網(wǎng)絡(luò)安全研究者最近發(fā)布了一款針對(duì)雄邁（Xiongmai）方案攝像頭的協(xié)議分析工具。這款用Lua編寫的Wireshark解析器，專門處理DVRIP/Sofia協(xié)議——一種在廉價(jià)安防設(shè)備中廣泛存在、但長(zhǎng)期缺乏公開技術(shù)文檔的私有通信協(xié)議。

工具的代碼已托管在DVRIP分析倉(cāng)庫(kù)。研究者同時(shí)在Besder 6024PB-XMA501攝像頭的安全調(diào)查報(bào)告中詳細(xì)記錄了測(cè)試過(guò)程，包括固件版本V5.00.R02.00030747.10010.349f17和XM530_50X50-WG_8M型號(hào)的具體表現(xiàn)。

安裝并不復(fù)雜。Linux用戶將dvripWireshark.lua復(fù)制到/usr/lib/wireshark/plugins/；Windows用戶則放入%APPDATA%\Wireshark\plugins目錄。重啟Wireshark后即可識(shí)別DVRIP/Sofia流量。

這款解析器的技術(shù)基礎(chǔ)值得一提。它參考了r4bit999針對(duì)大華攝像頭TCP/37777端口的同類工具，但針對(duì)雄邁方案做了大量重構(gòu)。雄邁設(shè)備的本地通信使用TCP/34567端口，云端通信則走TCP/6611——這是研究者觀察到的唯一差異。

協(xié)議結(jié)構(gòu)本身比想象中復(fù)雜。除主消息頭外，音視頻負(fù)載都有獨(dú)立的子頭部。所有媒體負(fù)載字段（除前4位類型標(biāo)識(shí)外）均采用小端序排列。研究者根據(jù)雄邁的位流幀格式文檔，重建了音頻頭、I幀頭、P幀頭和信息幀的解析邏輯。

幾個(gè)關(guān)鍵特征：I幀負(fù)載的第16-19位固定為0x00000001；P幀的第8-11位同樣如此；信息幀則在簽名位后緊跟1比特標(biāo)志。I幀與快照（FE）共享完全相同的頭部結(jié)構(gòu)，P幀則是I幀的擴(kuò)展格式。

工具還內(nèi)置了流重組功能。通過(guò)Tools菜單的"DVRIP Save Streams"選項(xiàng)，用戶可直接從pcap文件中提取音視頻流。輸出文件名遵循固定格式：攝像頭IP地址_保留位1_保留位2_音視頻類型.編碼格式，支持G.711音頻和H.265視頻。

對(duì)于需要審計(jì)廉價(jià)安防設(shè)備流量的安全人員，這款工具填補(bǔ)了長(zhǎng)期存在的分析空白。雄邁方案占據(jù)全球大量中低端攝像頭市場(chǎng)，但此前幾乎找不到公開的協(xié)議解析實(shí)現(xiàn)。