浅谈路由器漏洞挖掘(科普文)

想在国内找一些路由渗透的纪实,但还是木有什么结果,就是今晚给国内某路由厂商提交一些漏洞时,还被人家鄙视了,哎。什么狗屁心态。不管了,留给我未来的 儿子玩吧。说不定可以搞出什么东西。呵呵,扯远了,今晚就结合国外的一些科普文做一些讲解吧。大牛别喷我,我也只是自己写写笔记意淫意淫….别喷!

++++++我是淫荡的分割线++++++++

一,为什么要定义单独的路由安全?

(1)对于渗透湿而言:

如今,更多的渗透湿都是重在于web层的渗透,总是通过各种大杀器拿下内网机器权限,然后各种嗅探,但半天才发现,坑!内网划分了vlan 。(tip:VLAN(Virtual Local Area Network)的中文名为”虚拟局域网”。VLAN是一种将局域网设备从逻辑上划分成一个个网段,从而实现虚拟工作组的新兴数据交换技术。这一新兴技术 主要应用于交换机和路由器中,但主流应用还是在交换机之中。)对于到这一层,很多人都是放弃了,或者去换了别的奇技淫巧,更是APT.但往往我们的收获却 是很少很少,对于那些白帽做内网的授权渗透时,web服务器的数量更是越来越少,但由于公司对员工的管理以及安全部署,更是划分了各种vlan保护数据的 安全和员工的限制。有些对数据敏感的公司,为了防止来公司参观的领导和游客分别划分了wifi 的vlan,这是为什么?原来越多渠道通过wifi和路由安全这个平台向内网的数据伸手,由wifi到核心数据盗取的案例已经很多了,手法都是差不多的, 你懂的。

(2)对于管理员而言:

路由器和交换机,还有硬防只是个用来联网的设备,而这些也往往是问题的所在,如今的管理员更多投入在服务器的安全上,网站打开慢?mysql发包 数没设置好吧!有时开的有时卡?论坛插件太臃肿了吧!甚至是监控平台,都仅仅是写系统的性能状况。。却没关注路由的安全。你会说,靠,黄昏,扯了半天,你 还是没把我的站日下….我给我自己划了个vlan,vps用了某某宝加速,还用某某狗看门,看你怎么进,跟你说喔,上周某某宝还举行比赛,然后添加了很多 规则,我看你怎么绕。。。      看到这里,我也顿时语塞,难度好大…..

换一种方法,找到另一个vlan,没狗狗,没宝宝的,然后提权……通过命令识别路由类型和型号,最后在网上找到路由漏洞的exp,拿到路由权限…(ps:这里环境很多,有三层交换机的,还有注意其中的树协议 )

然后就是限速啦~!这里就是h3c的限速规则

# 配置ACL规则匹配源IP为10.0.0.2的流量

 

# 配置ACL规则匹配目的IP为10.0.0.20的流量

 

# 配置流分类,匹配ACL规则3001,即匹配源IP为10.0.0.20的流量

 

# 配置流分类,匹配ACL规则3002,即匹配目的IP为10.0.0.20的流量

 

# 配置流行为,用于对上行流量进行流量监管,速率为100kbps

 

# 配置流行为,用于对下行流量进行流量监管,速率为100kbps

 

# 配置QoS策略,用于端口入方向,即用户的上行方向

# 配置QoS策略,用于端口出方向,即用户的下行方向

 

# 在端口上下发QoS策略,匹配出入方向的流量

 

然后处于内网的10.0.0.20 ,上传只有1kb 下载只有1kb 了,网站就这样开不了了

开始那个机油以为我爆了dns的菊花,但结果并不是,DDOS?我一个小菜怎么肯能干掉某宝宝。。。最后告诉他是我改了中控路由。。。最最后怎么 办,只好协同机房的机油一起修补了这个洞…..方法就是 更新路由器固件 。简单点说法,就是给路由器刷机….点到即止。。只要拿到了路由权限可以干很多事情!!!因为你手里控制着整个机房的流量…你说流量能干吗???

建议你去看看刺总的文章,详情猛戳 这里  互联网如何赚钱    http://taosay.net/?p=506

二.废话后的冰J凌

(1)好热的天….扯了这么多废话,再次回到路由器的构架上….

无论何时何地,路由器的配置总是最低的 一般都是4~128MB的内存  4M或者8MB的闪存,还有80~900HZ的处理器,哎,现在的手机处理器动不动就是双核1.5GHz 完爆路由器配置啊,但是路由器只是作为一个行为管理和流量,协议处理的机器,并不需要太多的页面于用户进行交互,所以,没有所以了,大部分路由器都是采用 linux系统,所以很多时候可以通过内核漏洞进行远程溢出或者其他方法提权。

(2) 默认密码,不同路有密码不一样…还有一些路由返厂密码…唉,利用方法后边会介绍的

(3) 默认的telnet

(4) 开放的端口

(5) 呵呵,猥琐的时候,能接触到实体机,可以自己改装JTAG接口直接读数据…啪啪啪

(6) Web登陆界面的burp爆破…你懂的

(7) 很多地方没有过滤,可以用很多姿势插入代码(xss)

(8) 管理员认证绕过

(9) 远程命令执行….啪啪啪

(10) perl有着“taint mode” php输出未认证和过滤

(11) 网站和路由器往往与JS验证输入,而不是之后GET / POST

(12) 通过劫持输出源,并加以利用,比如说QQ空间载入的第一个跳转。。呵呵,你懂的

(13) 目录遍历,password文件下载

以上都是总结出来的…

下边来个实例 D-LINK的….

比如说 ping测试,可以被系统直接调用,和输出,但这里木有过滤

 

我们可以用这种姿势插入

比如说让路由器进入休眠状态,后入!后入30个休眠命令

 

其中要加入个空格,转成20% ,很多时候做路由渗透测试,没有进行转义,导致没有执行成功就以为没有洞….我就因此错过了几个,虽然后边自己也发现了,所以在这提醒一下大家  :D

睡前再来条黄瓜吧,这条黄瓜就是

http://192.168.0.1/tools_system.php

它能够重启路由器,也就是能被系统直接调用,后来我们在路由器固件里发现了利用的js

 

唉,就像是csrf+远程命令执行

exeshell是一个非常淫荡的变量名

还可以这样继续插入,啪啪啪,路由器休眠了

 

呵呵,你又开始鄙视我了         屌丝黄昏,你除了会关我路由器你还能干吗?你除了会啪啪啪还会什么?

前边提到了exeshell是一个非常淫荡的变量名

然后我们这样插入

 

然后你的telnet就打开了,我能干啥???你说我能干啥??我还能干啥?直接用这个exeshell读取root的hash值,然后啪啪啪进入你的telnet,装个改装版的nc,直接进行流量劫持….我感觉这个才是真正的流量劫持啊……

总结

看了这篇文章你肯定会问,屌丝黄昏,有木有路由渗透的大杀器,我的回答是,有!但是很少,比如说BT5,msf里边都有,还有routeker渗透套件,不过估计routeker还需要很久才会公布,这里就推荐一款国外的吧

Routerpwn

Routerpwn渗透测试是一种住宅的路由器的安全审计工具。

这是一个编译运行本地和远程网络攻击的准备。 JavaScript和HTML编程以运行在所有的“智能手机和移动互联网设备。您可以使用当地开采离线没有互联网连接。 您可以更改,目的IP地址,点击[IP]链接旁边的漏洞。

其中可以利用

DNS-320的D-Link DNS-325执行命令
DNS-320的D-Link DNS-325的信息披露
DNS-320的D-Link DNS-325的信息披露
TRENDNET TV-IP摄像机绕过认证

还有什么缺的地方大家提出来一起探讨吧  :D

91ri.org:不多说,赞。

link:http://www.arc5ch.com/archives/510

本文由网络安全攻防研究室(www.91ri.org)信息安全小组收集整理,转载请注明出处。