I februar offentliggjorde østrigeren Christian Haschek en interessant artikel på sin blog med titlen . Selvfølgelig blev jeg nysgerrig på, hvad der ville ske, hvis jeg gentog denne undersøgelse, men med Ukraine. Flere ugers døgnet rundt informationsindsamling, et par dage til at formulere artiklen, og i løbet af denne undersøgelse samtaler med forskellige repræsentanter fra vores samfund for at afklare og lære mere. Jeg beder om at læse videre…
TL;DR
Til informationsindsamlingen blev der ikke brugt nogen specielle midler (selv om flere personer foreslog at bruge det samme OpenVAS for at gøre undersøgelsen mere grundig og informativ). Med hensyn til sikkerheden ved IP-adresser, der tilhører Ukraine (mere om, hvordan vi bestemte det), synes situationen, i min optik, temmelig dårlig (og bestemt værre end hvad der sker i Østrig). Der er ikke lavet eller planlagt nogen forsøg på at udnytte de sårbare servere, der blev opdaget.
Først og fremmest: hvordan kan man få alle IP-adresser, der tilhører et bestemt land?
Det er faktisk meget enkelt. IP-adresser genereres ikke af landet selv, men tildeles det. Derfor findes der en liste (og den er offentlig), der viser alle lande og alle de IP-adresser, der tilhører dem.
Alle kan , og derefter filtrere den med grep Ukraine IP2LOCATION-LITE-DB1.CSV> ukraine.csv
, gør det muligt at gøre listen mere brugbar.
Ukraine ejer næsten lige så mange IPv4-adresser som Østrig, mere end 11 millioner. 11 640 409 for at være præcis (til sammenligning i Østrig — 11 170 487).
Hvis du ikke ønsker at lege med IP-adresser selv (og det bør du ikke gøre!), kan du bruge tjenesten .
Er der uopdaterede Windows-maskiner i Ukraine med direkte internetadgang?
Selvfølgelig vil ingen ansvarlig ukrainere åbne sådan adgang til deres computere. Eller vil de?
masscan -p445 --rate 300 -iL ukraine.ips -oG ukraine.445.scan && cat ukraine.445.scan | wc -l5669 Windows-maskiner med direkte netadgang er blevet fundet (i Østrig er der kun 1273, men det er stadig mange).
Ups. Er der nogen blandt dem, der kan angribes ved hjælp af ETHERNALBLUE exploits, som har været kendt siden 2017? I Østrig var der ingen sådanne maskiner, og jeg havde håbet, at der heller ikke ville blive fundet nogen i Ukraine. Desværre var det forgæves. Der blev fundet 198 IP-adresser, der ikke har lukket dette "hul".
DNS, DDoS og kaninhullet
Det er nok om Windows. Lad os se på, hvad vi har med DNS-servere, der fungerer som open-resolvers og kan bruges til DDoS-angreb.
Det fungerer sådan her. Angriberen sender en lille DNS-forespørgsel, og den sårbare server svarer offeret med en pakke, som er 100 gange større. Boom! Virksomhedsnetværk kan hurtigt falde fra sådanne datamængder, og et sådant angreb kræver en båndbredde, som en moderne smartphone kan levere. Og sådanne angreb har været selv på GitHub.
Lad os se, om der findes sådanne servere i Ukraine.
masscan -pU 53 -iL ukraine.ips -oG ukraine.53.scan && cat ukraine.53.scan | wc -lDet første skridt er at finde dem, der har åbent port 53. Resultatet er en liste på 58.730 IP-adresser, men det betyder ikke, at de alle kan bruges til DDoS-angreb. Det er nødvendigt, at det andet krav er opfyldt, nemlig at de skal være open-resolvers.
Til dette kan man bruge den enkle kommando dig og se, hvad vi kan "grave" op: dig + short test.openresolver.com TXT @ip.of.dns.server. Hvis serveren svarede open-resolver-detected, kan den betragtes som et potentielt angrebsmål. Open resolvers udgør cirka 25 %, hvilket er sammenligneligt med Østrig. Set i forhold til det samlede antal, er dette omkring 0,02 % af alle ukrainske IP'er.
Hvad ellers kan findes i Ukraine?
Jeg er glad for, at du spurgte. Det er lettere (og mest interessant for mig personligt) at se efter IP'er med åbent port 80 og hvad der "kører" på dem.
webservere
260.849 ukrainske IP'er svarer på port 80 (http). 125.444 adresser svarede positivt (200 status) på en enkel GET-forespørgsel, som din browser kan sende. De resterende gav forskellige fejlmeddelelser. Det er interessant, at 853 servere gav 500 status, mens de sjældneste statusser var 407 (forespørgsel på proxyautorisering) og den helt usædvanlige 602 (IP ikke i "hvidlisten") med hver sin respons.
Apache dominerer absolut — 114.544 servere bruger den. Den ældste version, jeg fandt i Ukraine, er 1.3.29, der blev udgivet den 29. oktober 2003 (!!!). Nginx er på andenpladsen med 61.659 servere.
11 servere bruger WinCE, som blev udgivet i 1996 og sidst blev opdateret i 2013 (i Østrig er der kun 4 af dem).
Protokol HTTP/2 anvender 5.144 servere, HTTP/1.1 – 256.836, HTTP/1 – 13.491.
Printere… fordi… hvorfor ikke?
2 HP, 5 Epson og 4 Canon, der er tilgængelige fra nettet, nogle af dem uden nogen form for godkendelse.
webkameraer
Det er ingen nyhed, at der er MEGET mange webkameraer i Ukraine, der streamer sig selv på internettet, indsamlet fra forskellige ressourcer. Mindst 75 kameraer streamer sig selv på internettet uden nogen beskyttelse. Du kan se dem .
Hvad nu?
Ukraine er et lille land, ligesom Østrig, men har de samme problemer som større lande på IT-området. Vi skal udvikle en bedre forståelse for, hvad der er sikkert, og hvad der er farligt, og udstyrsproducenter skal levere en sikker grundkonfiguration af deres udstyr.
Derudover samler jeg partnerfirmaer (), som kan hjælpe dig med at sikre din IT-infrastruktur. Næste skridt planlægger jeg at lave en sikkerhedsanmeldelse af ukrainske websteder. Bliv ved!
Kilde: habr.com
