近年来，遭到揭露的物联网（IoT）设备弱点，可谓是不断浮现。然而，没有修补就继续使用，便可能开启了骇客取得装置控制权的方便大门。根据物联网资安公司青天科技（NewSky△Security）研究总监Ankit△Anubhav在推特上的贴文，文中指出，从能够找寻物联网装置的搜寻引擎ZoomEye上，Ankit发现储存了数万台旧型大华（Dahua）数位监控录影机（DVR）的管理员密码，意味着骇客只要通过上述的搜寻引擎，就能得到控管这些监视设备的管理权限。
Ankit指出，这个大华数位监控录影机设备的漏洞，其实早在2013年就被发现，并列为CVE-2013-6117。有心人士只要传送特定的封包，以TCP协议存取数位监控录影机的37777埠，就能得到设备以明文暂存的系统资讯，以及管理者密码等内容。然而，现在骇客根本不需连线到监控设备，只要利用ZoomEye搜寻引擎，就能得到管理者密码，进一步控制。
物联网资安公司青天科技（NewSky△Security）研究总监Ankit△Anubhav在推特贴文上，表示他发现要骇入IoT装置门槛更低，根本不需要连线到大华的（数位监控录影机）装置，就能取得存取控管的授权。
依据制作IoT恶意软件BrickerBot作者Janitor的说法，至少有3万台大华的数位监控录影机仍含有上述漏洞，骇客能以前述的搜寻引擎，取得这些设备的管理员密码。Ankit指出，当时漏洞遭到揭露时，虽然大华已经提供修补的韧体，避免这些监控录影机以明文显示管理者的密码，但是许多用户更新失败，因此，这些数位监控设备仍旧延用含有上述漏洞的旧版韧体，并使用至今。
在今年3月BrickerBot作者Janitor在一篇DeepPaste网站上的贴文中，讲述IoT装置的预设密码，其中便提到了能通过ZoomEye搜寻引擎取得大华数位监控录影机密码的方法。Ankit指出，他便是借此得知上述手法。
外媒Bleeping△Computer也向ZoomEye搜寻引擎厂商进一步了解，该厂商认为，光是移除他们索引到的密码，并不能解决装置本身暴露密码的问题，因此他们也没有计划在搜寻引擎上屏蔽这些资料。
此外，这些大华设备用户建立的密码，也不少是容易被猜到的字串。我们实际在ZoomEye搜寻引擎中搜索，像是采用极为简单的密码字串admin，就有19,272台设备，使用123456的也有15,641台。
我们在ZoomEye搜寻引擎上，找寻使用123456做为密码的大华数位监控录影机装置，结果多达15,641台的用户，采用了这个字串做为密码。
I 相关 / Other
美国新墨西哥州发生牵涉四车的交通意外，造成3死22人受伤。事发在25号州际公路，车祸涉及一辆巴士、两辆货车及一辆私家车，巴士翻侧，救援人员要用机器割开车身，救出被困乘客。
Ubuntu存在一个漏洞，让任何可以实际操作电脑的人，都能绕过锁定荧幕，输入任意密码登入系统。使用者只要让电脑进入待命模式（Suspend△Mode），移除硬盘后再次唤醒系统，便能输入任何密码登入系统，存取前一位使用者
iOS 11.4.1 新增 USB 限制模式 警方破解密码难度提高 | 香港 UNWIRE.HK 玩生活．乐科技
Apple 最近把 iOS 系统升级至?iOS 11.4.1，其中一个重点更新是加入 USB 限制模式 ( USB restriction mode )。这项新功能的目的是防止私人公司和执法部门，利用 USB 连接 iPhone 的 Lightning 插口，以破解手机密码，
不怕忘记密码！Apple 新广告力谷 Face ID | 香港 UNWIRE.HK 玩生活．乐科技
Apple 在推广 Face ID 面容辨析技术可谓不遗余力，今年 3 月中向年轻用户入手，制作一个以高中女生为主角的宣传广告，之后又在 Apple Pay 广告内加入 Face ID 轻易认证身份的环节。日前 Apple 再以幽默的手法，在全新
Gentoo公开说明GitHub帐号被骇事件，原来是管理员密码被猜到惹的祸
Gentoo△Linux官方发文说明了GitHub帐号被骇事件。6月28日骇客取得Gentoo△Linux在GitHub上的管理员帐户控制权，在删除其他Gentoo开发人员的存取权限后，对上面的程式码内容大改特改，Gentoo在察觉到事件发生后，紧急