微波EDA网,见证研发工程师的成长!
首页 > 通信和网络 > 通信网络业界新闻 > 专家警告:警惕VoIP的XSS跨站脚本攻击

专家警告:警惕VoIP的XSS跨站脚本攻击

时间:09-18 来源:专家警告:警惕VoIP的XSS跨站脚本攻击 点击:

  VoIP与XSS(跨站脚本攻击)联系在一起,很多人会觉得经验,但近日安全研究人员发现,VoIP中存在严重的XSS(跨站脚本攻击)漏洞,虽然只是各例却引起各方广泛关注……

  【IT专家网独家】目前出现一种控制用户计算机的新方法:IP电话。安全研究人员Radu State上个星期发现Linksys SPA-941(5.1.8版本)IP电话产品中存在一个安全漏洞,能够让黑客利用VoIP重要标准之一的SIP(会话起始协议)实施跨站脚本攻击(XSS)。

  State在安全邮件列表中发表的帖子指出,虽然对SIP协议上的VoIP设备展开攻击很困难,因为这种设备通常有客户化的结构和操作系统,但是,许多这种系统都嵌入在网络服务器中,利用缓存溢出安全漏洞能够攻破这些系统。

  State把SIP安全漏洞列为"非常高的"安全漏洞。他写道,大多数防火墙/入侵保护系统都不能防御通过SIP协议发动的XSS攻击。此外,用户将从内部网络直接连接这些设备,因此,内部网络能够被攻破。

  Secure Computing公司技术副总裁Paul Henry同意这个观点。他在电话采访中说,SIP是目前大多数计算机安全产品中的盲点。他是第一次看到通过VoIP实施的XSS攻击。他说,我认为这是一个严重的问题,因为这也许是许多基于SIP协议的攻击的第一次攻击。

  Henry认为,VoIP从根本上说是不安全的,因为SIP设备缺少真正的身份识别。他认为,太多的公司需要VoIP节省成本的功能,从而没有投资VoIP安全。安全肯定是这些公司采用VoIP之后才发现的问题。

  目前已经出现了几起涉及到VoIP突破的典型案例。例如,经营迈阿密的一家小型VoIP电话公司的Edwin Pena今年年初被逮捕,被指控突破其它的VoIP服务并且把通过他们的线路转接电话。他被指控利用这种方法赚了100多万美元。

  事实是互联网上提供的免费的VoIP破解工具计划肯定要导致这种事情的发生。

  然而,Henry认为,可以采取一些措施使VoIP更加安全。他建议采用应用层防火墙、基于声誉的防御措施和杀毒扫描。

  虽然State发现的安全漏洞适用于具体的Linksys硬件,但是,Henry怀疑其它的VoIP设备也有同样的安全漏洞。他说,如果我在其它厂商的电话中发现同样的安全漏洞,我不会感到惊奇。我把这个问题看作是冰山的一角。

Copyright © 2017-2020 微波EDA网 版权所有

网站地图

Top