27. 침해대응&CERT (5) : Shodan을 통한 취약 • 노출정보 검색

이 Shodan이라는 검색엔진은 취약점 진단, CERT, 침해대응 관련 업무를 수행할 때,
같이 확인하기 때문에 업무 범위에 포함이 되어있다고 볼 수 있다.
 
구글링을 통해서도 노출되어 있는 웹페이지에 관련된 내용들을 찾아볼 수 있지만,
Shodan을 통해서도 관련 내용들을 검색할 수 있다는 점을 알아두자.
 
이번 글에서는 Shodan 키워드를 통한 Shodan의 이용 범위(검색할 수 있는 IoT 기기들)
및 기기에 따른 특징을 알아보고 실습을 진행해 볼 것이다.
 
 

---

 
 
검색할 수 있는 대표적인 IoT 기기로는
CCTV, WebCam, IP Cam, Network Printer, 산업제어시스템 등이 있다.
 
직전 글에서 네트워크 프린터와 산업제어시스템을 간략하게 다루었으므로,
세 가지 기기들의 특징을 먼저 알아볼 것이다.
 
용도와 설치 위치
- CCTV : 주로 보안 목적으로 사용되며, 큰 시설이나 공공장소 등에서 사용된다.
설치된 장소에서 실시간으로 모니터링하거나 녹화를 수행한다.

- IP Cam : 네트워크에 연결되어 있어, 인터넷을 통해 원격으로 접근할 수 있다.
주로 가정이나 소규모 사업체 등에서 사용된다.

최근 들어, IP 카메라는 CCTV 시스템의 현대적인 대안으로 자리 잡고 있으며, 
보다 편리하고 유연한 감시 솔루션을 제공한다.

- WebCam : 주로 개인 컴퓨터에 직접 연결하여 사용되며, 비디오 통화나 온라인 활동 중에 활용된다.

보안 측면
- CCTV : 보통 비디오 시그널을 단순히 유선 전송하므로, 온라인 공격에 취약하지 않다. 
하지만, 최신 CCTV 시스템은 IP 카메라와 유사한 네트워크 기능을 갖추고 있을 수 있다.

- IP Cam : 인터넷에 연결되어 있어, 보안 설정이 취약하게 되면 공격의 위험에 노출될 수 있다. 

- WebCam : USB 연결(자체 IP주소 x) 또는 Wi-Fi 연결(주로 네트워크 의존) 방식이 존재하여, 
IP Cam과 유사하게 보안 설정에 따라 공격에 취약할 수 있다.
 
 

---

 
 
Shodan 실습 - CCTV
 
 
200 ok dvr port:"81”
HTTP를 통해 접근 가능한 DVR CCTV를 검색한다.

아래와 같이 로그인 창에 쉽게 접근할 수 있는 것을 확인할 수 있고, 만약 기본 설정이 변경되지 않았다면, 
KBVISION 업체의 디폴트 아이디 및 비밀번호를 사용하여 접근할 수 있을 것이다.

 
 

---

 
 
Shodan 실습 - IP Cam
 
 
title:”IPCam Client”
IPCam 클라이언트 웹캠 디바이스를 검색한다.

만약 기본 설정이 변경되지 않았다면, 
FOSCAM 업체의 디폴트 아이디 및 비밀번호를 사용하여 접근할 수 있을 것이다.

 
 

---

 
 
Shodan 실습 - WebCam
 
 
webcam has_screenshot:true
스크린샷을 사용할 수 있는 웹캠으로 식별된 IoT기기를 검색한다.

IP Webcam has_screenshot:true
IP 웹캠으로 범위를 좁힌다.

아래와 같은 웹캠의 여러 설정을 원격으로 조정할 수 있는
웹 페이지에 쉽게 접근할 수 있는 것을 확인할 수 있다.

 
 

---

 
 
Shodan 실습 - Network Printer
 
 
"HP-ChaiSOE" port:"80”
HTTP를 통해 접근 가능한 HP LaserJet 프린터를 검색한다.

아래와 같이 프린터 하나로 여러 정보를 탐색할 수 있는 것을 볼 수 있다.

 
 
ssl:"Xerox Generic Root”
SSL 인증서의 발급자가 "Xerox Generic Root”인 장치(제록스 복사기/프린터)를 검색한다

 
 
"Server: EPSON-HTTP" "200 OK”,
"SERVER: EPSON_Linux UPnP" "200 OK”, http 200 server epson -upnp
EPSON의 네트워크 장비들 중에서 HTTP 서비스를 통해 200 OK 응답을 반환하는 장비들을 검색한다

 
 
"Server: KS_HTTP" "200 OK", ”Server: CANON HTTP Server"
HTTP 연결을 통한 CANON 프린터 서버를 검색한다.

 
 

---

 
 
Shodan 실습 – 산업제어시스템
 
 
"Server: CarelDataServer" "200 Document follows”
CAREL PlantVisor 냉장 장치를 검색한다.

 

http.title:"Nordex Control" "Windows 2000 5.0 x86" "Jetty/3.1 (JSP 1.1; Servlet 2.2; java 1.6.0_14)”
Nordex 풍력 터빈 농장 제어 장치를 검색한다.


"Server: Microsoft-WinCE" "Content-Length: 12581”
Siemens HVAC 제어 장치를 검색한다.

 

 
 

---

 
 
Shodan 실습 - 홈 기기
 
 
"Server: AV_Receiver" "HTTP/1.1 406”
Yamaha 스테레오 장치를 검색한다.

title:"OctoPrint" -title:"Login" http.favicon.hash:1307375944
OctoPrint 3D프린터 컨트롤러를 검색한다.

---


다음 글부터는 구글링을 통한 웹 취약점에 대해 조사를 진행할 예정이다.