【应急响应】记RTSP弱口令引发的数据跨境安全事件排查

阅读须知

本公众号文章皆为网上公开的漏洞，仅供日常学习使用，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。

朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把剁椒Muyou鱼头“设为星标”，否则可能就看不到了啦！

2025/06/06 星期五

晴·西风3级

//01 前言

    最近整理了协助处理多起网络安全应急事件，涉及WEB漏洞攻击、服务弱口令、僵尸蠕虫木马病毒、银狐病毒以及因各种原因造成的数据跨境传输等安全事件。在这些安全事件中有一个第一次接触的安全事件，模糊一下来说就是某品牌NVR服务器被境外组织控制，导致摄像头视频数据流量出境。起初我以为就是一个简单的某摄像WEB平台存在弱口令导致的，但是通过空间测绘平台收集出现问题的IP地址端口信息，发现没有WEB管理平台，只有554、8000、20002三个端口，由此开始了关于这三个端口的分析之旅。

//02 RTSP协议

RTSP（Real Time Streaming Protocol，实时流协议）是 TCP/IP 协议体系中的一个应用层协议，该协议定义了一对多应用程序如何有效地通过 IP 网络传送多媒体数据。RTSP在体系结构上位于RTP和RTCP之上，它使用TCP或UDP完成数据传输。HTTP与RTSP相比，HTTP传送HTML，而RTSP传送的是多媒体数据。

//03 RTSP协议在视频监控中的应用

RTSP（Real Time Streaming Protocol）在视频监控系统中扮演着核心控制角色，主要用于实时视频流的传输与管理。大多数网络摄像头（如海康威视、大华、Axis等）支持RTSP协议，允许监控客户端（如NVR、VMS软件）通过RTSP拉取实时视频流。支持通过RTSP调取NVR或摄像头存储的录像文件。客户端可发送PAUSE暂停回放，或通过Range参数跳转到指定时间点。比较典型的应用就是通过RTSP将数千路摄像头视频汇聚到视频管理平台VMS，并且支持大屏拼接显示，实时调阅任意摄像头画面。在一个就是手机APP通过RTSP拉取低码率子码流，实现远程实时查看。

//04 RTSP协议如何引发安全事件

前面了解了RTSP协议相关的知识，现在回到一开始的安全事件，究其根本是因为RTSP协议的安全机制问题。很多偏老的设备依旧使用Basic Authentication（基本认证），客户端需提供用户名/密码，通过Authorization头传输，密码以Base64编码很容易被爆破攻击，且大多数情况下RTSP协议没有登录次数限制。

    所以攻击者完全可以通过暴力破解的方式进行对RTSP协议进行爆破，如果使用默认密码或者简单密码很容易被成功爆破。此次安全事件的发生也是因为运维人员为了方便设置了默认密码并且没有修改导致的。关于RTSP协议的爆破工具可以在微信公众号上搜索关键词“RTSP协议爆破”就可以看到一个大佬写的分析文章，里面附带了工具链接，为了不必要的麻烦，我这里就不放工具名称以及下载链接了。

    爆破成功后，因为没有WEB管理端，无法直接而登录，可以直接使用VLC播放器进行播放。但是我这次发生安全事件的IP，还存在一个前面所说的一个8000端口，这个端口是某品牌服务管理端口，可以下载相关客户端程序直接进行连接管理。

//05 结尾

    总结一下此次安全事件的发生，其实说白了还是弱口令引起的，只不过换了一种协议而已。攻击者通过RTSP协议进行爆破获取到正确的用户名密码，使用其他方式将视频流传输或者查看，因为总有一些奇奇怪怪的喜欢偷看别人摄像画面。此次安全事件其实本质上来说和厂商没有任何关系，自己图省事设置个弱口令，导致出现了问题。至于最后到底是谁的问题我也不知道，打包报告写明原因提交反馈，收工下班。

END