V únoru zveřejnil rakouský Christian Haschek na svém blogu zajímavý článek s názvem . Samozřejmě mě zajímalo, co se stane, když toto šetření zopakuji, ale už na Ukrajině. Několik týdnů nepřetržitého shromažďování informací, ještě pár dní na sepsání článku a během tohoto výzkumu rozhovory s různými členy naší společnosti, abych upřesnil nebo se dozvěděl více. Prosím, čtěte dál…
TL;DR
Při sběru informací nebyly použity žádné speciální prostředky (ačkoli několik lidí doporučilo použít OpenVAS, aby bylo šetření důkladnější a informativnější). Co se týče bezpečnosti IP adres patřících k Ukrajině (níže o metodě určení), situace je podle mě docela špatná (a rozhodně horší než to, co se děje v Rakousku). Nebyly provedeny žádné pokusy o využití zranitelných serverů.
Především: jak získat všechny IP adresy, které patří určité zemi?
To je ve skutečnosti velmi jednoduché. IP adresy nejsou generovány samotnou zemí, ale jsou jí přiděleny. Existuje tedy seznam (a je veřejný) všech zemí a všech IP adres, které jim patří.
Každý si může , a poté ho filtrovat pomocí grep Ukraine IP2LOCATION-LITE-DB1.CSV > ukraine.csv
, umožňuje převést seznam do uživatelsky příjemnější podoby.
Ukrajině patří téměř stejné množství IPv4 adres jako Rakousku, více než 11 milionů. Přesně 11 640 409 (pro srovnání v Rakousku — 11 170 487).
Pokud si nechcete hrát se svými IP adresami (a to nedoporučuji!), můžete použít službu .
Existují na Ukrajině neopravené Windows stroje, které mají přímý přístup na internet?
Samozřejmě, žádný uvědomělý Ukrajinec nebude otevírat takový přístup pro své počítače. Anebo ano?
masscan -p445 --rate 300 -iL ukraine.ips -oG ukraine.445.scan && cat ukraine.445.scan | wc -lBylo nalezeno 5669 strojů s Windows s přímým přístupem do sítě (v Rakousku jich bylo jen 1273, ale i to je hodně).
Omlouvám se. Existují mezi nimi nějaké, které by bylo možné napadnout pomocí exploitů ETHERNALBLUE, které je známo už od roku 2017? V Rakousku nebylo žádné takové zařízení a doufal jsem, že ani na Ukrajině nebude nalezeno. Bohužel, to byla marná naděje. Bylo nalezeno 198 IP adres, které neuzavřely tuto "díru".
DNS, DDoS a hloubka králičí nory
Dost o Windows. Pojďme se podívat, co máme s DNS servery, které jsou open-resolvers a mohou být použity pro DDoS útok.
Funguje to zhruba takto. Útočník odešle malý DNS dotaz a zranitelný server odpoví oběti paketem, který je až 100krát větší. Bum! Firemní sítě mohou velmi rychle zkolabovat při takovém objemu dat, a pro útok je zapotřebí šířky pásma, kterou může poskytnout moderní smartphone. A takové útoky byly dokonce i na GitHubu.
Podívejme se, zda jsou takové servery na Ukrajině.
masscan -pU 53 -iL ukraine.ips -oG ukraine.53.scan && cat ukraine.53.scan | wc -lPrvním krokem je najít ty, které mají otevřený port 53. V důsledku toho máme seznam 58 730 IP adres, ale to ještě neznamená, že všechny mohou být použity pro DDoS útok. Je potřeba splnit druhou podmínku, a to mají být open-resolver.
K tomu lze použít jednoduchý příkaz dig a vidět, co můžeme "vykopat": dig +short test.openresolver.com TXT @ip.of.dns.server. Pokud server odpověděl open-resolver-detected, můžeme ho považovat za potenciální cíl útoku. Open resolvery tvoří přibližně 25 %, což je srovnatelné s Rakouskem. Z hlediska celkového počtu se jedná o přibližně 0,02% všech ukrajinských IP.
Co dalšího lze na Ukrajině najít?
Rád, že se ptáte. Je snazší (a pro mě osobně nejzajímavější) podívat se na IP s otevřeným portem 80 a co na něm "běží".
webové servery
260 849 ukrajinských IP odpovídá na port 80 (http). 125 444 adres odpovědělo kladně (200 status) na jednoduchý GET požadavek, který může poslat váš prohlížeč. Ostatní vydaly různé chyby. Zajímavé je, že 853 serverů vydalo status 500, zatímco velmi vzácnými statusy se staly 407 (požadavek na proxy autorizaci) a zcela netradiční 602 (IP není v "bílém seznamu") s jednou odpovědí.
Apache dominuje naprosto — 114 544 serverů používá právě jeho. Nejdříve nalezená verze na Ukrajině — 1.3.29, vydaná 29. října 2003 (!!!). nginx je na druhém místě s 61 659 servery.
11 serverů používá WinCE, které bylo vydáno v roce 1996 a naposledy bylo aktualizováno v roce 2013 (v Rakousku je jich pouze 4).
Protokol HTTP/2 používá 5 144 serverů, HTTP/1.1 — 256 836, HTTP/1 — 13 491.
Tiskárny… protože… proč ne?
2 HP, 5 Epson a 4 Canon, které jsou dostupné přes síť, z nichž některé jsou dostupné bez jakékoliv autorizace.
webkamery
Není novinkou, že na Ukrajině je OPRAVDU mnoho webkamer, které se přenášejí do internetu a jsou shromážděny na různých zdrojích. Nejméne 75 kamer se přenáší do internetu bez jakékoli ochrany. Můžete se na ně podívat .
Co dál?
Ukrajina je malá země, stejně jako Rakousko, ale má stejné problémy jako velké země v oblasti IT. Musíme si lépe vyjasnit, co je bezpečné a co ne, a výrobci zařízení by měli poskytovat bezpečnou počáteční konfiguraci svého zařízení.
Kromě toho shromažďuji partnerské společnosti (), které vám mohou pomoci zajistit integritu vaší IT infrastruktury. Dalším krokem plánuji provést přehled bezpečnosti ukrajinských webových stránek. Zůstaňte naladěni!
Zdroj: habr.com
