U veljači je Austrijanac Christian Haschek na svom blogu objavio zanimljiv članak pod nazivom . Naravno, zanimalo me je što bi se dogodilo ako ponovim ovo istraživanje, ali s Ukrajinom. Nekoliko tjedana neprekidnog prikupljanja informacija, još nekoliko dana za oblikovanje članka, a tijekom ovog istraživanja razgovori s različitim predstavnicima naše zajednice, kako bih pojasnio i saznao više. Molim vas, nastavite dolje…
TL;DR
Za prikupljanje informacija nisu korištena nikakva posebna sredstva (iako su neki savjetovali korištenje istog OpenVAS-a kako bi istraživanje bilo temeljitije i informativnije). Po mom mišljenju, situacija s IP adresama koje pripadaju Ukrajini (dole o tome kako su utvrđene) prilično je loša (i definitivno gora od onoga što se događa u Austriji). Nisu napravljeni nikakvi pokušaji korištenja otkrivenih ranjivih servera, niti su planirani.
Prvo: kako možemo dobiti sve IP adrese koje pripadaju određenoj zemlji?
Zapravo, to je vrlo jednostavno. IP adrese ne generira sama zemlja, već ih ona dodjeljuje. Stoga postoji popis (i on je javno dostupan) svih zemalja i svih IP adresa koje im pripadaju.
Svako može , a zatim ga filtrirati kroz grep Ukraine IP2LOCATION-LITE-DB1.CSV> ukraine.csv
, omogućava pretvaranje popisa u korisniji oblik.
Ukrajini pripada gotovo toliko IPv4 adresa koliko i Austriji, više od 11 milijuna. Točnije, 11 640 409 (za usporedbu, u Austriji ih ima 11 170 487).
Ako ne želite sami igrati s IP adresama (a to ne biste trebali raditi!), možete koristiti servis .
Ima li na Ukrajini nepatchane Windows mašine koje imaju izravan pristup internetu?
Naravno, nijedan svjestan Ukrajinac neće otvoriti takav pristup svojim računalima. Ili hoće?
masscan -p445 --rate 300 -iL ukraine.ips -oG ukraine.445.scan && cat ukraine.445.scan | wc -lPronađeno je 5669 Windows mašina s izravnim pristupom mreži (u Austriji ih ima samo 1273, ali to je i dalje mnogo).
Ups. Are there any among them that could be attacked using the ETHERNALBLUE exploits, known since 2017? In Austria, there were no such machines, and I hoped that none would be found in Ukraine either. Unfortunately, that's not the case. 198 IP addresses were found that didn't close this "hole".
DNS, DDoS, and the rabbit hole depth
Enough about Windows. Let's see what we have with DNS servers, which are open resolvers and can be used for DDoS attacks.
It works something like this. The attacker sends a small DNS request, and the vulnerable server responds to the victim with a packet that is 100 times larger. Boom! Corporate networks can collapse quickly from such a data volume, and the bandwidth needed for the attack can be provided by a modern smartphone. And such attacks have been even on GitHub.
Let's see if there are such servers in Ukraine.
masscan -pU 53 -iL ukraine.ips -oG ukraine.53.scan && cat ukraine.53.scan | wc -lThe first step is to find those with an open port 53. As a result, we have a list of 58,730 IP addresses, but this doesn't mean they can all be used for a DDoS attack. It is necessary for the second requirement to be met, namely, they must be open resolvers.
For this, you can use a simple dig command and see what we can "dig up" dig + short test.openresolver.com TXT @ip.of.dns.server. If the server replied open-resolver-detected, then it can be considered a potential attack target. Open resolvers make up about 25%, which is comparable to Austria. In terms of total numbers, this is about 0.02% of all Ukrainian IPs.
What else can we find in Ukraine?
Glad you asked. It's easier (and the most interesting for me personally) to look for IPs with an open port 80 and see what's running on it.
web servers
260,849 Ukrainian IPs respond on port 80 (http). 125,444 addresses responded positively (200 status) to a simple GET request that your browser can send. The rest returned various errors. Interestingly, 853 servers returned a 500 status, while the rarest statuses were 407 (proxy authorization request) and the absolutely non-standard 602 (IP not in the "whitelist") both with one response.
Apache absolutely dominates — 114,544 servers are using it. The oldest version I found in Ukraine is 1.3.29, released on October 29, 2003 (!!!). nginx is in second place with 61,659 servers.
11 poslužitelja koristi WinCE, koji je objavljen 1996. godine, a potpunu podršku je izgubio 2013. (u Austriji ih ima samo 4).
Protokol HTTP/2 koristi 5 144 poslužitelja, HTTP/1.1 — 256 836, HTTP/1 — 13 491.
Printeri… jer… zašto ne?
2 HP, 5 Epson i 4 Canon koji su dostupni putem mreže, neki od njih bez ikakvih autorizacija.
web kamere
Nije novost da u Ukrajini ima VEOMA mnogo web kamera koje se prenose na internetu, prikupljene sa različitih resursa. Bar 75 kamera prenosi na internetu bez ikakve zaštite. Možete ih pogledati .
Što dalje?
Ukrajina je mala zemlja, kao i Austrija, ali ima iste probleme kao i velike zemlje u IT sektoru. Trebamo razviti bolje razumijevanje onoga što je sigurno a što opasno, a proizvođači opreme trebaju pružiti sigurnu početnu konfiguraciju svoje opreme.
Osim toga, okupam partnerske kompanije (), koje vam mogu pomoći da osigurate integritet vlastite IT infrastrukture. Sljedeći korak planiram napraviti pregled sigurnosti ukrajinskih web stranica. Ne isključujte se!
Izvor: habr.com
