搜索

[12418] 2018-03-02_解密古老又通杀的路由器攻击手法：从嗅探PPPoE到隐蔽性后门

文档创建者：s7ckTeam
浏览次数：24
最后更新：2025-01-18
2018-03-02_解密古老又通杀的路由器攻击手法：从嗅探PPPoE到隐蔽性后门 解 密 古 老 又 通 杀 的 路 由 器 攻 击 手 法 ： 从 嗅 探 P P P o E 到 隐 蔽 性 后 门 q i n g x p 9   F r e e B u f   2 0 1 8 - 0 3 - 0 2 随 着 宽 带 用 户 爆 发 性 增 长 ， 随 着 宽 带 用 户 爆 发 性 增 长 ， P P P o E 被 带 进 了 各 家 各 户 ， 而 它 的 安 全 缺 陷 却 一 直 没 有 受 到 足 够 关 注 ， 直 至 今 日 成 被 带 进 了 各 家 各 户 ， 而 它 的 安 全 缺 陷 却 一 直 没 有 受 到 足 够 关 注 ， 直 至 今 日 成 为 了 一 种 低 成 本 的 通 杀 型 路 由 器 攻 击 手 段 。 为 了 一 种 低 成 本 的 通 杀 型 路 由 器 攻 击 手 段 。 P P P o E （ P o i n t - t o - P o i n t   P r o t o c o l   O v e r   E t h e r n e t ） ， 是 将 点 对 点 协 议 （ P P P ） 封 装 在 以 太 网 （ E t h e r n e t ） 框 架 中 的 一 种 网 络 隧 道 协 议 。 其 由 U U N E T 、 R e d b a c k   N e t w o r k s 和 R o u t e r W a r e 所 开 发 的 ， 并 于 1 9 9 9 年 发 表 于 R F C   2 5 1 6 说 明 中 。 近 二 十 年 过 去 了 ， P P P o E 被 广 泛 应 用 在 网 络 接 入 场 景 ， 较 为 有 名 的 A D S L 便 使 用 了 P P P o E 协 议 ， 其 成 为 了 几 乎 所 有 家 用 路 由 器 的 默 认 功 能 之 一 。 随 着 宽 带 用 户 爆 发 性 增 长 ， P P P o E 被 带 进 了 各 家 各 户 ， 然 而 它 所 存 在 的 安 全 缺 陷 却 一 直 没 受 到 足 够 的 关 注 ， 直 达 今 日 成 为 了 一 种 对 路 由 器 攻 击 成 本 极 低 、 效 果 极 好 的 攻 击 方 式 。 以 下 是 本 文 讨 论 的 重 点 — — “ 古 老 的 漏 洞 、 上 亿 级 受 影 响 设 备 、 极 低 的 攻 击 门 槛 、 没 有 完 善 的 修 复 方 案 ， 危 害 极 大 的 攻 击 场 景 — 从 获 取 宽 带 密 码 到 隐 蔽 性 后 门 ” 极 低 的 攻 击 门 槛 极 低 的 攻 击 门 槛 我 们 可 以 轻 易 的 在 互 联 网 上 搜 索 到 各 种 使 用 L i n u x 、 W i n d o w s 平 台 上 的 工 具 来 捕 获 P P P o E 密 码 的 文 章 ， 按 照 描 述 相 信 各 位 都 可 以 在 短 时 间 内 复 现 。 由 于 这 些 文 章 多 是 用 于 验 证 性 质 的 ， 在 考 虑 实 际 的 攻 击 场 景 时 往 往 会 陷 入 误 区 认 为 需 要 物 理 接 触 的 同 时 动 静 很 大 。 于 是 我 在 自 己 的 A n d r o i d 手 机 上 移 植 了 一 个 P P P o E 嗅 探 器 ， 在 开 启 程 序 后 几 秒 钟 内 便 可 以 获 得 账 号 信 息 ， 参 见 以 下 d e m o ：
P P P o E 工 作 原 理 及 缺 陷 工 作 原 理 及 缺 陷 P P P o E 协 议 的 工 作 流 程 包 含 两 个 阶 段 — 发 现 阶 段 和 会 话 阶 段 ， 见 以 下 两 图 。 在 发 现 阶 段 ， C l i e n t 通 过 发 送 广 播 P A D I 寻 找 P P P o E   S e r v e r 。 攻 击 者 可 通 过 自 建 P P P o E   S e r v e r 来 接 收 P A D I 请 求 并 与
C l i e n t 建 立 会 话 。 进 入 会 话 阶 段 后 ， 通 过 在 L C P 协 商 时 要 求 使 用 P A P （ 一 种 明 文 传 输 的 认 证 方 式 ） ， 随 后 利 用 W i r e s h a r k 等 工 具 就 能 嗅 探 到 明 文 传 输 的 P A P 账 号 及 密 码 ， 如 下 图 所 示 。 没 有 完 善 的 修 复 方 案 没 有 完 善 的 修 复 方 案 缺 陷 的 关 键 在 于 C l i e n t 广 播 寻 找 S e r v e r 时 遭 受 钓 鱼 ， 并 被 要 求 通 过 明 文 认 证 方 式 传 递 账 号 密 码 。 协 议 中 的 C l i e n t 与 S e r v e r 分 别 对 应 到 用 户 得 路 由 器 设 备 和 运 营 商 的 认 证 设 备 。 很 容 易 想 到 ， 只 要 路 由 器 阉 割 掉 P A P 认 证 便 能 抵 御 该 攻 击 。 不 过 任 何 一 个 商 业 产 品 都 是 以 保 障 可 用 性 为 首 要 条 件 ， 目 前 还 有 许 多 的 使 用 场 景 （ 如 小 运 营 商 或 校 园 宽 带 ） 只 能 使 用 P A P 认 证 ， 所 以 要 求 商 业 产 品 减 少 其 使 用 范 围 的 方 案 是 不 可 能 的 。 宽 带 账 号 一 键 学 习 功 能 宽 带 账 号 一 键 学 习 功 能 相 比 于 对 安 全 缺 陷 的 无 奈 ， 路 由 器 厂 商 们 反 而 借 此 解 决 了 一 个 痛 点 — — “ 路 由 器 一 键 换 机 功 能 ” 。 在 更 换 新 路 由 器 时 ， 许 多 用 户 会 经 历 “ 找 回 密 码 ” 的 流 程 ， 需 要 呼 叫 运 营 商 进 行 重 置 或 者 上 门 帮 助 ， 这 带 来 许 多 不 变 。 而 利 用 P P P o E 的 缺 陷 正 好 就 能 解 决 “ 找 回 宽 带 账 号 ” 这 一 问 题 。 他 们 通 过 在 路 由 器 中 内 置 嗅 探 器 ， 只 需 将 旧 路 由 器 与 之 连 接 就 能 自 动 学 习 ， 非 常 方 便 。
危 险 的 攻 击 场 景 危 险 的 攻 击 场 景 通 过 前 面 的 内 容 ， 我 们 大 致 了 解 该 攻 击 的 原 理 及 攻 击 条 件 。 该 攻 击 需 要 与 目 标 设 备 保 持 二 层 网 络 可 达 （ 如 通 过 网 线 直 接 连 接 ） 。 当 你 在 朋 友 家 可 以 接 触 到 路 由 器 时 ， 你 可 以 像 演 示 d e m o 中 那 样 直 接 进 行 连 接 捕 获 账 号 （ 好 吧 ， 这 好 像 只 有 娱 乐 性 没 有 其 他 价 值 ） 。 另 外 呢 ， 在 小 运 营 商 或 校 园 网 络 这 样 的 大 型 二 层 网 络 里 边 ， 可 以 进 行 批 量 的 钓 鱼 。 有 些 意 思 ， 但 还 有 其 他 危 害 大 些 的 攻 击 场 景 吗 ？ 前 些 年 ， 许 多 家 庭 无 线 路 由 器 都 因 为 默 认 密 码 的 问 题 可 以 被 轻 易 黑 掉 。 比 如 到 别 人 家 串 门 ， 我 往 往 会 跑 到 路 由 器 旁 按 W P S 按 钮 来 自 助 连 上 无 线 网 ， 接 着 通 常 默 认 密 码 就 能 进 后 台 了 。 如 今 的 路 由 器 都 做 了 改 进 ， 初 始 化 时 就 要 求 设 置 具 有 一 定 强 度 的 密 码 ， 这 样 看 上 去 只 要 密 码 不 被 泄 露 就 很 安 全 了 。 不 久 前 一 次 出 差 的 经 历 ， 让 突 然 我 发 现 了 一 个 有 趣 的 攻 击 场 景 。 为 了 节 省 经 费 我 们 选 择 了 一 家 民 宿 就 住 。 当 晚 的 无 线 网 络 不 太 好 ， 自 然 就 想 进 后 台 查 看 一 番 而 后 台 密 码 拦 住 了 我 。 我 想 到 要 是 知 道 宽 带 账 号 不 就 可 以 无 所 顾 虑 的 重 置 路 由 器 。 我 跑 到 路 由 器 旁 ， 嗅 探 到 了 P P P o E 账 号 ， 重 置 路 由 器 并 迅 速 将 原 有 配 置 进 行 还 原 （ 宽 带 、 无 线 热 点 等 ） ， 整 个 过 程 大 概 用 了 大 概 2 分 钟 。 值 得 注 意 的 是 ， 由 于 还 原 后 的 网 络 通 讯 、 无 线 热 点 配 置 都 与 之 前 无 异 ， 我 的 几 位 同 事 甚 至 没 有 发 现 明 显 异 常 ， 但 我 已 经 可 以 进 入 路 由 器 后 台 啦 ！ 我 把 这 种 方 式 称 之 为 “ 路 由 器 无 感 知 重 置 绕 过 法 ” ， 通 杀 所 有 家 用 路 由 器 。 拿 到 后 台 权 限 后 ， 我 除 了 可 以 篡 改 D N S 外 ， 还 可 以 开 启 远 程 W e b 管 理 、 绑 定 动 态 域 名 解 析 弄 成 一 个 的 远 控 后 门 。
我 查 阅 了 《 2 0 1 7 年 民 宿 产 业 发 展 研 究 报 告 》 ， 报 告 指 出 2 0 1 7 年 民 宿 客 栈 总 量 已 达 2 0 万 。 对 于 规 模 较 小 的 民 宿 而 言 ， 价 格 低 廉 实 施 容 易 的 家 庭 宽 带 几 乎 是 最 主 流 的 入 网 方 式 ， 同 时 路 由 器 会 被 放 置 在 客 人 可 接 触 的 区 域 。 这 几 乎 完 美 匹 配 了 P P P o E 嗅 探 的 攻 击 场 景 ， 每 一 位 入 住 用 户 都 有 潜 在 可 能 对 路 由 器 实 施 无 感 知 重 置 绕 过 攻 击 植 入 后 门 ， 也 都 有 潜 在 可 能 被 之 前 用 户 植 入 的 后 门 所 监 听 流 量 。 我 将 整 个 攻 击 流 程 总 结 为 下 图 ： 缓 解 方 案 缓 解 方 案 完 善 的 修 复 办 法 其 实 是 禁 用 P A P 认 证 或 更 新 替 换 P P P o E ， 这 种 涉 及 到 产 业 上 下 游 不 同 行 业 的 方 案 按 照 惯 例 是 行 不 通
的 。 在 过 去 几 个 月 ， 我 以 “ 利 用 A n d r o i d 手 机 窃 取 路 由 器 宽 带 账 号 ” 为 题 做 了 几 次 演 讲 （ 如 F I T   H a c k D e m o ) ， 希 望 有 一 点 对 该 问 题 的 关 注 ， 但 效 果 不 是 很 好 。 后 来 ， 我 想 到 一 个 混 淆 方 案 来 缓 解 这 种 重 置 绕 过 攻 击 ： 宽 带 密 码 的 格 式 常 见 有 身 份 证 末 几 位 、 固 定 数 字 编 号 或 者 其 他 乱 码 。 在 用 户 填 写 账 号 后 ， 我 们 可 以 据 此 生 成 一 批 相 似 度 高 的 字 串 ， 加 上 内 置 常 见 格 式 字 串 构 成 混 淆 字 典 。 在 P A P 认 证 时 ， 随 机 发 送 混 淆 字 串 进 行 迷 惑 。 从 理 论 上 讲 ， 在 可 接 受 等 待 时 间 内 尽 可 能 多 的 发 送 出 混 淆 账 号 可 以 很 大 程 度 上 缓 解 该 重 置 绕 过 攻 击 。 （ 未 实 际 测 试 ， 厂 商 的 朋 友 请 参 考 、 指 点 可 行 性 ） 后 记 后 记 虽 然 该 漏 洞 的 发 现 与 利 用 都 很 “ 陈 旧 ” ， 但 希 望 能 通 过 一 些 小 小 的 推 动 来 帮 助 早 日 达 到 “ 解 决 ” 的 状 态 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： q i n g x p 9 ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理