搜索

[13512] 2018-12-09_D-LinkDIR-850L路由器存在漏洞，可绕过加密

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2018-12-09_D-LinkDIR-850L路由器存在漏洞，可绕过加密 D - L i n k   D I R - 8 5 0 L 路 由 器 存 在 漏 洞 ， 可 绕 过 加 密 S I G C h i n a   F r e e B u f   2 0 1 8 - 1 2 - 0 9 前 言 前 言 作 为 作 为 D e f e n s i c s   S a f e G u a r d 开 发 的 一 部 分 ， 我 们 发 现 了 开 发 的 一 部 分 ， 我 们 发 现 了 D - L i n k   D I R - 8 5 0 L 无 线 无 线 A C 路 由 器 （ 硬 件 修 订 版 本 路 由 器 （ 硬 件 修 订 版 本 A ） 中 ） 中 的 漏 洞 。 该 漏 洞 使 攻 击 者 无 需 提 供 凭 据 即 可 完 全 访 问 无 线 网 络 。 我 们 的 方 法 在 接 入 点 连 接 期 间 跳 过 关 键 步 骤 ， 的 漏 洞 。 该 漏 洞 使 攻 击 者 无 需 提 供 凭 据 即 可 完 全 访 问 无 线 网 络 。 我 们 的 方 法 在 接 入 点 连 接 期 间 跳 过 关 键 步 骤 ， 完 全 绕 过 加 密 。 完 全 绕 过 加 密 。 在 确 定 此 漏 洞 后 ， 新 思 科 技 继 续 与 芬 兰 国 家 网 络 安 全 中 心 （ N C S C - F I ） 协 调 披 露 事 宜 ， 编 号 为 C V E - 2 0 1 8 - 1 8 9 0 7 。 我 们 与 D - L i n k 合 作 重 现 了 这 个 漏 洞 问 题 。 在 2 0 1 8 年 1 1 月 6 日 ， D - L i n k 已 经 为 受 影 响 的 设 备 提 供 了 修 复 方 案 。 概 述 概 述 W P A 2 是 用 于 客 户 端 和 接 入 点 （ A P ） 之 间 的 W L A N 网 络 通 信 的 加 密 技 术 。 为 了 相 互 连 接 ， A P 和 客 户 端 都 需 要 知 道 预 共 享 密 钥 （ P S K ） ， 它 们 在 W P A 握 手 过 程 中 交 换 ， 随 后 在 它 们 之 间 打 开 加 密 通 道 。 通 常 ， 破 坏 W P A 2 加 密 需 要 在 A P 和 客 户 端 （ 也 称 为 请 求 者 ） 上 执 行 无 线 捕 获 ， 其 中 握 手 过 程 完 全 可 见 ， 或 者 仅 从 A P 获 取 对 偶 主 密 钥 标 识 符 （ P M K I D ） 。 完 成 此 操 作 后 ， 您 将 获 得 强 制 W P A 2   P S K 所 需 的 所 有 信 息 。 获 取 P S K 所 需 的 时 间 取 决 于 硬 件 和 P S K 长 度 。 但 有 时 候 通 过 W P A 2 加 密 需 要 一 点 运 气 ， 这 往 往 不 到 一 秒 钟 。 办 公 室 日 常 工 作 办 公 室 日 常 工 作 2 0 1 8 年 8 月 初 ， 我 正 在 为 新 思 科 技 的 D e f e n s i c s 解 决 方 案 完 成 新 版 本 的 测 试 套 件 ， 该 解 决 方 案 为 各 种 协 议 提 供 模 糊 测 试 。 模 糊 测 试 是 一 种 测 试 方 法 ， 测 试 工 具 发 送 格 式 错 误 的 输 入 以 发 现 软 件 中 潜 在 的 安 全 漏 洞 。 这 种 包 含 意 外 或 无 效 数 据 的 格 式 错 误 的 输 入 称 为 异 常 测 试 用 例 。 我 最 后 添 加 到 测 试 套 件 中 的 信 息 包 括 一 些 新 的 异 常 测 试 用 例 和   S a f e G u a r d   结 果 。   S a f e G u a r d   是 一 项 专 利 功 能 ， 允 许 D e f e n s i c s   识 别 违 反 规 范 或 最 佳 实 践 的 情 况   — —   例 如 ， 当 被 测 系 统 （   S U T   ） 选 择 弱 加 密 方 案 时 ， 或 者 以 明 文 形 式 发 送 身 份 验 证 凭 据 时 。 S a f e G u a r d   与 模 糊 测 试 有 何 不 同 ？ 与 模 糊 测 试 有 何 不 同 ？ 新 版 本 的   D e f e n s i c s   8 0 2 . 1 1   测 试 套 件 包 含 两 项 重 要 改 进 。
第 一 ，   W P A 2   握 手 后 数 据 帧 的   W P A 2   加 密 。 之 前 的 版 本 仅 计 算 会 话 的 临 时 密 钥 ， 而 且 可 以 将 此 信 息 写 入 文 件 。 这 允 许 测 试 人 员 验 证   D e f e n s i c s   和   S U T   都 具 有 相 同 的 临 时 密 钥 。 但 是 发 送 加 密 数 据 帧 会 自 动 测 试 正 确 的 密 钥 ， 因 为 两 端 的 加 密 和 解 密 需 要 知 道 密 钥 。 第 二 个 改 进 是 在   I P v 4   上 简 单 的 动 态 主 机 设 置 协 议   ( D H C P )   发 现 报 文 序 列 。 此   D H C P   序 列 验 证   S U T   是 否 接 收 数 据 帧 并 检 查 响 应 。 由 于   D H C P   本 身 非 常 复 杂 ， 我 首 先 在 没 有 加 密 的 情 况 下 实 现 它 ， 并 且 在   D H C P   序 列 工 作 之 后 ， 在 测 试 中 添 加 了   W P A 2   A E S   C C M P   加 密 。 测 试 测 试 & 发 现 发 现 我 当 时 正 在 为   W P A 1   添 加 一 个 弱 加 密   S a f e G u a r d   ， 因 为 已 知   W P A 1   有 弱 点 而 且 不 应 该 使 用 。   W E P   加 密 也 是 如 此 ： 它 不 应 该 再 被 使 用 了 。   D e f e n s i c s   8 0 2 . 1 1   测 试 套 件 那 时 具 有 弱 加 密 检 测 功 能 ， 我 运 行 了 几 个 案 例 来 测 试 它 ， 正 巧 我 桌 面 上 有   A P   ， 即   D - L i n k   D I R - 8 5 0 L   。 我 以 为 会 检 测 到 弱 加 密 ， 因 为 我 已 经 将   S U T   A P   配 置 为 拥 有   W P A 1   而 没 有 其 它 任 何 设 置 。 正 如 我 所 预 测 的 一 样 ，   D e f e n s i c s   正 确 地 检 测 到 弱 加 密 。 但 是   A P   接 受 了 没 有   W P A   加 密 的   D H C P   发 现 序 列 。 此 特 定 测 试 用 例 本 应 经 过 协 商 以 使 用   W P A 1   加 密 ， 但 它 不 包 含 实 际 加 密 ：   D H C P   发 现 序 列 以 明 文 形 式 发 送 给   A P   。 我 对 此 测 试 结 果 感 到 惊 讶 ， 因 为 路 由 器 应 该 需 要   W P A 1   加 密 。 然 后 我 使 用   W i r e s h a r k   ， 一 种 捕 获 无 线 数 据 帧 的 工 具 ， 重 新 运 行 测 试 用 例 并 检 查 结 果 。 在 结 果 中 ， 我 看 到 了   A P   给   D e f e n s i c s   提 供 的   I P   地 址 、 路 由 器   I P   地 址 、 租 用 时 间 等 。 发 现 序 列 再 次 以 明 文 发 送 。 然 后 我 将 加 密 从   W P A 1   更 改 为   W P A 2   ， 看 看 是 否 会 对   S U T   行 为 产 生 影 响 。 同 样 ， 发 现 序 列 仍 以 明 文 形 式 发 送 ， 因 此 这 出 现 了 问 题 。   A P   还 支 持   W P A   E n t e r p r i s e   ， 并 且 在 该 模 式 下 的 测 试 没 有 改 变 行 为   -   序 列 仍 以 明 文 形 式 发 送 。 分 析 分 析 当 然 ， 下 一 个 问 题 是 发 生 了 什 么 ， 为 什 么 呢 ？ 连 接 到   A P   分 两 个 阶 段 完 成 。 首 先 ， 客 户 端 和   A P   就 连 接 参 数 和 要 使 用 的 加 密 达 成 一 致 ； 其 次 ， 执 行 所 谓 的   W P A   握 手 或 四 次 握 手 ， 交 换 加 密 参 数 并 确 保 它 们 都 具 有   P S K   。 在 此 之 后 ， 他 们 打 开 加 密 数 据 连 接 。 但 是 ， 我 运 行 的 测 试 用 例 跳 过 了   W P A   握 手 ， 因 此 必 须 在 握 手 之 前 发 生 什 么 ，   A P   和 客 户 端 就 连 接 参 数 和 使 用 的 加 密 达 成 一 致 。 第 一 阶 段 包 括 探 测 请 求 和 响 应 、 身 份 验 证 请 求 和 响 应 ， 最 后 是 关 联 请 求 和 响 应 。 探 测 请 求 的 主 要 目 的 只 是 发 现   A P   。 然 后 ， 探 测 响 应 包 含 有 关   A P   的 所 有 信 息 ， 包 括 支 持 哪 种 加 密 。 下 一 个 请 求   -   响 应 对 是 身 份 验 证 ， 其 目 的 是 确 保 向 后 兼 容 性 。 接 下 来 是 关 联 请 求 和 响 应 。 在 关 联 请 求 中 ， 客 户 端 告 诉 A P   哪 个 是 它 想 要 的 加 密 以 及 使 用 哪 些 参 数 。 关 联 请 求 还 会 打 开   A P   和 客 户 端 之 间 的 数 据 连 接 。 我 运 行 的 测 试 用 例 有 一 个 正 常 的 探 测 请 求 和 身 份 验 证 请 求 。 然 后 ， 关 联 请 求 需 要 客 户 端 支 持   W P A 1   加 密 。 此 时 ， W P A   握 手 应 该 发 生 ， 但 由 于 我 的 测 试 用 例 跳 过 了 握 手 ，   A P   和 客 户 端 开 始 发 送 没 有 任 何 加 密 的 数 据 帧 。 漏 洞 利 用 漏 洞 利 用 从 没 有 凭 据 的 受 保 护 网 络 获 取   I P   地 址 已 经 是 件 坏 事 ， 但 是 还 会 更 糟 糕 吗 ？ 我 决 定 为 此 漏 洞 创 建 漏 洞 利 用 程 序 。 我 的
想 法 是 创 建 一 个 自 定 义 版 本 的   w p a _ s u p p l i c a n t   （   L i n u x   操 作 系 统 中 的 默 认   W L A N   客 户 端 ） 。 首 先 ， 我 尝 试 修 改   w p a _ s u p p l i c a n t   ， 以 便 它 只 是 忽 略   W P A   握 手 ， 但 事 实 证 明 这 非 常 困 难 。 检 查 太 多 ， 无 法 确 保 W P A   状 态 机 处 于 正 确 状 态 。 这 证 实 我 试 图 做 的 事 情 并 不 常 见 。 我 尝 试 的 下 一 件 事 是 在 没 有 加 密 的 情 况 下 建 立 连 接 ， 但 修 改 包 含 加 密 参 数 的 关 联 消 息 。 这 与   D e f e n s i c s   测 试 套 件 在 测 试 用 例 中 所 做 的 一 样 。 我 只 需 要 删 除 一 些 未 经 协 商 的 加 密 参 数 检 查 ， 就 可 以 建 立 连 接 。 对 对   D e f e n s i c s   智 能 模 糊 测 试 有 疑 问 ？ 智 能 模 糊 测 试 有 疑 问 ？ 我 有 一 个 w p a s u p p l i c a n t 的 修 改 版 本 ， 它 提 供 了 网 络 接 口 上 的 完 整 L i n u x   I P 堆 栈 。 首 先 ， 我 尝 试 连 接 到 A P 管 理 面 板 。 虽 然 连 接 了 ， 但 是 我 注 意 到 在 路 由 器 接 到 流 氓 客 户 端 之 前 ， 路 由 器 接 受 了 普 通 数 据 帧 时 ， 有 三 到 六 秒 的 窗 口 。 然 而 ， w p a s u p p l i c a n t 自 动 重 新 连 接 ， 我 的 开 发 继 续 进 行 。 实 际 上 ， 重 新 连 接 速 度 非 常 快 ， 即 使 传 输 控 制 协 议 （ T C P ） 连 接 仍 保 持 打 开 状 态 。 此 外 ， 我 还 连 接 了 另 外 两 台 设 备 ， 一 台 是 有 线 的 ， 一 台 是 通 过 W L A N 连 接 的 。 从 流 氓 客 户 端 ， 我 可 以 毫 无 费 劲 地 连 接 两 个 设 备 。 从 路 由 器 管 理 面 板 ， 我 看 到 恶 意 客 户 端 被 识 别 为 连 接 到 路 由 器 的 任 何 其 它 客 户 端 。 因 此 ， 利 用 此 漏 洞 ， 我 可 以 在 不 知 道 预 共 享 密 钥 的 情 况 下 完 全 访 问 网 络 。 我 不 需 要 做 任 何 耗 时 的 暴 力 破 解   -   我 只 是 连 接 到 网 络 。 总 结 总 结 D e f e n s i c s   8 0 2 . 1 1 测 试 套 件 现 在 可 以 识 别 绕 过 整 个 W P A 加 密 机 制 的 情 况 。 测 试 套 件 现 在 包 含 一 个 单 独 的 S a f e G u a r d 功 能 来 测 试 此 漏 洞 ， 如 果 它 检 测 到 W P A 加 密 被 绕 过 ， 则 测 试 将 显 示 失 败 。 因 此 ， 针 对 其 A P 运 行 D e f e n s i c s 模 糊 测 试 的 供 应 商 将 意 识 到 此 漏 洞 。 测 试 的 D - L i n k 设 备 是 随 机 选 择 的 ， D - L i n k 已 经 发 布 了 该 设 备 的 补 丁 。 * 本 文 作 者 ： 本 文 作 者 ： S I G C h i n a ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理