D-Link routere står pivåbne
Mange routere, som producenten D-Link har sendt på markedet siden 2006, indeholder en svaghed, som gør, at både lokale og eksterne angribere kan overtage kontrollen med routeren. Det skriver Heise Online.
Svagheden befinder sig i implementeringen af protokollen HNAP (Home Network Administration Protocol), som kan benyttes til at konfigurere routerne med. Protokollen er en Cisco-opfindelse, som benytter SOAP til blandt andet at indstille porte, trådløs sikkerhed med WEP og WPA, specificere WAN- og LAN-grænseflader, tilføjelse af nye enheder på netværket og overvågning af trafikmængderne.
Ifølge Heise Online indeholder D-Links routere en HNAP-grænseflade, som ikke kan slås fra. En sikkerhedskilde har bekræftet, at det gælder for modellerme DI-524, DIR-628 and DIR-655, hvor angribere kan ændre i konfigurationen og tage fuld kontrol over netværkstrafikken.
Hullet ligger i SOAP-kaldet "GetDeviceSettings", som kan benyttes til at gå uden om grænsefladens sikkerhedsmekanismer. På andre modeller end de ovenstående, kan en forindstillet brugerkonto med brugernavnet "user" og blankt password benyttes til at komme igennem sikkerhedsbarrieren.
Kommentarer (6)
"På andre modeller end de ovenstående, kan en forindstillet brugerkonto med brugernavnet "user" og blankt password benyttes til at komme igennem sikkerhedsbarrieren"
Det kan man kun hvis der ikke er lavet et password til user-kontoen!
Det er selvfølgelig ikke smart (!) at man fra en user-konto kan ændre password på admin-kontoen, men det kræver altså at man kan komme ind som user. Hvis man ikke har sørget for at ændre/sætte et password på routerens user-konto, så kunne man jo have sikret sig bedre.
"Older models, such as the DI-524, require authentication for all of the supported SOAP actions, but
allow both the administrator and user accounts to execute any of these actions. This allows a malicious
individual to use the often-ignored user account (default login of 'user' with a blank password) to
perform administrative actions"
-
0 -
0
Alting skal jo helst virke 'out of the box' og derfor er der default user/password.
Problemet er vel nærmere, at producenterne levere et (default) pivåbent system, hvor brugerne ikke får lukket disse.
Nu er fokus på Dlink i denne artikel, men f.eks. Filezilla gør det samme (eller har gjort):
http://robsnotebook.com/xampp-ftp-remove-default-passwords
Det er sikkert ikke en autorativ link, men jeg har oplevet det samme:
By default, the FTP server that comes with XAMPP allows anonymous user logins and also has a default user with username: newuser password: wampp
Og jeg kender til mindst eet tilfælde, hvor bot'er har placeret skrammel på en server hvor man havde 'glemt' at rette default credentials.
-
0
-
0
oooh yes, den game XAMPP sikkerhedsfejl!
Den har godt nok ødelagt meget for mig, før jeg opdagede hvor tåbelige de havde været, ved at inkludere en default-user med offentligt kendt password.
(Og hvor tåbelig jeg havde været ved ikke at opdage det i tide!)
Det kostede mig omkring 10.000 default.* og index.* filer en nat... Thank God for backup :-)
(Det kostede dog stadig en laaaang nats arbejde at genskabe data!)
-
0
-
0
oooh yes, den game XAMPP sikkerhedsfejl!
Gammel ved jeg nu ikke om den er, eller den stadig er aktuel.
Det er ikke mange månerder siden jeg installerede en xampp, og der får jeg:
[code=dos]C:\>ftp wsrv1
Connected to wsrv1.
220-FileZilla Server version 0.9.32 beta
220-written by Tim Kosse (Tim.Kosse@gmx.de)
220 Please visit http://sourceforge.net/projects/filezilla/
User (wsrv1:(none)): newuser
331 Password required for newuser
Password:
230 Logged on
ftp> put c:\bin\php\files\evilc0ders.php
200 Port command successful
150 Opening data channel for file transfer.
226 Transfer OK
ftp: 108365 bytes sent in 0,03Seconds 3612,17Kbytes/sec.
ftp>
[/code]
altså fuld mulighed for at installere malware, her en r57 shell, som er analgt med andre shells.
For en god ordens skyld vil jeg nævne, at min server står på bagsiden af et LAN, og er ikke tilgængelig for offentligheden.
Men der er et (stort) problem med alle disse default user/passwords, og jeg vil mene det lige så meget er 'producenternes' skyld som brugernes.
Hvis man krævede en aktiv opsætning i stedet for at lave en 'can do anything' opsætning, så var vi bedre stillet.
Men problemet er nok, at ting skal virke 'out of the box', så man ikke behøver at sætte hjernecellerne igang for at lave en opsætning.
(Det kostede dog stadig en laaaang nats arbejde at genskabe data!)
Nu er det ikke ment som en backup løsning, men jeg lavede for et par år siden en løsning til at observere den slags:
http://w-o-p-r.dk/storm.monitor/
Det er nok ikke intuitivt, men hvis man sætter keepcontent til trus, har man en 'backup' (fra sidste sweep).
-
0
-
0
Tilføj kommentar
