Форум Системы безопасности / Форум Видеонаблюдение /
Юрий Гедзберг
Старожил
Сообщений: 8650
Рейтинг: 32474
23.11.2014 22:21:18
http://www.security-bridge.com/biblioteka/stati_po_bezopasnosti/uyazvimosti_v_bezopasnosti_ip_ustrojstv_razlichnyh_brendov_dahua_i_ego_klony_chast_1/
Цитата:
"Немалый интерес к прошивкам данного бренда возник у многих из-за того, что стоимость покупки оборудования для внутреннего рынка Чиная, даже с учётом доставки в Россию, гораздо ниже розничной стоимости продажи оборудования, которое пытаются реализовать разные организации на территории РФ, предлагающие данную продукцию под разными брендами.
Голосуя кошельком, покупатель мало задумывается о возможных последствиях, хотя для ряда простых задач, где регистратор никогда и не понюхает ни интернет-доступа, ни тем более подключение к ЛВС, это, возможно, и оправдано!
Сейчас, много тех, кто ищет прошивки для устранения языкового барьера своим недорогим покупкам, и хотя бы один раз они могут попасться на удочку. Решая данный вопрос, они с удивлением обнаружат (получив недорогой вариант из Чиная или заранее прекрасно зная, на чём экономят), что и в меню регистратора, и на веб-интерфейсе в названиях чинайский хворост ;) Кого-то это не беЗпокоит, потому как используют русифицированное ПО, и это их устраивает, однако таких не так и много. Я об этом сужу по большому количеству обращений с просьбами помочь решить этот вопрос, и каждый рассказывает свою душещипательную историю.
Конечно, я самостоятельно для себя решил вопросы с русификацией и во многом с нуля, а также правил ресурсы так, как надо, во многих моделях DVR и всех свежих моделях NVR, а также IPC не обошёл стороной.
Ни официальный поставщик Dahua, ни его представители или представители клонов, или реселлеры не стремятся снабдить покупателей свежими прошивками, делают из этого какой-то секрет или тайну и тем более, когда речь идёт о языковых ресурсах, отличных от стандартных. Конечно, это попытка защитить интересы своих агентов-представителей в разных странах, для успешного продвижения товара и зарабатывания больших денег, однако покупатель во много неразборчив, ведётся на дешевизну и от безысходности рад взять любую прошивку и попробовать обновить ей свою технику для устранения различного рода проблем."
Неизвестный
24.11.2014 17:08:36
Ну поскольку я теперь свободный художник - то мне теперь уже всё пох, а по этому
Цитата:
Комбинации доступа
Для получения доступа в меню на самих регистраторах без знания паролей пользователей существуют комбинации, генерируемые на каждый день и сверяемые по текущем внутренним часам устройства. Про пароли для типовых дат я умалчиваю, так как они связаны с извлечением энергонезависимой памяти, а это уже практически доступ сотрудников сервиса, и рассматривать это не будем.
Многим широко известен только один из алгоритмов, который тот же RVi, хранил как большую тайну, а его служба техподдержки персонально отсылала по запросу обратившихся клиентов, что в общем-то правильно.
А другие умудрялись даже продавать такие пароли за недорого ;)
Алгоритм очень простой и не требует каких-то сложных вычислений; владея им, любой, получивший доступ непосредственно к регистратору, может попасть в его основное меню, а дальше….
Вот если бы только до - "получивших допступ непосредственно"!
:-)))
Ну а теперь для любителей халявных облачных технологий - цитата сябя любимого, из обсуждения первой части статей про уязвимости:
17.11.2014 16:18
Вот Вам доступ до подобного браузерного клиента о-ле облако от Rvi. Ткните в кнопку "Device" в поле серийника ведите TZA4GL532WO243Z, ну а в поле логина 666666 и в поле пароля 666666 и будете иметь возможность лицезреть зимний Челябинск онлайн.
Ну что - хоть кто-нибудь попробовал достучатся до "облака" зная - серийный номер и имея на руках известные пароль с логином? Ну а теперь возвращаемся к теме уязвимостей. Те кто всё же попробовал "облачка" и установили себе необходимый плагин с сайта, - теперь можете в строку браузера ввести вот такой GET- запрос ;-)) И убедиться в том что, для доступа к "облаку" вам теперь уже нет необходимости вводить ни пароль ни логин ни серейник. Ну а кто более внимателен - то то найдет все необходимые данные для допступа в самом GET-запросе, причем в вполне открытом виде. |
И если еще до шибко "умных" не дошло, то:
- получить доступ до картинки, а при юзанье гибридных DVR и NVR с последними прошивками и до ПОЛНОГО управления не только регистраторами но и IPC - не составляет никакого труда не только будучи в непосредственной близости от аппарата, но и будучи вполне удаленно от него - через "родной" "облачный" сервис www.easy4ip.com от брендодержателя.
Так что как говорится:
- "кушайте не обляпайтесь - вас снимает облачная "скрытая" камера, а говорят и показывают о вас - все телевизионные станции советского союза"!
iTuneDVR
Старожил
Сообщений: 547
Рейтинг: 2590
24.11.2014 17:44:01
ТВВ!
Облако я не стал мусолить в кратце в этой части про дахуа, а лучше ему посвятить больше времени и внимания.
Многие реализованые у них вещи выглядят печально с точки зрения безопасности достпупа, несмотря на все плюсы самой техники. И не сказать что совсем ничего не сделано. Однако я лишь дал свой взгляд из прошлого и на сегодняшний день мало что изменилось.
Не мне их чему-то учить, как программировать или продавать, да и переживать за их потери от недополучения прибыли - не приходится да и не придётся.
Другое дело хватит ли совести держать хорошую мину при такой плохой игре производители и их представителям? ;)
Неизвестный
24.11.2014 18:05:09
Другое дело хватит ли совести держать хорошую мину при такой плохой игре производители и их представителям? ;)
Ну поскольку всё как Вы выражаетесь Чайновской железо - ныне (причем даже в Сибирь и на Дальний Восток) у васЪ нонеча постановляется исключительно "лимитчиками-гастербайтерами" из внутримкадья:
- То очень правильно про все это выразился господин Трефилов:
по мнению В. Н. Сергеева,***
Выражение же возникло после освобождения от татарского ига, когда пала вольность Новгорода и укрепилась власть Москвы, в Новгороде возникли поговорки:
- "Москва бьет с носка" и
- "Москва слезам не потакает"
Есть и другие мнения на этот счёт. А в целом: Проще говоря, всем пох на чужое......
iTuneDVR
Старожил
Сообщений: 547
Рейтинг: 2590
24.11.2014 18:31:03
ТВВ!
Ну поскольку всё как Вы выражаетесь Чайновской железо - ныне (причем даже в Сибирь и на Дальний Восток) у васЪ нонеча постановляется исключительно "лимитчиками-гастербайтерами" из внутримкадья:
Ну шила то в мешке не утаишь! ;)
Я то называю это как есть, а процитированое мнение тоже с изъяном т.к. небыло никакого ига, в этом понимании, было всё иначе ;)
kombinator
Старожил
Сообщений: 5692
Рейтинг: 27031
24.11.2014 20:41:48
От себя хочу рассказать реальную историю про Dahua ( Spymax ), с какими косяками мне пришлось столкнуться в этом году . Сразу оговорюсь что не собираюсь вбивать осиновый кол в этот бренд , порочить или что-то в этом роде , но мы вроде договорились называть всё своими именами , а не дипломатично закатывать глазки и мумукать )))
Дело не в прошивках , а в комплектующих , на чём или из чего собираются видеорегистраторы . К сожалению качество заметно упало , навсегда или сезонно , только для нашего рынка сбыта или для рынков всего мира , не знаю . Да и никто наверное не знает .
Вообщем , к делу .
Купил в январе / феврале шесть регистраторов Spymax RA-1216L . Установил , настроил , всё как обычно , ничего вроде бы не предвещало подлянки . И вот приезжаю через месяц на объекты и что вижу . Где - то время на 10 минут убежало вперёд , где-то на 15 минут , где-то на 20 минут . Хм , непойму , неможет быть чтобы я так изначально неправильно выставлял время . Перепроверил через несколько недель . Так и есть , время убегает . Звоню продажникам " Ребята , так и так , вы вообще вкурсе ? Вам кто-нибудь уже сообщил о таком большом расхождении во времени ? " . В ответ было к сожалению равнодушное , высокомерное " Все берут никто не жаловался , один ты про такое заявил , может ты не так время выставил ?" . Ну вообщем началась лечебница по телефону , как обычно . Главное сказать " Все берут и никто не жалуется " , это прям как заговор от всех проблем . Вообщем привожу им регистратор , они убеждаются что действительно время очень сильно убегает за месяц , я допуская 1,5 - 2 минуты , и вижу ежемесячную статистику по другим регистраторам . Но 15-20 минут это нивкакие ворота не лезет .
Вообщем они мне перепаяли все кварцы , время теперь идёт как надо . Но непойму для чего было изначально вставать в высокомерную позу и заводить надоевшую шарманку про " Все берут и никто не жаловался " . Меня ВСЕ не волнуют , кто эти ВСЕ ?
Вдобавок в регистраторах возникла проблема с грохочущими вентиляторами . На данный момент ( не прошло и года ) я заменил все шесть вентиляторов . Такой треск и жужжание терпеть было не возможно никак . Это проявилось не сразу , а через 2-3 месяца примерно .
В марте я купил Spymax RA-2504LE ( как написано , улучшенный RA-0604L ) . Проблема с кварцем таже самая , только тут время на 5-6 минут вперёд убегает в месяц . Я не несу его в ремонт , потому что регистратор установлен для пригляда за кладовщиками , экспедиторами , которые копошатся на дальнем складе , и точность времени там не важна по большому счёту . Достаточно что приезжая раз в месяц на ТО я подвожу время .
И что ещё , всётаки вспомнил про прошивки . Везде в меню полно ошибок . Во всех моделях например вместо СОХРАНИТЬ , написано СОХНАНИТЬ . Это о чём говорит ? Лично мне это говорит или наплевательском отношении , невнимательности со стороны или поставщика , или китайцев . Кто из них не может нормально без ошибок предоставить прошивку , мне непонятно . Ящики RVI поступающие с того же завода Dahua имеют полностью меню на русском языке , до мелочей . Те же самые ящики , с того же самого завода , но под брендом Spymax почему то имеют ряд пунктов в меню не на русском , с ошибками . С одной стороны это конечнг не важно , но по большому счёту производит неряшливое впечатление и наводит на мысли что и в техподдержке данный бренд может позволить себе невнимательность , оговорки и позволяет себе " а подумаешь " , " да ладно вам " , " все берут никто не жалуется " . Не знаю кому как , а мне такие отношения не нравятся , тем более фирма продающая Spymax не вчера начала завозить эти регистраторы , а завозит их регулярно с 2008-2009 года .
Неизвестный
24.11.2014 21:50:26
iTuneDVR | 24.11.2014 19:31
...а процитированое мнение тоже с изъяном т.к. небыло никакого ига, в этом понимании, было всё иначе ;) |
У-уу, да вы похоже на парау со "святым Сергием" - Михал Николаевича Задорного по начитались никак :-)
- А вы лучше почитайте Мурат Аджи, ну хотя бы это:
- Тюрки и мир: сокровенная история..
Цитата:
Сеять незнание было удобно. Именно на незнании и доверчивости людей правители выстраивали политический баланс на Евразийском континенте и в мире — определяли врагов, начинали войны.
Так что как видите, умные люди (еще даже задолго до Задорного) уже давным давно дали вам ответы на многие вопросы и не только про то было или нет татарско-монгольское иго, но даже дали вам ответы на вопросы - почему некоторым крайне выгодно хранить как ОГРОМНУЮ тайну некие алгоритмы ;-).
Так что шило хоть оно и торчит из мешка - но оно тут не при каких делах!
Удобно (ну а значит и выгодно) держать в неведенье замкадышей - вот их и буду держать в неведенье до тех пор пока смогут.
Ну а когда все секреты станут секретами полишинеля - то и тут не произойдет ничего кординально нового - просто втупает в действие механизм замены старой номенклатуры товаров - на новую.
Причем все будет сдалано так бутьто это не просто подмена одного хлама на другой, а преподнесено это будет - как некая супер "новинка", ну а после такого преподноса - можно опять начать стричь все тех же самых баранов по новому кругу, базируясь на их новом не знании или непонимании "чего же это они купили - вдруг эта штука жизнь бы их перевернула, знай они - чего же это такого купили на сей раз".
iTuneDVR
Старожил
Сообщений: 547
Рейтинг: 2590
24.11.2014 22:30:12
ТВВ!
У-уу, да вы похоже на парау со "святым Сергием" - Михал Николаевича Задорного по начитались никак :-)
Нет, не читал этого, и другого не читал если и на это сошлётесь!
С заменой переменных я согласен, тут сплош и рядом и обратного действия никак не хотят производить. А зачем, иначе раскроют себя!
Но, расстриаивать и по этому поводу не стоит, всё идёт по плану ;) ;) ;)
Юрий Гедзберг
Старожил
Сообщений: 8650
Рейтинг: 32474
25.11.2014 12:42:30
Главное сказать " Все берут и никто не жалуется " , это прям как заговор от всех проблем .
Эту мантру повторяют во всех магазинах розничной торговли.
Зачастую добавляя: у меня муж уже три года носит, очень доволен.
kombinator
Старожил
Сообщений: 5692
Рейтинг: 27031
28.11.2014 04:53:50
Ну что ....специализированный народ обдумывает статью или не понял о чём пишут ?)))
наверное и так и так ...