SIP设备可能会成为对关键系统远程攻击的不安的访问点
可以滥用SIP通信协议执行跨站脚本（XSS）攻击，新的研究揭示了
在一个博客文章on Thursday (June 10), Enable Security’s Juxhin Dyrmishi Brigjaj said that the Session Initiation Protocol (SIP), the technology used to manage communication across services including Voice over IP (VoIP), audio, and instant messaging, can be used as a conduit to perform app-based assaults on software.
这包括XSS攻击，其中用户的浏览器会话可能被损害，旨在避免的同性策略，并且可以举行包括盗窃，网络钓鱼或恶意软件的部署的目的的用户模拟。
XSS入口点
Dyrmishi Brigjaj说，在最坏的情况下，这可能导致“关键系统的未经认真的远程妥协”。
研究人员探索了这种情况voipmonitor.，系统管理员使用的开源网络包嗅探器用于根据各种网络参数分析VoIP调用的质量。
在令人反感的安全审计期间，软件的图形用户界面（GUI）中发现了一种漏洞。
有关的狂野中的XSS：JavaScript毛绒订单用于损害日本电子商务网站
其中一个特征是监视SIP设备寄存器请求。监控系统包括通过A发送SIP寄存器消息的设备类型用户代理标题值。
此值在用户的Web浏览器的DOM中呈现。beplay体育能用吗在歹徒手中，这可能导致执行恶意代码。
“在面临的脸上，这似乎似乎不是很多，在真实世界中，我将使用一些不那么明显的东西，依靠一些金丝雀令牌或回调，”研究人员说明。
“但是，请记住，此代码在管理员的浏览器中执行，并在那里存储一段时间。”
临时代码执行
Brigjaj表示，在短暂的机会窗口期间代码执行可能导致特权升级和完整的永久管理访问。这将通过在系统中存储进一步的JavaScript有效载荷来创建管理员帐户来完成。
这漏洞因此，可能导致包括数据和流量的exfiltration的后果，其他管理员帐户的劫持以及部署恶意软件，如键盘，后门等。
Enable Security将其调查结果报告给2月10日的VoipMonitor，并于2月2日通过包含新的XSS保护机制，项目开发商解决了安全问题。
建议voipmonitor用户更新到最新版本，v.24.71。
启用安全性测试了修补程序并确认已删除此大道到XSS攻击。
每日SWbeplay2018官网IG.已达到VoipMonitor项目维护者，我们将在我们听到的时候更新这个故事。
