로그인 페이지 HTML에 패스워드가 하드코딩...현재 국내 50대 라우터가 해킹에 노출
D사 dvw 3200 라우터들은 포트 88에 로그인 포털이 있으며, 접근은 패스워드로 보호되어 있다. 하지만 이 패스워드는 로그인 페이지의 HTML에 하드코딩 되어 있는 것이 문제다.
연구원은 이 로그인 페이지의 코드를 분석하던 중 “clickApply”라는 함수가 표준 base 64로 코딩 된 암호를 포함하고 있다는 사실을 발견했다.
검색엔진 Zoomeye를 통해 유사한 기기들을 검색한 결과, 그는 한국에 총 50대의 라우터들이 노출되어 있었으며 하드코딩 된 패스워드로 접근이 가능함을 발견했다.
연구원은 이 문제를 제조 업체에 제보했으며, D사 측은 해당 제품의 생산을 중단했다고 밝히며 이미 패치가 준비 되었다고 밝혔다. 이 연구원은 exploit-db에 익스플로잇 코드를 게시했다.
연구원은 많은 IoT 제조 업체들이 패스워드를 HTML 소스에 저장하는 등 기본적인 보안 규칙을 지키지 않고 있어 주의가 필요하다고 밝혔다. [정보. 이스크시큐리티]
★정보보안 대표 미디어 데일리시큐!★
■ 보안 사건사고 제보 하기
★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★
저작권자 © 데일리시큐 무단전재 및 재배포 금지