रोस्टेकको साथ स्कूलहरूमा हजारौं क्यामेराहरू बेच्ने रुस्नानोकी छोरीले कसरी लीक चिनियाँ फर्मवेयरको साथ "रूसी" क्यामेरा बनाउँछ

नमस्कार!

म b2b र b2c सेवाहरू, साथै संघीय भिडियो निगरानी परियोजनाहरूमा भाग लिनेहरूका लागि भिडियो निगरानी क्यामेराहरूको लागि फर्मवेयर विकास गर्छु।

हामीले कसरी सुरु गर्यौं भन्ने बारेमा लेखेको छु लेख.

त्यसबेलादेखि, धेरै परिवर्तन भएको छ - हामीले अझ धेरै चिपसेटहरूलाई समर्थन गर्न थाल्यौं, उदाहरणका लागि, mstar र fullhan जस्ता, हामीले धेरै संख्यामा विदेशी र स्वदेशी IP क्यामेरा निर्माताहरूसँग भेट्यौं र साथीहरू बनायौं।

सामान्यतया, क्यामेरा विकासकर्ताहरू प्रायः हामीकहाँ आउँछन् नयाँ उपकरणहरू देखाउन, फर्मवेयर वा उत्पादन प्रक्रियाको प्राविधिक पक्षहरू छलफल गर्न।

तर, सधैं जस्तै, कहिलेकाहीँ अनौठो केटाहरू आउँछन् - तिनीहरूले प्वालहरूले भरिएको फर्मवेयरको साथ अस्वीकार्य गुणस्तरका चिनियाँ उत्पादनहरू, र तेस्रो-दर कारखानाको हतारमा कभर गरिएको प्रतीक ल्याउँछन्, तर एकै समयमा उनीहरूले आफैंले सबै कुरा विकास गरेको दाबी गर्छन्: दुबै। सर्किटरी र फर्मवेयर, र तिनीहरू पूर्ण रूपमा रूसी उत्पादनमा परिणत भए।

आज म तपाईलाई यी मध्ये केही केटाहरूको बारेमा बताउनेछु। इमानदारीपूर्वक भन्नुपर्दा, म लापरवाह "आयात विकल्पहरू" को सार्वजनिक कोर्राको समर्थक होइन - म सामान्यतया निर्णय गर्छु कि हामी त्यस्ता कम्पनीहरूसँग सम्बन्धमा रुचि राख्दैनौं, र यस बिन्दुमा हामी तिनीहरूसँग अलग हुन्छौं।

तर, आज फेसबूकमा समाचार पढेर बिहानको कफी पिएर पढेपछि झन्डै पोखियो । समाचार रुस्नानोको सहायक कम्पनी, ELVIS-NeoTek, Rostec सँगसँगै, स्कूलहरूमा हजारौं क्यामेराहरू आपूर्ति गर्नेछ।

कट तल हामीले तिनीहरूलाई कसरी परीक्षण गर्‍यौं भन्ने विवरणहरू छन्।

हो, हो - यी उही केटाहरू हुन् जसले मलाई स्पष्ट रूपमा सस्तो र खराब चीन ल्याए, आफ्नै विकासको आडमा।

त्यसोभए, तथ्यहरू हेरौं: तिनीहरूले हामीलाई घरेलुबाट "भिजरजेट स्मार्ट बुलेट" क्यामेरा ल्याए - यसमा एउटा बाकस र QC स्वीकृति पाना (:-D) थियो, भित्र त्यहाँ एक विशिष्ट चिनियाँ मोड्युलर क्यामेरा थियो। Hisilicon 3516 चिपसेट।

फर्मवेयर डम्प बनाएपछि, यो चाँडै स्पष्ट भयो कि क्यामेरा र फर्मवेयरको वास्तविक निर्माता एक निश्चित कम्पनी "ब्रोवोटेक" थियो, जसले अनुकूलित आईपी क्यामेराहरू आपूर्ति गर्न माहिर छ। अलग, मलाई यो कार्यालयको दोस्रो नामले आक्रोशित भएको थियो "ezvis.net» कम्पनी Ezviz को नामको एक अनाड़ी नक्कली हो, एक विश्व नेता Hikvision को एक b2c छोरी। हम्म, सबै कुरा अबिबास र नोक्लाको उत्कृष्ट परम्परामा छ।

फर्मवेयरमा भएका सबै चीजहरू चिनियाँमा मानक, नम्र हुन थाले:

फर्मवेयरमा फाइलहरू
├── alarm.pcm
├── bvipcam
├── cmdserv
├── डेमनसर्भ
├── पत्ता लगाउँछ
├── फन्ट
├── lib
...
│ └── libsony_imx326.so
├── रिसेट
├── start_ipcam.sh
├── sysconf
│ ├── 600106000-BV-H0600.conf
│ ├── 600106001-BV-H0601.conf
...
│ └── 600108014-BV-H0814.conf
├── system.conf -> /mnt/nand/system.conf
├── version.conf
└── www
...
├── लोगो
│ ├── elvis.jpg
│ └── qrcode.png

एक घरेलु निर्माताबाट हामी फाइल देख्छौं elvis.jpg - नराम्रो छैन, तर कम्पनीको नाममा त्रुटिको साथ - साइट द्वारा न्याय गर्दै तिनीहरूलाई "elvees" भनिन्छ।

bvipcam क्यामेराको सञ्चालनको लागि जिम्मेवार छ - A/V स्ट्रिमहरूसँग काम गर्ने मुख्य अनुप्रयोग र नेटवर्क सर्भर हो।

अब प्वाल र पछाडिको ढोका बारे:

1. bvipcam मा पछाडिको ढोका धेरै सरल छ: strcmp (पासवर्ड,"20140808") && strcmp (प्रयोगकर्ता नाम,"bvtech")। यो असक्षम गरिएको छैन, र गैर-अक्षम पोर्ट 6000 मा चल्छ

2. /etc/shadow मा एक स्थिर मूल पासवर्ड र खुला टेलनेट पोर्ट छ। सबैभन्दा शक्तिशाली म्याकबुकले एक घण्टा भन्दा कममा यो पासवर्डलाई बलियो बनाएको छैन।

3. क्यामेराले सबै सुरक्षित गरिएका पासवर्डहरू नियन्त्रण इन्टरफेस मार्फत स्पष्ट पाठमा पठाउन सक्छ। अर्थात् (१) बाट ब्याकडोर लग पास प्रयोग गरेर क्यामेरामा पहुँच गरेर, तपाइँ सजिलैसँग सबै प्रयोगकर्ताहरूको पासवर्डहरू फेला पार्न सक्नुहुन्छ।

मैले व्यक्तिगत रूपमा यी सबै हेरफेर गरे - निर्णय स्पष्ट छ। तेस्रो-दर चिनियाँ फर्मवेयर, जुन गम्भीर परियोजनाहरूमा पनि प्रयोग गर्न सकिँदैन।

वैसे, मैले यो केहि पछि फेला पारे लेख - यसमा तिनीहरूले ब्रोवोटेकबाट क्यामेराहरूमा प्वालहरू अध्ययन गर्न थप गहन काम गरे। हम्म।

परीक्षाको नतिजाको आधारमा, हामीले पत्ता लगाएका सबै तथ्यहरू सहित ELVIS-NeoTek मा एउटा निष्कर्ष लेख्यौं। प्रतिक्रियामा, हामीले ELVIS-NeoTek बाट उत्कृष्ट जवाफ प्राप्त गर्‍यौं: "हाम्रो क्यामेराहरूको फर्मवेयर नियन्त्रक निर्माता HiSilicon बाट लिनक्स SDK मा आधारित छ। किनभने यी नियन्त्रकहरू हाम्रो क्यामेरामा प्रयोग गरिन्छ। एकै समयमा, हाम्रो आफ्नै सफ्टवेयर यस SDK को शीर्षमा विकसित गरिएको छ, जुन डाटा एक्सचेन्ज प्रोटोकलहरू प्रयोग गरेर क्यामेराको अन्तरक्रियाको लागि जिम्मेवार छ। हामीले क्यामेराहरूमा रूट पहुँच प्रदान नगरेकोले परीक्षण विशेषज्ञहरूलाई पत्ता लगाउन गाह्रो थियो।

र बाहिरबाट मूल्याङ्कन गर्दा, एक गलत राय गठन हुन सक्छ। आवश्यक भएमा, हामी तपाइँका विशेषज्ञहरूलाई हाम्रो उत्पादनमा क्यामेराको उत्पादन र फर्मवेयरको सम्पूर्ण प्रक्रिया प्रदर्शन गर्न तयार छौं। फर्मवेयर स्रोत कोडहरूको अंश देखाउने सहित।"

स्वाभाविक रूपमा, कसैले स्रोत कोड देखाएन।

मैले उनीहरूसँग अब काम नगर्ने निर्णय गरें। र अब, दुई वर्ष पछि, रूसी विकासको आडमा सस्तो चिनियाँ फर्मवेयरको साथ सस्तो चिनियाँ क्यामेराहरू उत्पादन गर्ने Elvees कम्पनीको योजनाले उनीहरूको आवेदन फेला पारेको छ।

अब म तिनीहरूको वेबसाइटमा गएँ र पत्ता लगाएँ कि तिनीहरूले आफ्नो क्यामेराको लाइन अपडेट गरेका छन् र यो अब Brovotech जस्तो देखिदैन। वाह, सायद केटाहरूले आफैलाई महसुस गरे र सुधार गरे - तिनीहरूले सबै कुरा आफै गरे, यस पटक इमानदारीपूर्वक, लीक फर्मवेयर बिना।

तर, अफसोस, सरल तुलना सञ्चालन निर्देशनहरू "रूसी" क्यामेरा इन्टरनेटमा निर्देशनहरू नतिजा दिए ।

त्यसोभए, मूल भेट्नुहोस्: अज्ञात विक्रेता माइलसाइटबाट क्यामेराहरू।

ब्रोभोटेक भन्दा यो माइलसाइट कसरी राम्रो छ? सुरक्षा दृष्टिकोणबाट, सम्भवतः, केहि पनि छैन - खरिद गर्न सस्तो समाधान।

माइलसाइट र ELVIS-NeoTek क्यामेराहरूको वेब इन्टरफेसको स्क्रिनसट हेर्नुहोस् - यसमा कुनै शंका हुनेछैन: "रूसी" VisorJet क्यामेराहरू माइलसाइट क्यामेराहरूको क्लोन हुन्। वेब इन्टरफेसका तस्बिरहरू मात्र मिल्दैन, तर पूर्वनिर्धारित IP 192.168.5.190 र क्यामेरा रेखाचित्रहरू पनि। पूर्वनिर्धारित पासवर्ड पनि समान छ: क्लोनको लागि ms1234 vs en123456।

अन्तमा, म भन्न सक्छु कि म एक बुबा हुँ, मेरो स्कूलमा बच्चाहरू छन् र म ट्रोजनहरू र उनीहरूको शिक्षामा ब्याकडोरहरू चुहावट भएका चिनियाँ फर्मवेयरहरू भएका चिनियाँ क्यामेराहरूको प्रयोगको विरुद्धमा छु।

स्रोत: www.habr.com