即插即用和Flash可被用来安全路由器

即插即用和Flash可被用来安全路由器    安全研究人员发布的代码表明了二种被广泛应用的技术是如何被滥用来控制用户的上网体验的.

    艾德里安和佩特科夫上周末发布的代码利用了二种技术:UPnP(通用即插即用)协议、Adobe Systems的Flash多媒体软件.

    通过诱骗用户浏览恶意的Flash文件,安全能够修改被路由器使用的主DNS服务器,这将使安全在不知不觉间将用户引导到虚假的网站上.

    例如,即使在浏览器的地址栏中输入花旗银行的网址,路由器受到安全用户会被诱导访问安全的Web服务器.这二名研究人员说,恶意行为中最可恶的是修改DNS服务器,这将使路由器以及它控制的网络成为一个僵尸网络.

    由于许多的路由器都支持UPnP协议,艾德里安和佩特科夫认为99%的家用路由器都会受到这种安全.事实上,打印机、数字娱乐系统、数码相机等支持UPnP协议的其它设备也可能存在受到安全的危险.

    这一安全尤其令人不安,因为它是跨平台的——任何支持Flash的操作系统都可能受到安全,更因为它利用了UPnP和Flash的特性,Adobe或路由器厂商无法轻松地修正这一问题.

    用户可以通过关闭路由器上的UPnP支持来避免受到安全,但这会引起多种流行的应用——例如即时通讯软件、游戏、Skype,不能正常运行,或要求对路由器进行手动配置.

    据研究人员阿维夫称,Adobe可以修改Flash,以减轻这一问题的严重程度.但是,安全还可以利用被称为“DNS pinning”的另一种技术发动这种安全.他在接受即时通讯采访时说,这是一个严重的问题.用户应当关闭设备中的UPnP,厂商应当使产品中的UPnP功能在缺省状态是关闭的.尽管对于没有技术背景的用户来说可能有些难,但这是值得的.