搜索

[14151] 2019-05-25_某工控4G路由器存在大量弱口令

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-05-25_某工控4G路由器存在大量弱口令 某 工 控 4 G 路 由 器 存 在 大 量 弱 口 令 K r i s t o n   F r e e B u f   2 0 1 9 - 0 5 - 2 5 最 近 频 繁 的 出 现 路 由 器 的 漏 洞 ， 如 思 科 最 近 频 繁 的 出 现 路 由 器 的 漏 洞 ， 如 思 科 R V 3 2 0 / 3 2 5 ： ： C V E - 2 0 1 9 - 1 6 5 2 和 和 C V E - 2 0 1 9 - 1 6 5 3 ， 可 直 接 获 得 配 置 文 件 ， 可 直 接 获 得 配 置 文 件 并 远 程 执 行 命 令 ； 并 远 程 执 行 命 令 ； M i k r o T i k   R o u t e r O S 漏 洞 漏 洞 ” b y   t h e   w a y ” ， 直 接 获 取 用 户 密 码 并 建 立 账 号 登 录 路 由 器 ； ， 直 接 获 取 用 户 密 码 并 建 立 账 号 登 录 路 由 器 ； C V E - 2 0 1 9 - 1 1 2 1 9 ： ： i L n k P 2 P 点 对 点 系 统 存 在 安 全 漏 洞 数 百 万 点 对 点 系 统 存 在 安 全 漏 洞 数 百 万 I o T 设 备 遭 受 远 程 攻 击 。 路 由 器 与 物 联 网 设 备 已 经 成 为 设 备 遭 受 远 程 攻 击 。 路 由 器 与 物 联 网 设 备 已 经 成 为 信 息 社 会 不 可 缺 失 的 重 要 基 础 部 分 ， 其 安 全 性 也 越 来 越 受 到 重 视 。 信 息 社 会 不 可 缺 失 的 重 要 基 础 部 分 ， 其 安 全 性 也 越 来 越 受 到 重 视 。 近 日 研 究 发 现 ， 在 国 产 某 某 工 控 4 G 路 由 器 中 存 在 大 量 弱 口 令 。 该 工 业 级 4 G 路 由 器 ， 四 L A N 口 ， 兼 有 W I F I 传 输 通 道 。 4 G 高 速 蜂 窝 网 络 应 对 远 距 离 传 输 + 近 距 离 组 网 等 复 杂 的 无 线 通 信 需 求 。 G P S （ 可 选 ） 、 Z i g B e e （ 可 选 ） 、 双 无 线 网 络 （ 可 选 ） 。 在 其 官 方 提 供 的 下 载 说 明 中 发 现 其 默 认 密 码 ： a d m i n / a d m i n 对 于 用 户 在 进 行 设 备 安 装 维 护 时 没 用 对 初 始 密 码 进 行 修 改 ， 导 致 大 量 暴 露 在 公 网 上 的 设 备 全 部 处 于 危 险 状 态 ， 对 于 由 该 工 控 路 由 器 控 制 的 系 统 设 备 产 生 威 胁 。 在 z o o m e y e 中 搜 索 该 公 司 产 品 ， 共 计 有 4 万 台 已 有 设 备 ， 中 国 境 内 存 在 大 量 该 设 备 。
2 0 1 8 年 4 月 2 0 日 至 2 1 日 ， 主 席 在 全 国 网 络 安 全 和 信 息 化 工 作 会 议 上 曾 说 ： “ 没 有 网 络 安 全 就 没 有 国 家 安 全 ， 就 没 有 经 济 社 会 稳 定 运 行 ， 广 大 人 民 群 众 利 益 也 难 以 得 到 保 障 ” 。 为 了 使 国 家 安 全 得 以 保 障 ， 对 此 设 备 的 安 全 影 响 进 行 了 进 一 步 的 研 究 ， 对 暴 露 在 公 网 中 的 设 备 进 行 抓 取 后 进 行 弱 口 令 的 验 证 ， 在 这 里 只 使 用 a d m i n / a d m i n 默 认 密 码 进 行 身 份 认 证 。 最 终 发 现 其 默 认 密 码 验 证 的 成 功 率 在 5 0 % 左 右 。 下 图 为 部 分 验 证 成 功 的 设 备 地 址 （ 已 做 处 理 ） 。 可 能 有 人 会 问 为 什 么 要 针 对 这 款 设 备 的 弱 口 令 大 做 文 章 ， 一 方 面 是 最 近 刚 好 发 现 该 产 品 弱 口 令 情 况 比 较 严 重 ， 提 醒 大 家 要 注 意 安 全 防 护 意 识 ， 此 次 只 用 默 认 密 码 成 功 率 就 高 的 可 怕 ， 可 想 而 知 现 有 其 他 的 暴 露 在 网 络 中 的 认 证 设 备 会 是 怎 样 的 情 况 ； 另 一 方 面 ， 不 得 不 说 该 设 备 为 了 调 试 方 便 做 了 一 些 很 神 奇 的 功 能 ， 身 份 验 证 成 功 后 ， 是 如 下 的 界 面 ：
厂 商 为 了 调 试 方 便 或 者 管 理 方 便 ， 将 控 制 台 写 在 了 网 页 功 能 之 中 ， 导 致 所 有 验 证 成 功 的 人 都 可 以 直 接 执 行 命 令 。 弱 口 令 + 控 制 台 命 令 执 行 = 设 备 彻 底 沦 陷 ， 最 后 可 以 直 接 进 入 设 备 ， 控 制 设 备 。
为 了 安 全 起 见 ， 在 这 里 就 不 再 进 一 步 说 明 了 ， 过 程 中 关 键 步 骤 与 信 息 也 已 经 略 过 打 码 。 如 有 不 妥 自 己 心 里 清 楚 就 行 了 哈 。 * 本 文 作 者 ： K r i s t o n ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理