首頁>>>技術>>>VoIP

警惕：黑客利用VoIP的XSS跨站腳本攻擊

2007/10/19

　　目前出現一種控制用戶計算機的新方法：IP電話。安全研究人員Radu State上個星期發(fā)現Linksys SPA-941(5.1.8版本)IP電話產品中存在一個安全漏洞，能夠讓黑客利用VoIP重要標準之一的SIP(會話起始協議)實施跨站腳本攻擊(XSS)。

　　State在安全郵件列表中發(fā)表的帖子指出，雖然對SIP協議上的VoIP設備展開攻擊很困難，因為這種設備通常有客戶化的結構和操作系統，但是，許多這種系統都嵌入在網絡服務器中，利用緩存溢出安全漏洞能夠攻破這些系統。

　　State把SIP安全漏洞列為“非常高的”安全漏洞。他寫道，大多數防火墻/入侵保護系統都不能防御通過SIP協議發(fā)動的XSS攻擊。此外，用戶將從內部網絡直接連接這些設備，因此，內部網絡能夠被攻破。

　　Secure Computing公司技術副總裁Paul Henry同意這個觀點。他在電話采訪中說，SIP是目前大多數計算機安全產品中的盲點。他是第一次看到通過VoIP實施的XSS攻擊。他說，我認為這是一個嚴重的問題，因為這也許是許多基于SIP協議的攻擊的第一次攻擊。

　　Henry認為，VoIP從根本上說是不安全的，因為SIP設備缺少真正的身份識別。他認為，太多的公司需要VoIP節(jié)省成本的功能，從而沒有投資VoIP安全。安全肯定是這些公司采用VoIP之后才發(fā)現的問題。

　　目前已經出現了幾起涉及到VoIP突破的典型案例。例如，經營邁阿密的一家小型VoIP電話公司的Edwin Pena今年年初被逮捕，被指控突破其它的VoIP服務并且把通過他們的線路轉接電話。他被指控利用這種方法賺了100多萬美元。

　　事實是互聯網上提供的免費的VoIP破解工具計劃肯定要導致這種事情的發(fā)生。

　　然而，Henry認為，可以采取一些措施使VoIP更加安全。他建議采用應用層防火墻、基于聲譽的防御措施和殺毒掃描。

　　雖然State發(fā)現的安全漏洞適用于具體的Linksys硬件，但是，Henry懷疑其它的VoIP設備也有同樣的安全漏洞。他說，如果我在其它廠商的電話中發(fā)現同樣的安全漏洞，我不會感到驚奇。我把這個問題看作是冰山的一角。

IT專家網


相關鏈接:
Asterisk cdr_addon_mysql插件SQL注入漏洞 2007-10-19
UC何時顛覆傳統語音？ 2007-10-17
免費？VoIP+WiFi+手機對固定電話的沖擊 2007-10-16
VoIP手機：在中國此路不通 2007-10-16
IT巨頭爭霸統一通信 PBX廠商縱深發(fā)展 2007-10-11

分類信息: