检测表明：嵌入式设备大多存在高位安全缺陷
据报道，对数百个可以公开获得的路由器、dsl调制解调器、网络电话、网络摄像头和其他嵌入设备的固件镜像文件进行的分析发现，其中许多固件都存在高风险的安全缺陷，这表明厂商没有对产品的安全性进行充分测试。
这项研究是由法国eurecom研究中心和德国波鸿-鲁尔大学的研究人员进行的。他们开发了一个能对固件镜像文件解压缩、在模拟环境中运行固件和启动嵌入式web服务器的自动平台。
研究人员对来自54家厂商的嵌入式设备的1925款基于linux的固件镜像文件进行了研究，但只成功地启动了其中246个固件的web服务器。他们认为，通过对他们的平台进行调整，这一数字还会增加。他们的目标，是利用开放源代码渗透测试工具，对固件中基于web的管理界面进行动态缺陷分析。结果研究人员在46个分析的固件镜像文件中发现225个高危安全缺陷。
pcworld表示，在测试中，研究人员把web界面代码分离出来，并在一个通用服务器上运行这些代码，在不模拟真实固件环境的情况下检测缺陷。这一测试存在不足之处，但成功对515个固件镜像文件进行了测试，并发现其中的307个存在缺陷。
研究人员还利用另外一款开放源代码工具，对从设备固件镜像文件中提取的php代码进行了静态分析，在其中的145个固件镜像文件中发现9046个安全缺陷。研究人员通过静态和动态分析，在185个固件镜像文件的基于web的管理界面中发现重要的安全缺陷，例如命令执行、sql injection和跨站脚本攻击，涉及54家厂商中约四分之一厂商的设备。
pcworld称，研究人员致力于开发一种可靠的方法，在不“接触”相应物理设备的情况下，自动对固件镜像文件进行测试，而非对固件中的缺陷进行完全扫描。他们没有人工对代码进行分析，也没有使用各种各样的扫描工具对高级逻辑缺陷进行分析。
这意味着他们发现的都是最容易被发现的问题，都是在任何标准化的安全测试中应当很容易被发现的缺陷。这就引发了一个问题：相关厂商为什么没有发现和修正这些缺陷？
参与这项研究的研究人员安德烈·科斯廷（andrei costin）表示，情况似乎是这样的：相关厂商要么没有对代码进行安全测试，要么测试工作相当马虎。
科斯廷当地时间上周四在布加勒斯特举办的defcamp安全会议上阐述了其团队的研究成果。这是对固件镜像文件进行的第二次大规模测试，去年，参与这项研究的部分研究人员就开发了相关方法，自动检测大量固件镜像文件中的后门和加密问题。
pcworld指出，在他们的测试中，部分固件不是最新版本，因此他们发现的缺陷并非全部是零日缺陷——之前没有被发现、尚未修正的缺陷。但是，这一研究的影响仍然相当大，因为大多数用户很少对嵌入式设备的固件进行升级。
在defcamp上，作为iot village的一部分，与会者受邀对4款物联网设备进行攻击。与会者在一款智能视频门铃中发现2处危急缺陷，黑客可以利用这2处缺陷完全获得设备的控制权。这款门铃还能控制智能门锁。
一款高端d-link路由器的固件也存在一处缺陷。这一缺陷已经被发现，并在新版固件中得到修正，但路由器没有提醒用户对固件进行更新。
与会者还在mikrotik的一款路由器中发现一处危险性不高的缺陷。唯一保持金刚不坏之身的一款设备是nest cam。
这些缺陷的相关信息并未公开，因为iot village组织者会首先向相关厂商通报被发现的缺陷，以便他们修正这些缺陷。
串行总线和并行总线的区别
台积电2纳米即将改采全新的GAA基础,计划在2023年投产
无线通信芯片、模块厂商介绍及其产业链汇总
汽车数字隔离器
自动灌溉播种机的制作
检测表明：嵌入式设备大多存在高位安全缺陷
支持GPS功能的模块解决方案
搜索引擎的起源之科学史话克伦·施拜克·琼斯对网络搜索的贡献
浅谈煤矿井下无入值守变电所技术研究与应用
小米6意犹未尽!小米7又曝光:骁龙845+全面屏+3D识别,依旧难实现现货
未来Micro LED将走向混合式转移
笔记本电脑厂商加速取消16:9屏幕
ThinkPad 新品发布会有望推出一款 “水冷”产品
央视实测网红脱糖电饭煲：降糖70%？虚假宣传
车载芯片48V60V72V100V转12V5A电源芯片AH8673
WindowsCE异常和中断服务程序
三千兆为用户带来“沉浸式千兆体验”
泰霖 MP1601异常分析
SAW滤波器的原理、制造及应用
苹果AirPods正式版评测：史上最快蓝牙配对 一次成功永久有效
这项研究是由法国eurecom研究中心和德国波鸿-鲁尔大学的研究人员进行的。他们开发了一个能对固件镜像文件解压缩、在模拟环境中运行固件和启动嵌入式web服务器的自动平台。
研究人员对来自54家厂商的嵌入式设备的1925款基于linux的固件镜像文件进行了研究，但只成功地启动了其中246个固件的web服务器。他们认为，通过对他们的平台进行调整，这一数字还会增加。他们的目标，是利用开放源代码渗透测试工具，对固件中基于web的管理界面进行动态缺陷分析。结果研究人员在46个分析的固件镜像文件中发现225个高危安全缺陷。
pcworld表示，在测试中，研究人员把web界面代码分离出来，并在一个通用服务器上运行这些代码，在不模拟真实固件环境的情况下检测缺陷。这一测试存在不足之处，但成功对515个固件镜像文件进行了测试，并发现其中的307个存在缺陷。
研究人员还利用另外一款开放源代码工具，对从设备固件镜像文件中提取的php代码进行了静态分析，在其中的145个固件镜像文件中发现9046个安全缺陷。研究人员通过静态和动态分析，在185个固件镜像文件的基于web的管理界面中发现重要的安全缺陷，例如命令执行、sql injection和跨站脚本攻击，涉及54家厂商中约四分之一厂商的设备。
pcworld称，研究人员致力于开发一种可靠的方法，在不“接触”相应物理设备的情况下，自动对固件镜像文件进行测试，而非对固件中的缺陷进行完全扫描。他们没有人工对代码进行分析，也没有使用各种各样的扫描工具对高级逻辑缺陷进行分析。
这意味着他们发现的都是最容易被发现的问题，都是在任何标准化的安全测试中应当很容易被发现的缺陷。这就引发了一个问题：相关厂商为什么没有发现和修正这些缺陷？
参与这项研究的研究人员安德烈·科斯廷（andrei costin）表示，情况似乎是这样的：相关厂商要么没有对代码进行安全测试，要么测试工作相当马虎。
科斯廷当地时间上周四在布加勒斯特举办的defcamp安全会议上阐述了其团队的研究成果。这是对固件镜像文件进行的第二次大规模测试，去年，参与这项研究的部分研究人员就开发了相关方法，自动检测大量固件镜像文件中的后门和加密问题。
pcworld指出，在他们的测试中，部分固件不是最新版本，因此他们发现的缺陷并非全部是零日缺陷——之前没有被发现、尚未修正的缺陷。但是，这一研究的影响仍然相当大，因为大多数用户很少对嵌入式设备的固件进行升级。
在defcamp上，作为iot village的一部分，与会者受邀对4款物联网设备进行攻击。与会者在一款智能视频门铃中发现2处危急缺陷，黑客可以利用这2处缺陷完全获得设备的控制权。这款门铃还能控制智能门锁。
一款高端d-link路由器的固件也存在一处缺陷。这一缺陷已经被发现，并在新版固件中得到修正，但路由器没有提醒用户对固件进行更新。
与会者还在mikrotik的一款路由器中发现一处危险性不高的缺陷。唯一保持金刚不坏之身的一款设备是nest cam。
这些缺陷的相关信息并未公开，因为iot village组织者会首先向相关厂商通报被发现的缺陷，以便他们修正这些缺陷。
串行总线和并行总线的区别
台积电2纳米即将改采全新的GAA基础,计划在2023年投产
无线通信芯片、模块厂商介绍及其产业链汇总
汽车数字隔离器
自动灌溉播种机的制作
检测表明：嵌入式设备大多存在高位安全缺陷
支持GPS功能的模块解决方案
搜索引擎的起源之科学史话克伦·施拜克·琼斯对网络搜索的贡献
浅谈煤矿井下无入值守变电所技术研究与应用
小米6意犹未尽!小米7又曝光:骁龙845+全面屏+3D识别,依旧难实现现货
未来Micro LED将走向混合式转移
笔记本电脑厂商加速取消16:9屏幕
ThinkPad 新品发布会有望推出一款 “水冷”产品
央视实测网红脱糖电饭煲：降糖70%？虚假宣传
车载芯片48V60V72V100V转12V5A电源芯片AH8673
WindowsCE异常和中断服务程序
三千兆为用户带来“沉浸式千兆体验”
泰霖 MP1601异常分析
SAW滤波器的原理、制造及应用
苹果AirPods正式版评测：史上最快蓝牙配对 一次成功永久有效