搜索

[14114] 2019-05-16_影响所有苹果设备的无线漏洞，可被强行接入恶意热点

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-18
2019-05-16_影响所有苹果设备的无线漏洞，可被强行接入恶意热点 影 响 所 有 苹 果 设 备 的 无 线 漏 洞 ， 可 被 强 行 接 入 恶 意 热 点 q i n g x p 9   F r e e B u f   2 0 1 9 - 0 5 - 1 6 前 言 前 言 C V E - 2 0 1 9 - 6 2 0 3 ： 苹 果 设 备 在 ： 苹 果 设 备 在 P E A P 认 证 上 存 在 缺 陷 ， 攻 击 者 可 强 迫 苹 果 设 备 接 入 恶 意 热 点 。 认 证 上 存 在 缺 陷 ， 攻 击 者 可 强 迫 苹 果 设 备 接 入 恶 意 热 点 。 该 缺 陷 影 响 2 0 1 9 年 3 月 2 5 前 的 i O S 、 m a c O S 、 t v O S 版 本 ， 包 含 M a c B o o k 、 i P h o n e 、 i P a d 、 A p p l e   T V 等 多 种 苹 果 设 备 ， 演 示 视 频 如 下 。 8 0 2 . 1 X 与 与 P E A P 简 介 简 介 I E E E   8 0 2 . 1 X 是 由 I E E E 制 定 的 关 于 用 户 接 入 网 络 的 认 证 标 准 ， 它 为 想 要 连 接 到 L A N 或 W L A N 的 设 备 提 供 了 一 种 认 证 机 制 ， 通 过 E A P （ E x t e n s i b l e   A u t h e n t i c a t i o n   P r o t o c o l ， 可 扩 展 身 份 验 证 协 议 ） 进 行 认 证 ， 控 制 一 个 端 口 是 否 可 以 接 入 网 络 。 8 0 2 . 1 X 工 作 在 二 层 网 络 ， E A P 只 是 一 个 框 架 ， 由 厂 商 来 实 现 具 体 的 认 证 方 法 ， 具 有 良 好 的 扩 展 性 。 不 同 的 厂 商 衍 生 出 了 L E A P 、 P E A P 、 E A P - T L S 、 E A P - M D 5 等 具 体 的 认 证 协 议 。 其 中 ， 因 为 P E A P 与 W i n d o w s 操 作 系 统 具 有 良 好 的 协 调 性 ， 可 以 通 过 W i n d o w s 组 策 略 进 行 管 理 ， 使 得 P E A P 在 部 署 时 极 其 简 单 。 同 时 ， 由 于 P E A P 兼 容 几 乎 大 部 分 厂 商 的 设 备 ， 因 此 大 多 数 企 业 在 部 署 无 线 8 0 2 . 1 X 认 证 时 都 会 选 用 P E A P 。 同 时 ， 为 了 避 免 部 署 P K I 系 统 的 复 杂 性 ， 企 业 在 部 署 无 线 网 络 时 ， 一 般 都 会 选 择 采 用 P E A P - M S C H A P   v 2 、 A D 认 证 （ 域 账 户 ） 的 架 构 。 P E A P - M S C H A P   v 2 的 认 证 过 程 分 为 以 下 两 个 阶 段 。 阶 段 一 ： 验 证 服 务 器 身 份 和 建 立 T L S 隧 道 。 服 务 端 将 向 客 户 端 发 送 服 务 端 的 证 书 信 息 ， 通 过 后 建 立 T L S 隧 道 保 护 传 输 的 数 据 。 阶 段 二 ： 在 T L S 隧 道 内 通 过 M S C H A P   v 2 进 行 双 向 认 证 。 一 个 具 体 的 连 接 过 程 如 下 图 ：
F r a m e   5 ~ 1 4   为 P E A P 阶 段 一 ， 建 立 了 T L S 隧 道 。 F r a m e   1 5 ~ 2 1   为 阶 段 二 ， T L S 隧 道 内 的 7 步 M S C H A P v 2 认 证 交 互 。 F r a m e   2 2 ~ 2 3   结 束 P E A P 。 F r a m e   2 4 - 2 7   W P A 2 的 四 步 握 手 过 程 。 其 中 M S C H A P v 2 的 7 步 交 互 过 程 如 下 所 示 。 A u t h e n t i c a t o r   - >   S t a t i o n   –   I n i t i a t i o n   开 始 。 S t a t i o n   - >   A u t h e n t i c a t i o n   –   U s e r n a m e   客 户 端 提 供 用 户 名 。 A u t h e n t i c a t o r   - >   S t a t i o n   –   A u t h e n t i c a t o r   C h a l l e n g e   提 供 验 证 者 的 C h a l l e n g e 。 S t a t i o n   - >   A u t h e n t i c a t o r   –   P e e r   C h a l l e n g e   &   N T R e s p o n s e   提 供 客 户 端 的 C h a l l e n g e 并 返 回 客 户 端 的 N T R e s p o n s e 。 A u t h e n t i c a t o r   - >   S t a t i o n   –   A u t h e n t i c a t o r   R e s p o n s e   返 回 验 证 者 的 A u t h e n t i c a t o r   R e s p o n s e 。 S t a t i o n   - >   A u t h e n t i c a t o r   –   S u c c e s s   客 户 端 返 回 验 证 成 功 。 A u t h e n t i c a t o r   - >   S t a t i o n   –   S u c c e s s   验 证 者 返 回 验 证 成 功 。 在 F r a m e   4 、 F r a m e   5 中 ， 验 证 者 和 客 户 端 的 R e s p o n s e 都 是 通 过 双 方 的 C h a l l e n g e   +   p a s s w o r d H a s h   +   U s e r n a m e 计 算 得 出 的 ， 发 向 对 方 进 行 身 份 验 证 。 W P E 攻 击 攻 击 2 0 0 8 年 时 ， J o s h u a   W r i g h t 和 B r a d   A n t o n i e w i c z 发 布 了 F r e e R a d i u s - W P E （ 后 来 的 同 类 工 具 有 h o s t a p d - w p e 、 h o s t a p d - m a n a ） ， 通 过 建 立 虚 假 的 P E A P - M S C H A P v 2 热 点 并 接 受 任 意 的 用 户 名 请 求 ， 在 阶 段 二 中 的 F r a m e   4 阶 段 可 获 取 到 用 户 的 U s e r n a m e 、 C h a l l e n g e 和 N T R e s p o n s e 。
随 后 利 用 a s l e a p / h a s h c a t / J t R 等 工 具 暴 破 尝 试 还 原 出 明 文 密 码 。 由 于 P E A P - M S C H A P   v 2 是 双 向 认 证 的 ， 我 们 的 虚 假 热 点 暂 时 不 知 道 真 实 密 码 没 法 计 算 出 R e s p o n s e ， 于 是 W P E 攻 击 到 此 就 结 束 了 。 苹 果 设 备 苹 果 设 备 C V E - 2 0 1 9 - 6 2 0 3 2 0 1 8 年 8 月 ， D o m i n i c   W h i t e 发 现 如 果 跳 过 没 法 计 算 的 F r a m e   5 而 直 接 发 送 代 表 验 证 成 功 的 F r a m e   7   E A P - S u c c e s s （ 下 图 中 的 1 7 号 帧 ） ， 苹 果 设 备 会 接 受 并 进 行 接 下 来 握 手 过 程 （ 原 本 按 照 状 态 机 客 户 端 该 中 止 会 话 ） 。 最 终 ， 在 不 知 道 用 户 密 码 的 情 况 下 可 以 将 苹 果 设 备 连 入 网 络 ， 达 到 了 演 示 视 频 的 效 果 。 随 后 便 可 进 行 局 域 网 中 的 中 间 人 攻 击 、 钓 鱼 等 。 该 漏 洞 影 响 i O S   1 2 . 2 以 下 、 m a c O S   M o j a v e   1 0 . 1 4 . 3 以 下 的 苹 果 设 备 ， 时 间 线 如 下 。 2   A u g   2 0 1 8   –   D o m i n i c   W h i t e @ S e n s e P o s t 提 交 漏 洞 报 告 。 6   A u g   2 0 1 8   –   漏 洞 确 认 。 2 5   M a r   2 0 1 9   –   漏 洞 修 复 。
1 5   A p r i l   2 0 1 9   –   m a c O S 、 i O S 、 t v O S   更 新 安 全 说 明 ， 分 配 C V E - 2 0 1 9 - 6 2 0 3 。 P o C 实 验 实 验 笔 者 的 实 验 在 K a l i   L i n u x 中 进 行 ， 目 标 设 备 为 m a c O S   M o j a v e   1 0 . 1 4 . 2 ， 测 试 步 骤 如 下 。 （ 1 ） 安 装 h o s t a p d - w p e 、 d n s m a s q 。 （ 2 ） 在 笔 者 的 P o C 代 码 项 目 页 单 击 S t a r （ 这 一 步 很 重 要 ） 。 h t t p s : / / g i t h u b . c o m / q i n g x p 9 / C V E - 2 0 1 9 - 6 2 0 3 - P o C （ 3 ） 下 载 并 运 行 P o C 。 （ 4 ） 测 试 的 苹 果 设 备 尝 试 连 接 该 热 点 ， 输 入 任 意 的 用 户 名 及 密 码 。 信 任 热 点 的 证 书 后 便 能 接 入 该 网 络 。 a p t   i n s t a l l   h o s t a p d - w p e   d n s m a s q g i t   c l o n e   h t t p s : / / g i t h u b . c o m / q i n g x p 9 / C V E - 2 0 1 9 - 6 2 0 3 - P o C c d   C V E - 2 0 1 9 - 6 2 0 3 - P o C p y t h o n   C V E - 2 0 1 9 - 6 2 0 3 - P o C . p y   - i   w l a n 0   - o   e t h 0
在 真 实 的 无 线 渗 透 环 境 中 ， 我 们 会 将 热 点 名 称 修 改 与 目 标 企 业 热 点 相 同 的 名 称 ， 由 于 员 工 已 经 保 存 了 该 名 称 热 点 的 信 息 ， 设 备 会 自 动 利 用 储 存 的 用 户 名 和 密 码 信 息 登 录 我 们 的 恶 意 热 点 。 唯 一 需 要 交 互 的 就 是 信 任 证 书 ， 从 业 者 应 该 能 明 白 大 部 分 用 户 会 选 择 同 意 的 ： ） 。 参 考 资 源 参 考 资 源 h t t p s : / / s e n s e p o s t . c o m / b l o g / 2 0 1 9 / u n d e r s t a n d i n g - p e a p - i n - d e p t h / * 本 文 作 者 ： q i n g x p 9 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理