XSS napad na nadzorne kamere

Ko podjetje kupi videonadzorni sistem - po možnosti takega, modernega, ki omogoča prenos slike preko interneta - se vodstvo podjetja oddahne. Sedaj smo varni.

Pa je temu res tako? Amir Azam in Adrian Pastor, raziskovalca iz podjetja ProCheckUp sta dokazala drugače. V članku z naslovom Owning Big Brother in v video demonstraciji sta prikazala, kako je mogoče s pomočjo XSS zlorabe "vdreti" v kamere podjetja Axis 2100 in zamenjati video, ki ga vidijo varnostniki.

Napadalec mora kameri najprej poslati ustrezno oblikovan URL, ki ga kamera shrani v datoteko aktivnosti (log datoteko). Ko administrator preveri datoteko aktivnosti (v kar ga je mogoče "prepričati" s kakšnim napadom s poplavljanjem), se poslani JavaScript izvede in na kameri ustvari nov uporabniški račun, podatke pa pošlje napadalcu. S pomočjo uporabniškega računa lahko potem napadalec spremeni video, ki ga vidi varnostnik.

Sicer je res, da so kamere Axis 2100 že razmeroma stare in niso več v proizvodnji, vendar raziskovalca trdita, da so podobne zlorabe mogoče tudi v drugih kamerah.

Bodo sedaj vlomilci med svojim početjem varnostnikom lahko zavrteli svoj najljubši pornografski film?