ProHoster > Blogs > Administrācija > Es skenēju Ukrainu

Es skenēju Ukrainu

FebruārÄ« austrietis Kristians HaÅ”eks savā emuārā publicēja interesantu rakstu ar nosaukumu "Es noskenēju visu Austriju". Protams, mani sāka interesēt, kas notiktu, ja Å”is pētÄ«jums tiktu atkārtots, bet ar Ukrainu. Vairākas nedēļas diennakts informācijas vākÅ”ana, vēl pāris dienas raksta sagatavoÅ”anai un Ŕī pētÄ«juma laikā sarunas ar dažādiem mÅ«su sabiedrÄ«bas pārstāvjiem, tad precizē, tad uzzini vairāk. LÅ«dzu zem griezuma...

TL; DR

Informācijas vākÅ”anai netika izmantoti Ä«paÅ”i rÄ«ki (lai gan vairāki cilvēki ieteica izmantot vienu un to paÅ”u OpenVAS, lai padarÄ«tu pētÄ«jumu pamatÄ«gāku un informatÄ«vāku). Ar IP droŔību, kas attiecas uz Ukrainu (vairāk par to, kā tas tika noteikts zemāk), situācija, manuprāt, ir diezgan slikta (un noteikti sliktāka par to, kas notiek Austrijā). Nav veikti vai nav plānoti atklāto ievainojamo serveru izmantoÅ”anas mēģinājumi.

Pirmkārt: kā jūs varat iegūt visas IP adreses, kas pieder noteiktai valstij?

PatiesÄ«bā tas ir ļoti vienkārÅ”i. IP adreses neÄ£enerē pati valsts, bet gan tai pieŔķir. Tāpēc ir saraksts (un tas ir publisks) ar visām valstÄ«m un visām tām piederoÅ”ajām IP.

Katrs var lejupielādējiet toun pēc tam filtrē grep Ukraina IP2LOCATION-LITE-DB1.CSV> ukraine.csv

VienkārÅ”s skripts, ko izveidojis Kristians, ļauj izveidot sarakstu ērtāk lietojamā formā.

Ukrainai pieder gandrÄ«z tikpat daudz IPv4 adreÅ”u kā Austrijai, precÄ«zāk, vairāk nekā 11 miljoni 11 640 409 (salÄ«dzinājumam ā€“ Austrijai ir 11 170 487).

Ja pats nevēlies spēlēt ar IP adresēm (un nevajag!), tad vari izmantot pakalpojumu Shodan.io.

Vai Ukrainā ir kādas neatkārtotas Windows iekārtas, kurām ir tieŔa piekļuve internetam?

Protams, neviens apzināts ukrainis neatvērs Ŕādu pieeju saviem datoriem. Vai arÄ« tā bÅ«s?

masscan -p445 --rate 300 -iL ukraine.ips -oG ukraine.445.scan && cat ukraine.445.scan | wc -l

Tika atrastas 5669 Windows maŔīnas ar tieŔu piekļuvi tīklam (Austrijā ir tikai 1273, bet tas ir daudz).

Hmm... Vai starp tiem ir kāds, kuram varētu uzbrukt, izmantojot ETHERNALBLUE varoņdarbus, kas ir zināmi kopÅ” 2017. gada? Austrijā nebija nevienas tādas maŔīnas, un cerēju, ka arÄ« Ukrainā neatradÄ«s. Diemžēl nav jēgas. Mēs atradām 198 IP adreses, kuras paÅ”as par sevi neaizvēra Å”o ā€œcaurumuā€.

DNS, DDoS un truŔa bedres dziļums

Pietiek ar Windows. Apskatīsim, kas mums ir ar DNS serveriem, kas ir atvērti atrisinātāji un kurus var izmantot DDoS uzbrukumiem.

Tas darbojas apmēram Ŕādi. Uzbrucējs nosÅ«ta nelielu DNS pieprasÄ«jumu, un ievainojamais serveris atbild upurim ar paketi, kas ir 100 reizes lielāka. Boom! KorporatÄ«vie tÄ«kli var ātri sabrukt no Ŕāda datu apjoma, un uzbrukumam ir nepiecieÅ”ams joslas platums, ko var nodroÅ”ināt mÅ«sdienÄ«gs viedtālrunis. Un bija tādi uzbrukumi Nav nekas neparasts pat vietnē GitHub.

Paskatīsimies, vai Ukrainā ir tādi serveri.

masscan -pU 53 -iL ukraine.ips -oG ukraine.53.scan && cat ukraine.53.scan | wc -l

Pirmais solis ir atrast tos, kuriem ir atvērts ports 53. Rezultātā mums ir 58 730 IP adreÅ”u saraksts, taču tas nenozÄ«mē, ka tās visas var izmantot DDoS uzbrukumam. Ir jāizpilda otra prasÄ«ba, proti, tiem jābÅ«t atvērtiem atrisinātājiem.

Lai to izdarÄ«tu, mēs varam izmantot vienkārÅ”u komandu dig un redzēt, ka mēs varam ā€œraktā€ + Ä«su test.openresolver.com TXT @ip.of.dns.server. Ja serveris atbildēja ar open-resolver-detected, tad to var uzskatÄ«t par potenciālu uzbrukuma mērÄ·i. Atvērtie atrisinātāji veido aptuveni 25%, kas ir salÄ«dzināms ar Austriju. Runājot par kopējo skaitu, tas ir aptuveni 0,02% no visiem Ukrainas IP.

Ko vēl jūs varat atrast Ukrainā?

Prieks, ka pajautāji. Vieglāk (un man personīgi visinteresantāk) ir apskatīt IP ar atvērtu portu 80 un to, kas tajā darbojas.

tīmekļa serveris

260 849 Ukrainas IP reaģē uz 80. portu (http). 125 444 adreses atbildēja pozitÄ«vi (200 statuss) uz vienkārÅ”u GET pieprasÄ«jumu, ko jÅ«su pārlÅ«kprogramma var nosÅ«tÄ«t. Pārējie radÄ«ja vienu vai otru kļūdu. Interesanti, ka 853 serveri izsniedza statusu 500, un retākie statusi bija 407 (starpniekservera autorizācijas pieprasÄ«jums) un pilnÄ«gi nestandarta 602 (IP nav ā€œbaltajā sarakstāā€) vienai atbildei.

Apache ir absolÅ«ti dominējoÅ”s ā€“ to izmanto 114 544 serveri. Vecākā versija, ko atradu Ukrainā, ir 1.3.29, izdota 29. gada 2003. oktobrÄ« (!!!). nginx ir otrajā vietā ar 61 659 serveriem.

11 serveri izmanto WinCE, kas tika izlaists 1996. gadā, un viņi pabeidza tā ielāpu 2013. gadā (Austrijā ir tikai 4 no tiem).

HTTP/2 protokolā tiek izmantoti 5 serveri, HTTP/144 - 1.1 256, HTTP/836 - 1 13.

Printeri... jo... kāpēc gan ne?

2 HP, 5 Epson un 4 Canon, kas ir pieejami no tīkla, daži no tiem bez jebkādas atļaujas.

Es skenēju Ukrainu

tīmekļa kameras

Tas nav jaunums, ka Ukrainā ir DAUDZ tīmekļa kameru, kas pārraida sevi internetā, apkopotas dažādos resursos. Vismaz 75 kameras pārraida sevi internetā bez jebkādas aizsardzības. Jūs varat tos apskatīt Ŕeit.

Es skenēju Ukrainu

Ko tālāk?

Ukraina ir maza valsts, tāpat kā Austrija, taču tai ir tādas paÅ”as problēmas kā lielajām valstÄ«m IT nozarē. Mums ir jāveido labāka izpratne par to, kas ir droÅ”s un kas ir bÄ«stams, un iekārtu ražotājiem ir jānodroÅ”ina droÅ”a sākotnējās konfigurācijas savām iekārtām.

Turklāt es apkopoju partneruzņēmumus (kļūt par partneri), kas var palÄ«dzēt nodroÅ”ināt jÅ«su IT infrastruktÅ«ras integritāti. Nākamais solis, ko plānoju veikt, ir Ukrainas vietņu droŔības pārskatÄ«Å”ana. Nepārslēdzies!

Avots: www.habr.com

Pievieno komentāru