Возможные слабые места

Думаю, мы сразу начнем с места в карьер и обсудим возможные места, в которых могут скрываться слабости и уязвимости.

Как ты знаешь, помимо Wi-Fi-карточек, существует и множество других, более независимых устройств: видеокамеры с портом 802.11, точки доступа, беспроводные маршрутизаторы и умные пылесосы. Совершенно понятно, что оборудовать каждый такой девайс набором устройств, необходимым для удобной настройки и администрирования, очень дорого да и обычно неудобно. В самом деле, довольно глупая затея - присобачить к точке доступа ЖК-экран и клавиатуру. Так что большинство подобных устройств предоставляют удобный интерфейс для сетевого администрирования через http, а также SNMP. Действительно, интуитивно понятный web-интерфейс и красивый Wizard уже стали стандартом. Это, с одной стороны, плюс - удобно и дешево, а с другой - минус: редкой компании удается соблюсти все критерии информационной безопасности при проектировании таких интерфейсов. Все начинается с банальщины - со стандартных паролей к admin-зонам, ошибок в сценариях, багов в реализации SNMP, а заканчивается незащищенностью секретных данных. Нередко встречаются также более низкоуровневые ошибки - разнообразные переполнения при обработке сетевых пакетов, ошибки в работе DHCP и т.д. и т.п.

Практика позволяет познакомиться со всем этим и долго поддерживать знакомство, и порой не нужно прилагать никаких усилий, чтобы получить доступ к 802.11-устройству.

Доказательство - распространенность первой ошибки, о которой я расскажу.

Стандартные пароли

• Уязвимые устройства - все неадекватно настроенные. Чаще всего случается с девайсами D-Link - любимчиками домашних пользователей.
• Условия атаки - доступ к устройству через TCP/IP-сеть. Ты должен быть либо в одной кабельной сети, либо должен подключиться через Wi-Fi.
• Цель атаки - административный http-интерфейс.
• Описание.

Любое устройство с сетевым http-интерфейсом администрирования поставляется с минимальным набором предустановленных настроек, в том числе админские идентификаторы (логин/пароль). Некоторые пользователи по неизвестной мне причине на протяжении долгого времени не изменяют эти настройки, доверяясь стандартным заводским. Это свойственно, прежде всего, домашним пользователям, которые всерьез считают, что во всей окрестности их дома только они такие прогрессивные и их 802.11-сети ничего не угрожает. Но мы-то с тобой знаем, что это не так. Исторически сложилось так, что самые дешевые и доступные беспроводные устройства производит фирма D-Link. Если ты обнаружил такую точку доступа, считай, что тебе уже везет! А если у нее еще и стандартный SSID и отсутствует всякое шифрование, можешь смело радоваться. Я недавно столкнулся именно с таким случаем, когда просканировал окрестности своего жилища. Без проблем подключился к точке «», получил по DHCP сетевой адрес и сразу попробовал прителнетиться к 80-му порту точки доступа. Тут же выяснил, что там действительно висит некий web-сервер. Набрав в браузере http://192.168.1.1, я еще раз убедился, что передо мной роутер D-Link. Учитывая, что хозяева этого девайса не включили даже примитивного шифрования и не изменили SSID, я без раздумий ввел стандартную для D-LINK комбинацию "admin:admin" в форму аутентификации и получил доступ к админской панели. В итоге я стяжал доступ не только к халявному интернету, но и ко всему устройству: при определенном желании можно было даже увести логин/пароль от СТРИМ-аккаунта, не говоря уже о том, чтобы подменить DNS-серверы.

Чтобы попробовать этот прием в действии для устройств от других производителей, будет полезно ознакомиться со списком стандартных паролей сетевых устройств, который легко найти на www.phenoelit.de/dpl/dpl.html.

Ошибка управления через SNMP

• Уязвимые устройства - Orinoco Residential Gateway и Compaq WL310.
• Условия атаки - доступ к 192/UDP-порту.
• Цель атаки - доступ к SNMP.
• Описание.

SNMP - Simple Network Manager Protocol, простой протокол сетевого управления. Этот довольно старый протокол используется для удаленного управления сетевыми устройствами, в том числе беспроводным оборудованием. Беда в том, что и сам протокол обладает целым рядом недостатков, так еще и производители часто допускают нелепые ошибки. Тут уместно вспомнить ставшую уже крылатой фразу: "Если хотите безопасности при использовании SNMP, не используйте этот протокол". Не вдаваясь в подробности, расскажу, что указанные в заголовке точки доступа подвержены следующей атаке. Если атакующий пошлет на 192 UDP-порт пакет хитроумного содержания, уязвимая точка ответит на него цепочкой байт, среди которых будет содержаться идентификатор Community name, используемый в этой реализации SNMP для нехитрой аутентификации. Захват этого ключа, а вернее имени, позволит получить доступ к SNMP-интерфейсу устройства. Для реализации атаки необходимо передать пакет следующего содержания:

Злой пакет

"\x01\x00\x00\x00\x70\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"

"\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00"

Уязвимое устройство должно ответить такой вот цепочкой байт:

01 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................

00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................

00 00 00 00 00 60 1d 20 2e 38 00 00 18 19 10 f8 | .....`. .8......

4f 52 69 4e 4f 43 4f 20 52 47 2d 31 31 30 30 20 | ORiNOCO RG-1100

30 33 39 32 61 30 00 00 00 00 00 00 00 00 00 00 | 0392a0..........

02 8f 24 02 52 47 2d 31 31 30 30 20 56 33 2e 38 | ..$.RG-1100 V3.8

33 20 53 4e 2d 30 32 55 54 30 38 32 33 32 33 34 | 3 SN-02UT0823234

32 20 56 00 | 2 V.

Здесь параметр Community name, необходимый для дальнейшей аутентификации, равен 0392a0. Далее уже не составит особого труда написать несложный эксплойт для устройства, например на Perl. Для этого языка существует масса модулей, которые сделают работу с протоколом удобнее. За примером далеко ходить не нужно: Net::SNMP - идеальный вариант.

DoS и неавторизованный доступ

• Уязвимые устройства - Siemens SANTIS 50, Ericsson HN294dp, Dynalink RTA300W.
• Условия атаки - доступ к 280/TCP-порту.
• Цель атаки - DoS админского web-интерфейса, неавторизованный доступ к telnet CLI.
• Описание.

Удаленное администрирование указанных устройств реализуется при помощи web-интерфейса и обычного телнета. К сожалению, по умолчанию эти сервисы доступны только из кабельной сети, но нередко хозяева устройств активизируют возможность администрирования и через порт Wi-Fi.

Опытным путем было установлено, что, если посылать на 280/TCP-порт большое количество пакетов, девайс подвешивает web-интерфейс и позволяет подключиться к telnet CLI без аутентификации. В качестве примитивного эксплойта можно использовать даже известный сканер AMAP от THC:

$ amap 192.168.1.1 280

Если девайс уязвим, тебе удастся без аутентификации подключиться к телнету, получить управляющую информацию (используя команды, описанные в документации) и внести некоторые изменения в работу устройства.

Доступ к секретной информации через web

• Уязвимые устройства - 3Com ADSL 11g Wireless Router, 3Com OfficeConnect Wireless.
• Условия атаки - доступ к 80/TCP-порту.
• Цель атаки - доступ к чувствительной и управляющей информации.
• Описание.

Удивительно, но эти девайсы от 3COM страдают детским недочетом. Любой неавторизованный пользователь может получить в свои руки идентификаторы администратора, а также информацию о сети, в том числе используемые для шифрования ключи. Для получения доступа к этим данным достаточно обратиться через web-браузер к следующим адресам:

/main/config.bin

/main/profile.wlp?PN=ggg

/main/event.logs

Уязвимость format string

• Уязвимое устройство - 3COM OfficeConnect 812.
• Условия атаки - доступ к 80/TCP-порту.
• Цель атаки - реализация DoS-атаки через format string.
• Описание.

Как и положено, на 80-м порту устройства висит http-сервис, предоставляющий доступ к админскому интерфейсу. Если подключиться к устройству браузером, потребуется пройти аутентификацию, введя в web-форму логин и пароль. После неудачной проверки пароля устройство, помимо всего прочего, покажет тебе картинку c URL http://192.168.1.254/graphics/sml3com. Опытным путем было установлено, что, если обратиться браузером к http://192.168.1.254/graphics/sml3com%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%

s%s%s%s%s%s%s%s%s%%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s

%s%s%s%s%s%s%s, устройство помигает лампочками и свалится в даун на некоторое время. Также этот девайс позволяет напрямую перезапустить себя через сценарии http://192.168.1.254/adsl_pair_select и http://192.168.1.254/adsl_reset. Почему-то для доступа к этим страницам проходить аутентификацию не нужно. Полный список паролей, устанавливаемых по умолчанию для разнообразных устройств, можно найти по адресу www.phenoelit.de/dpl/dpl.html. Этот лист периодически обновляется и содержит самую актуальную информацию.

Eto'o

Спецвыпуск: Хакер, номер #059