在网络安全研究中，AV（Audio-Visual）基础设施往往是容易被忽视的攻击面。这类系统通常运行着专有协议，缺乏完善的安全更新机制，且管理员默认为其分配了高权限网络访问权限。本文以科罗拉多矿业学院的安全研究案例为基础，深入剖析从 DNS 枚举到 AV 设备批量控制的全流程攻击技术，为防御方提供可落地的加固方案。
DNS 协议层的信息收集策略
传统渗透测试的信息收集阶段往往依赖公开数据库和主动扫描，但在校园网或企业内网环境中，大量设备仅通过 DHCP 获取动态 IP 地址，且未注册公开域名。这种情况下，DNS 反而成为最可靠的情报来源 —— 大多数机构会在 DNS 中为设备分配规范化的主机名，如computer-precision-tower-5810.mines.edu这类可预测命名模式。
DNS 区域传输（Zone Transfer）是最直接的方式，但生产环境通常禁止此类操作。证书透明日志（Certificate Transparency）适用于面向互联网的 HTTPS 服务，但内网设备几乎不会申请 TLS 证书。因此，暴力枚举成为唯一可行方案。研究者 Edna 在 Python 原型验证后迁移至 Rust，利用tokio异步运行时处理 DNS 查询，结合进程级并行将扫描效率提升至理论值 50Gbps。实际操作中，单进程即可达到 200 MiBps 的 DNS 查询速度，配合多进程协调可覆盖整个/16网段。
关键实现细节在于：每个扫描进程并非逐个递增查询，而是通过偏移量（offset）分配查询范围。例如 16 进程并行时，进程 0 查询0, 16, 32...，进程 1 查询1, 17, 33...，最终实现完全覆盖。DNS-over-UDP 的实现需注意：查询发送与响应读取必须分离为独立的异步任务，且响应过滤逻辑（剔除 NXDOMAIN）应在读取端完成而非依赖事后 grep，否则会产生与扫描本身相当的 CPU 开销。
值得注意的是，大规模 DNS 扫描极易触发服务端速率限制。在本案例中，扫描触发了约 15 分钟的校园级 DNS 中断，导致所有托管计算机无法解析域名从而无法挂载网络驱动器。这一后果揭示了内网 DNS 基础设施的脆弱性 —— 它通常假设来自可信客户端的查询流量，而非恶意枚举。
AF_XDP 协议栈绕过技术
常规 TCP 端口扫描依赖操作系统网络栈，逐个建立连接并检测响应。这种方式在扫描/16网段（65536 个 IP）时 CPU 占用极高。AF_XDP（Address Family XDP）是 Linux 内核提供的高性能数据包接口，允许用户态程序直接与网卡驱动交互，绕过内核网络栈的完整处理流程。
AF_XDP 的工作机制涉及四个关键组件：Umem（用户态内存区域）、TX 队列（发送队列）、RX 队列（接收队列）和完成队列（Completion Queue）。用户态程序预先在 Umem 中分配内存缓冲区，构造数据包时将内容写入这些缓冲区，并提交帧描述符（Frame Descriptors）到 TX 队列。网卡驱动处理完发送后，将帧描述符返回到完成队列，程序即可复用缓冲区进行下一轮发送。
相比传统 socket 编程，AF_XDP 的优势在于极低的上下文切换开销和内存复制开销。测试数据表明，单核心即可达到 30 万端口 / 秒的扫描速度，且带宽占用显著低于连接建立式扫描。更重要的是，AF_XDP 支持水平扫描模式 —— 对目标网络中的所有主机扫描同一端口后再切换到下一端口，这种分布化策略降低了单台主机的并发连接压力，更不易触发 IDS 告警。
然而，AF_XDP 并非万能药。它要求目标网卡支持相关驱动，且配置复杂度较高。Convoy 项目（Edna 编写的扫描器）的实现中，最复杂的部分在于协调 Umem、TX 队列与完成队列的时序 —— 必须确保在 Umem 耗尽前及时回收已完成的帧描述符，否则将导致发送停滞。
AV 控制协议的逆向与利用
端口扫描的真正价值在于发现暴露的服务。在本案例中，扫描揭示了多个关键发现：36 台可控制的摄像机，以及覆盖几乎整个校园的投影仪与屏幕控制系统。
摄像机控制界面通过 Web API 暴露，登录页面赫然显示 "请勿使用默认密码" 的提示 —— 这本身就是一个强烈的安全红旗。经逆向分析，该 API 采用简化的认证机制，允许未授权用户访问 PTZ（云台 - 变焦 - 镜头）控制端点。研究者编写了一个 Bash 脚本循环调用这些 API 端点，成功实现了 36 台摄像机的同步控制，画面效果如同 "一群小猫在齐步走"。
投影仪控制接口位于专用端口（具体端口号未公开披露），提供完整的输入源切换、屏幕伸缩控制功能。这些接口通常由中控系统（如 AMX、Crestron）调用，设计时假设位于受保护的管理网络。然而校园网络配置错误将该网段对普通学生网段开放，形成严重的信息泄露。
更令人担忧的是实时视频流。研究者尝试通过 RTSP 和 RTMP 协议连接摄像机视频源，虽然未成功获取画面，但推测失败原因是 Palo Alto 防火墙的深度包检测规则拦截了相关流量。这意味着若攻击者能够绕过或禁用这些检测机制，完全可以持续窃取监控画面。
关键参数配置与防御建议
针对 AV 基础设施的特殊性，以下是经过验证的加固参数：
网络隔离策略：将 AV 设备部署于独立 VLAN，与常规办公网络彻底分离。VLAN 间访问控制列表应明确拒绝所有非必要协议，包括 HTTP/HTTPS 管理接口的跨网段访问。推荐采用物理隔离或专用防火墙进行边界防护。
默认凭证清理：所有 AV 设备首次上线前必须修改默认管理员密码。建议部署密码管理解决方案，确保每台设备使用唯一、复杂的随机密码。部分设备支持 LDAP/RADIUS 集成认证，应优先采用集中认证方式。
协议层加固：禁用 Telnet、HTTP 等明文协议，统一使用 HTTPS 和 SSH。对于必须暴露的 API 接口，启用双向 TLS 客户端证书认证，并配置 IP 白名单限制访问来源。
监控与告警阈值：在内网核心交换机部署 NetFlow/sFlow 采集，监控异常的端口扫描行为。对于同一源 IP 在 1 分钟内发起超过 1000 次 TCP 连接尝试的情况，自动触发告警并临时封禁源 IP。
固件更新机制：建立 AV 设备固件版本台账，关注厂商安全公告。建议将固件更新纳入季度安全维护流程，优先处理已知远程代码执行漏洞。
该案例的核心教训在于：AV 基础设施虽是 "哑设备"（Dumb Device），但其承载的网络接口和控制协议绝不哑。默认配置、不安全协议和网络架构缺陷共同构成了可利用的攻击面。在 Red Team 演练中，这类设备往往是突破内网的理想跳板；在防御侧，对其实施与 IT 设备同等级别的安全管控同样不可忽视。
资料来源：Edna's Blog - Gaining control of every projector and camera on campus
内容声明：本文无广告投放、无付费植入。
如有事实性问题，欢迎发送勘误至 i@hotdrydog.com。