search

dkrivoruchko / ScreenStream

ScreenStream Android App
https://screenstream.io
MIT License
1.56k stars 320 forks source link

Уязвимость PIN кода #163

Closed OmlineEditor closed 3 years ago

OmlineEditor commented 3 years ago

1) При использовании PIN кода программа не блокирует IP если не верно вводить PIN код много раз. Я могу вводить код 100 раз и подобрать пароль с 101 раза. Брутфорс возможет на ура.

Прошу добавить возможность блокирования IP адреса целиком если ввели 3 раза неверный PIN код. В браузере показявается что его IP заблокирован, а на телефоне что заблокирован такой-то IP. После пеерзагрузки программы блокировка снимается. Еще можно было бы добавить возможность добавлять разрешенные IP по маске: 192.168.1.*

2) нет защиты от проверки ввел ли пользователь верный PIN код перед началом трансляции экрана. Я могу перехватить трафик и понять что передача происходит по адресу: http://192.168.1.2:8080/6ymsdxs.mjpeg потом не вводя PIN код могу сразу получить доступ к трансляции экрана.

Прошу добавить проверку IP пользователя на предмет ввода верного PIN кода перед началом трансляции.

3) Можно ли увеличить длину PIN кода до 5 символов?

dkrivoruchko commented 3 years ago

To block specific client it's ip and port required. Currently there is no way to get client port in Ktor CIO server. https://youtrack.jetbrains.com/issue/KTOR-430

OmlineEditor commented 3 years ago

To block specific client it's ip and port required. Currently there is no way to get client port in Ktor CIO server. https://youtrack.jetbrains.com/issue/KTOR-430

Вы знаете только IP без порта? тогда блокируйте не верные обращения целиком с этого IP если с него было 3 не верных обращения. Вам не нужен порт если есть IP.