过时硬件如何带来新的安全风险

# 过时科技？旧硬件如何造成新的安全风险

在今天快速变化的数字环境中，许多组织和个人仍依赖旧硬件进行关键操作。尽管使用遗留系统看似具有成本效益或便利，但它带来了严重的安全风险，这些风险常常被低估。这篇长篇技术博客将探讨旧硬件如何对您的网络安全姿态引入新威胁——包括硬件后门、默认凭据、无法修补的漏洞以及现实世界的攻击技术。我们还将提供实用的扫描命令和代码示例，用于检测环境中的风险硬件，使其对初学者和高级用户都有用。

---

## 目录

- [介绍：为何旧硬件是安全负担](#介绍-为何旧硬件是安全负担)
- [硬件后门：隐藏的威胁](#硬件后门-隐藏的威胁)
    - [什么是硬件后门？](#什么是硬件后门)
    - [臭名昭著的例子](#臭名昭著的例子)
    - [现代处理器和远程访问](#现代处理器和远程访问)
    - [概念验证：Rakshasa](#概念验证-rakshasa)
- [默认凭据和固件弱点](#默认凭据和固件弱点)
    - [不可更改和硬编码的密码](#不可更改和硬编码的密码)
    - [遗留设备中的固件不安全](#遗留设备中的固件不安全)
- [无法修补的漏洞](#无法修补的漏洞)
    - [不支持的硬件和安全忽视](#不支持的硬件和安全忽视)
    - [例子：Meltdown, Spectre 和更远](#例子-meltdown-spectre-和更远)
- [现实世界中的攻击和高调攻击](#现实世界中的攻击和高调攻击)
- [扫描过时硬件：实用指南](#扫描过时硬件-实用指南)
    - [命令行工具](#命令行工具)
    - [用 Bash 和 Python 解析和自动检测](#用-bash-和-python-解析和自动检测)
- [减轻过时硬件带来的风险](#减轻过时硬件带来的风险)
- [结论](#结论)
- [参考](#参考)

---

## 介绍：为何旧硬件是安全负担

组织通常继续使用超过预期使用寿命的遗留服务器、路由器、台式机、嵌入式设备或消费电子产品。理由包括“如果没有坏，就不用修”的心态、预算限制或与旧软件兼容的需求。

然而，旧硬件成为**安全负担**由于：

- 对已发现漏洞缺乏更新或补丁
- 没有供应商支持的寿命终止(EOL)组件
- 固件和硬件设计缺陷
- 默认或硬编码凭据
- 与现代安全协议的不兼容性

旧硬件的架构、固件和嵌入式安全性很少能与今天的攻击环境相匹配。这使得威胁行为者能够以传统软件安全防御无法检测到的方式利用漏洞。

---

## 硬件后门：隐藏的威胁

### 什么是硬件后门？

**硬件后门**是一种设备物理设计中的有意或意外缺陷，允许绕过安全机制。与基于软件的恶意软件不同，硬件后门可以在制造阶段、供应链或固件阶段插入，极难检测或修复，除非更换物理组件。

后门可能存在于：

- CPU
- 系统 BIOS 或 UEFI 固件
- 网络卡和控制器
- 嵌入式控制器和物联网芯片

#### **为什么硬件后门危险？**

- 它们在任何已安装软件（包括操作系统和虚拟机管理程序）之下操作。
- 杀毒软件，EDR 和大多数安全工具无法看到或移除它们。
- 攻击者可以在格式化或操作系统重新安装后仍然存在。
- 它们可以随时窃取数据、远程控制硬件或破坏设备。

### 臭名昭著的例子

#### **Rakshasa BIOS 后门**

安全研究员 Jonathan Brossard 展示了一个基于硬件的后门（Rakshasa），该后门更换系统 BIOS/UEFI 为受损固件，实现隐秘持久性。安装后，恶意软件可以：

- 在操作系统清除/重新安装后继续存在
- 即使在固件升级或重新刷写后恢复自我
- 携带 rootkits、数据窃取工具，甚至故意破坏系统

#### **Supermicro 主板间谍芯片**

2018 年，彭博社报道称，中国供应链篡改据称在 Supermicro 主板中插入恶意芯片，可能启用远程后门访问。尽管仍有争议，但这些揭露显示全球供应链风险。

---

### 现代处理器和远程访问

今天，来自 Intel 和 AMD 的顶级 CPU 集成了低级管理引擎，如 Intel Management Engine (IME) 和 AMD Platform Security Processor (PSP)：

- **IME/AMD PSP**：嵌入在硅中的微控制器，旨在即使设备"关机"时也可用于系统管理。
- 这些控制器运行专有固件，用户几乎无法控制。
- 如果遭到入侵（或故意植入后门），它们能实现远程管理、不可检测的 rootkit 安装，甚至“远程关闭开关”。

**正如 [r/privacy subreddit](https://www.reddit.com/r/privacy/comments/1w5u9l8/cpu_hardware_backdoors/) 中所讨论的：**

> 现代 Intel 和 AMD 处理器允许通过硬件进行远程访问，并具有允许远程关闭开关的最深级别权限...

#### **影响：**

- 拥有未公开访问权限的攻击者或流氓行为者可以绕过所有操作系统强制执行的安全控制。
- 没有可靠的方式让终端用户独立审计或完全禁用这些组件。

---

### 概念验证：Rakshasa

Brossard 提出的 Rakshasa 以以下特性著称：

- **可移植**：可安装在大多数支持可重写 BIOS/UEFI 的主板上。
- **无法被典型 AV/端点安全工具检测到**。
- **持久性**：通过战略性位置和固件级感染，能在固件更新中存活。

**技术概要来自 [Hacker News 文章](https://thehackernews.com/2012/08/researcher-demonstrate-hardware-based.html)：**

> "……后门允许攻击者随时远程访问受感染的系统，甚至在系统彻底清除后重新安装恶意软件。"

#### 更多详情请咨询：
[Jonathan Brossard 的 Rakshasa BIOS 后门 - 演示幻灯片](https://archive.defcon.org/html/defcon-20/dc-20-speakers.html#Brossard)

---

## 默认凭据和固件弱点

### 不可更改和硬编码的密码

遗留硬件（路由器、打印机、摄像机、物联网和工业设备）通常附带：

- 工厂设置的管理帐户和默认密码（“admin/admin”，“root/root”）
- 硬件中固化的密码，用户无法更改
- 从制造/测试期间遗留的后门/测试帐户

**攻击者频繁扫描这些暴露的设备**。如 [Shodan](https://www.shodan.io/) 这样的搜索引擎可以找到开放 telnet/SSH/http 管理端口的连接设备，任何人都能使用默认凭据登录并获得控制权。

#### **现实世界事件：**

- **Mirai 物联网僵尸网络（2016）**：利用 IP 摄像机和路由器中的默认凭据创建大规模 DDoS 网络，影响 Twitter、Reddit 和 Paypal 等互联网巨头。
- **工业控制系统（ICS）**：互联网暴露的公用事业和水处理厂被发现可以用默认硬编码凭据控制。

### 遗留设备中的固件不安全

固件通常：

- 文档不全
- 基于过时的操作系统（如 Linux 2.4、VxWorks、“古老”RTOS）
- 多年来未打补丁（如果打过的话）
- 设计中未采用现代加密协议

旧固件中的漏洞可以让攻击者轻松掌控全部设备，而供应商通常缺乏这些设备的升级路径。

---

## 无法修补的漏洞

### 不支持的硬件和安全忽视

当硬件达到“寿命终止”时，供应商停止支持：

- 即使是关键漏洞也不再发布固件补丁
- 安全漏洞变成“永久性漏洞”，服务中的每个设备都暴露于风险之下

攻击者可以开发公开漏洞（无处可藏），因为设备无法修复。

### 例子：Meltdown, Spectre 和更远

2018 年披露的 **Meltdown 和 Spectre** CPU 漏洞显示基础硬件设计如何引入普遍风险。这些漏洞允许攻击者：

- 从系统内读取敏感内存（Spectre）
- 绕过硬件隔离（Meltdown）

对一些芯片的补丁根本不可行，尤其是对于缺乏微码更新机制的旧处理器。旧设备仍然*永久可被攻击*。

**其他无法修补的缺陷：**

- 不具备推测执行攻击缓解措施的旧款 Intel CPU（2012 年之前）
- Wi-Fi 芯片组中的协议缺陷（例如，KRACK 漏洞）及无固件更新
- 没有补丁途径的旧 BMC/IPMI 控制器存在远程 root 漏洞

---

## 现实世界中的攻击和高调攻击

### 案例研究

1. **Mirai 物联网僵尸网络**：使用数千个旧物联网设备中的默认凭据。
2. **Stuxnet（2010）**：利用 Windows 和工业 PLC 硬件中的缺陷攻击核离心机。
3. **Shadow Brokers 漏洞（2017）**：泄露的 NSA 工具利用旧网络硬件中的遗留漏洞。
4. **TRITON 恶意软件（2017）**：针对工业安全控制器，利用旧的未修补漏洞禁用安全机制。

### 影响

- **数据盗窃**：攻击者可以通过不可检测的、持久的后门提取知识产权。
- **中断**：被破坏的硬件可以被远程禁用（“关闭开关”）。
- **声誉损害**：由于过时硬件引发的泄露常常导致法律和声誉损失。

---

## 扫描过时硬件：实用指南

### 命令行工具

#### **Linux 上的硬件枚举**

识别硬件并检查供应商、型号和固件版本：

```bash
sudo dmidecode | less

列出 PCI/USB 设备，包括网络控制器：

lspci
lsusb

枚举 CPU 支持并发现微码年龄：

cat /proc/cpuinfo
dmesg | grep microcode

查询当前 BIOS/UEFI 版本：

sudo dmidecode -t bios

网络设备检测

定位网络上可能具有默认凭据或过时固件的所有设备：

nmap -sV 192.168.1.0/24

扫描常见默认凭据端口（http/telnet/ssh）：

nmap -p 22,23,80,443,8080 192.168.1.0/24

固件版本检查（使用 `curl` 和 `wget`）：

curl -s http://<device-ip>/ | grep -i firmware

用 Bash 和 Python 解析和自动检测

收集 BIOS 版本和 CPU 信息的 Bash 脚本示例

#!/bin/bash
echo "收集 BIOS 信息..."
sudo dmidecode -t bios | grep -E 'Vendor|Version|Release Date'

echo "检测 CPU..."
cat /proc/cpuinfo | grep -E 'model name|flags' | uniq

Python 用于网络设备横幅解析

import nmap

nm = nmap.PortScanner()
nm.scan('192.168.1.0/24', arguments='-sV -p 22,23,80,443,8080')

for host in nm.all_hosts():
    print("Host : %s" % host)
    for proto in nm[host].all_protocols():
        print("Protocol : %s" % proto)
        ports = nm[host][proto].keys()
        for port in ports:
            service = nm[host][proto][port]['product']
            version = nm[host][proto][port]['version']
            print("Port : %s\tService: %s\tVersion: %s" % (port, service, version))

高级：使用 Hydra 识别默认凭据风险

在已识别的设备上，使用 hydra 检查默认凭据：

hydra -L users.txt -P passwords.txt <device-ip> http-get

警告： 仅用于您拥有或经授权测试的设备！

减轻过时硬件带来的风险

资产清单：保留所有设备、其硬件型号及固件/软件版本的精确列表。
供应商支持检查：定期验证哪些设备仍在支持和接收更新。
隔离遗留系统：将不支持的硬件置于单独的、防火墙隔离的网络段中，实行严格的访问控制。
更改默认密码：在任何设备上始终配置新的、强密码，或禁用未使用的服务。
更新/替换固件：如有可能，将固件更新到最新的安全版本。
物理安全：防止设备被物理篡改以降低硬件植入风险。
退役或更换：退役无法升级或修补的设备。
入侵监控：部署网络监控和日志关联以检测遗留硬件异常行为。

结论

正如我们所探讨的，旧硬件不仅是性能瓶颈——它还是一个安全火药桶。从硬件后门、默认凭据和无法修补的漏洞，到现代和遗留的攻击现实，过时设备在最深层次上破坏您的安全态势。利用这些弱点的攻击不再是理论上的；它们已经是重大战极和持久威胁的根源。

行动步骤：

定期扫描和清点硬件
升级或退役处于风险中的基础设施
向员工教育过时固件、默认凭据和供应链攻击的危险

通过主动管理，您可以最大限度减少过时技术带来的风险，并防御经典和现代硬件相关威胁。

参考

通过了解和解决过时硬件的安全风险，您不仅在保护您的基础设施——还在帮助保障更广泛的数字生态系统。

过时硬件如何带来新的安全风险

将您的网络安全职业提升到新的水平