12、UPnP协议安全漏洞与攻击实践

UPnP协议安全漏洞与攻击实践

1. UPnP协议概述

UPnP（Universal Plug and Play）协议旨在实现设备之间的自动发现和交互。在设备发现方面，有主动和被动两种方式。使用被动发现方法时，支持UPnP的设备会定期向组播地址239.255.255.250的UDP端口1900发送NOTIFY消息，宣告其服务，示例消息如下：

NOTIFY * HTTP/1.1\r\n
HOST: 239.255.255.250:1900\r\n
CACHE-CONTROL: max-age=60\r\n
LOCATION: http://192.168.10.254:5000/rootDesc.xml\r\n
SERVER: OpenWRT/18.06 - SNAPSHOT UPnP/1.1 MiniUPnPd/2.1\r\n
NT: urn:schemas-upnp-org:service:WANIPConnection:2\r\n

网络中的参与者可监听这些发现消息并发送描述查询消息。在描述层，参与者能了解设备的更多信息、功能以及交互方式。描述信息通常在响应消息或NOTIFY消息的LOCATION字段中引用，该字段指向一个描述XML文件，其中包含控制和事件阶段使用的URL。

控制层是UPnP协议中较为重要的一层，客户端可使用描述文件中的URL，通过简单对象访问协议（SOAP）向UPnP设备发送命令。设备会向描述文件中 <service> 标签内描述的controlURL端点发送SOAP请求， <service> 标签示例如下：