел! Чем объяснить такое сходство – не знаю, но заставляет задуматься.

Написав для целей изучения программу перебора таких паролей на основе понятого алгоритма, я получил инструмент, позволяющий узнать, восстановить пароли пользователей DVR, NVR на основе данных файла с паролями пользователей. Иногда это полезно и оправдано для целей восстановления утраченного пароля. Для IP камер алгоритм немного иной, однако суть при этом не изменилась.

Чтобы не осталось никаких сомнений по поводу обсуждения вокруг защищённости самой внешней прошивки от стороннего вмешательства, напомню, что, как правило, для всех устройств, используемых в видеонаблюдении и имеющих IP порт, есть возможность обновить их по сети.

В нашем случае, это можно осуществить через специальную утилиту ConfigTool, предоставленную производителем, ява скрипт веб-компоненты, а также используя развитый SDK по объявленным их открытым портам, через которые и идёт обмен данными с устройством.

Комбинации доступа

Для получения доступа в меню на самих регистраторах без знания паролей пользователей существуют комбинации, генерируемые на каждый день и сверяемые по текущем внутренним часам устройства. Про пароли для типовых дат я умалчиваю, так как они связаны с извлечением энергонезависимой памяти, а это уже практически доступ сотрудников сервиса, и рассматривать это не будем.

Многим широко известен только один из алгоритмов, который тот же RVi, хранил как большую тайну, а его служба техподдержки персонально отсылала по запросу обратившихся клиентов, что в общем-то правильно.

А другие умудрялись даже продавать такие пароли за недорого ;)

Алгоритм очень простой и не требует каких-то сложных вычислений; владея им, любой, получивший доступ непосредственно к регистратору, может попасть в его основное меню, а дальше…. Этот алгоритм неизменен с релизов прошивок 2.206, а может, и ранее. Производитель ничего не делает для устранения этой уязвимости, позволяющей пусть непосредственно на устройстве, но осуществить вход в его систему. Алгоритм не учитывает ни конкретную модель, ни серийный номер, как это сделано, например, у Hikvision, и результирующий цифровой код действует на все регистраторы на эту конкретную временную дату!

Однако, какого же было моё удивление, когда мной было обнаружено 3 разных алгоритма, результирующий цифровой код которых предоставлял доступ в основное меню на самом регистраторе.

Пример сгенерированных паролей на дату 24 ноября 2014 года

Алгоритм №1 850048
Алгоритм №2 765152
Алгоритм №3 415126

В алгоритме №3 для генерации используется еще один параметр помимо самой даты и успешно применяется только при определённых условиях, его я по некоторым соображениям не указываю. Все они равноценно дают доступ в меню, но в тоже время и обладают разными дополнительными свойствами.

Вопрос сброса пароля по сети до конца не исследован и не будет пока освещаться в данной статье.

Скрытая угроза в IP камерах

Как ни странно, но подобные алгоритмы присутствуют и в коде прошивок IP камер. Если это не используется и никогда не использовалось, то тогда зачем такие алгоритмы присутствуют? Лишний код? Прямых намёков нигде на это нет, однако глупо тратить время разработчику на реализацию неких алгоритмов, которые не будут задействованы! Да и при сборке программ, написанных на Си, как правило, при оптимизации, неиспользуемые объекты не включают в скомпилированный код готовой программы. Я не думаю, что программисты пренебрегали такими очевидными правилами при разработке, как экономия места и ресурсов, да и код разный для разных платформ, хотя может быть всякое.

Сброс пароля по сети, для камер также до конца не изучен, поэтому рассуждать на эту тему сейчас не стоит, как и оценивать данный критерий. Для этого нужно дополнительное время, а, возможно, оно и не потребуется, если бренд канет в лету или в новых моделях применит революционный подход, а про старое, как говорят, кто помянет, тому…. ;)

Краткие итоги

Материалы, найденные мной ранее в сети-интернет по бренду Dahua (это также касается всех его клонов), описывали и некоторые другие уязвимости в сетевой передаче трафика, однако, насколько я понял, они так и не были устранены производителем. Перечислять я их не буду, так как любой желающий их может найти в сети Интернет, если задастся такой целью.

С чем это связано – не знаю, почему такое отношение к своему продукту, который они продвигают во всём мире под разными названиями ранее и под своим непосредственно сейчас – не могу понять. Во многом такое безразличие и невнимательность как раз таки губительно влияет на продвижение этого бизнеса и даёт возможность протаскивать на внешние рынки более дешевые товары внутреннего рынка этого же бренда, обламывая всем остальным, и официалам в том числе, продажи.

Добавленные в последних версиях облачные сервисы, тоже имеют ряд потаённых моментов, но более внимательно это может быть рассмотрено в отдельной статье.

Нельзя не отметить плюсы самой техники Dahua и аналогов у его клонов:

• удобство её внедрения;
• простота инсталляции на месте;
• лёгкая эксплуатация обычными пользователями;
• вполне адекватное ПО, скрытые настройки которого можно тюннинговать, получая расширение стандартных возможностей, если, конечно, знать как;
• прекрасно написанный, доступный и разнообразный SDK для сопряжения и интеграции с различным ПО и другими устройствами;
• широкий набор возможностей функционала прошивок.

Выделенные мной критерии оценки лишь некоторых вопросов, связанных с уязвимостью в безопасности оборудования, а именно:

• получение несанкционированного доступа,
• стойкость прошивки к внешним изменениям, 
• возможность причинения ущерба, 
• лёгкость встраивание своего кода, 
• получение доступа в меню на самом регистраторе

ясно указывают на очень низкие показатели.

Возможно, так и задумывалось изначально, и никто из разработчиков данного бренда таких задач не ставил перед собой и не решал, а возможно было как-то по-другому, и описываемые "проблемы" и предлагаемые "критерии оценок" для производителя не существенны, либо малозначимы для него.

Как покупая автомобиль, каждый заботится об установке персональной сигнализации (ведь без неё его личный автомобиль – одна сплошная головная боль и выброс денег на ветер), так и в данном случае, каждый для себя решает сам, чем можно пренебречь, а чем нельзя, важна ли ему безопасность узлов его видеосистемы или его эти вопросы не волнуют. Однако даже при таком выборе подробная информация об особенностях должна быть доведена до всех лиц, заинтересованных в покупке того или иного оборудования.

Конечно, нельзя сравнивать по цене автомобиль и IP устройство, однако важен принцип, да и IP видеоустройство предназначено для контроля того же дорогого автомобиля. Вспоминается статья-шутка 90-х годов, в которой описывается фантазия "Если бы операционные системы были …. " - даже технически не искушённый читатель на простых сравнениях и аналогиях сможет дать самостоятельно оценку всему написанному мной, взглянув на это с некой долей юмора. Насколько сёрьёзно относится к мнению автора – решать каждому читателю самому и для себя.

Не всеми изысканиями и мыслями можно поделиться, так как что-то требует времени для дополнительного исследования, что-то я упустил как несущественное с моей точки зрения, а о чём-то говорить просто пока не нужно. Однако я рад буду услышать пожелания или интересные вопросы для их изучения, касаемых данного бренда.

Автор: iTuneDVR