Skeniral sem Ukrajino

V februarju je Avstrijec Christian Haschek na svojem blogu objavil zanimiv članek z naslovom »Preveril sem vse Avstrijske naslove IP«. Seveda me je zanimalo, kaj bi se zgodilo, če bi to raziskavo ponovili, ampak s Ukrajino. Nekaj tednov nenehnega zbiranja informacij, še nekaj dni, da oblikujem članek, in med to raziskavo pogovori z različnimi predstavniki naše skupnosti, za bolj natančne informacije in večja spoznanja. Prosim, nadaljujte...

TL;DR

Za zbiranje informacij nismo uporabili nobenih posebnih orodij (čeprav so nekateri svetovali, da uporabimo OpenVAS, da bi bilo raziskovanje bolj temeljito in informativno). Kar se tiče varnosti naslovov IP, ki pripadajo Ukrajini (kako so bili določeni, o tem kasneje), je situacija, po mojem mnenju, dokaj slaba (in gotovo slabša od tiste v Avstriji). Niso bili izvedeni nobeni poskusi uporabe odkrito ranljivih strežnikov.

Najprej: kako lahko pridobimo vse naslove IP, ki pripadajo določeni državi?

To je v resnici zelo preprosto. Naslovi IP se ne generirajo sami po sebi, temveč se dodelijo državi. Zato obstaja seznam (in je javno dostopen) vseh držav in vseh IP naslovov, ki jim pripadajo.

Vsak lahko naloži, nato pa ga filtrira z grep Ukraine IP2LOCATION-LITE-DB1.CSV > ukraine.csv

Enostaven skript, ki ga je ustvaril Christian, omogoča, da seznam postane bolj uporaben.

Ukrajini pripada skoraj toliko IPv4 naslovov kot Avstriji, več kot 11 milijonov. 11 640 409, natančneje (za primerjavo v Avstriji — 11 170 487).

Če nočete sami delati z naslovi IP (in tega ne bi smeli delati!), lahko uporabite storitev Shodan.io.

Ali v Ukrajini obstajajo neopravljene Windows naprave, ki imajo neposreden dostop do interneta?

Seveda noben zavesten Ukrajinec ne bi odprl takega dostopa za svoje računalnike. Ali pa vendarle?

masscan -p445 --rate 300 -iL ukraine.ips -oG ukraine.445.scan && cat ukraine.445.scan | wc -l

Najdenih je bilo 5669 naprav z Windows in neposrednim dostopom v omrežje (v Avstriji jih je le 1273, kar je prav tako veliko).

Oops. Are there any among them that could be targeted using the ETHERNALBLUE exploits, known since 2017? There were none in Austria, and I hoped there would be none found in Ukraine either. Unfortunately, it's useless. 198 IP addresses have been found that haven't closed this "hole" on their end.

DNS, DDoS and the Depth of the Rabbit Hole

Enough about Windows. Let's see what we have with DNS servers that are open resolvers and can be used for DDoS attacks.

It works something like this. The attacker sends a small DNS request, and the vulnerable server responds to the victim with a packet that is 100 times larger. Boom! Corporate networks can collapse quite quickly from such a volume of data, and the bandwidth needed for the attack can be provided by a modern smartphone. And such attacks have been not uncommon even on GitHub.

Let’s see if there are such servers in Ukraine.

masscan -pU 53 -iL ukraine.ips -oG ukraine.53.scan && cat ukraine.53.scan | wc -l

The first step is to find those that have an open port 53. As a result, we have a list of 58,730 IP addresses, but that doesn’t mean all of them can be used for DDoS attacks. The second requirement is that they need to be open resolvers.

For this, you can use a simple dig command and see what we can "dig up" dig +short test.openresolver.com TXT @ip.of.dns.server. If the server responds with open-resolver-detected, it can be considered a potential attack target. Open resolvers make up about 25%, which is comparable to Austria. In terms of total numbers, that's about 0.02% of all Ukrainian IPs.

What else can be found in Ukraine?

I'm glad you asked. It’s easier (and most interesting for me personally) to look for IPs with open port 80 and see what's "running" on them.

web servers

260,849 Ukrainian IPs respond on port 80 (http). 125,444 addresses positively responded (200 status) to a simple GET request that your browser could send. The others returned various errors. Interestingly, 853 servers returned a 500 status, while the rarest statuses were 407 (proxy authentication request) and the absolutely non-standard 602 (IP not in the "whitelist") with one response each.

Apache absolutely dominates — 114,544 servers are using it. The oldest version I found in Ukraine is 1.3.29, released on October 29, 2003 (!!!). nginx is in second place with 61,659 servers.

11 серверjev uporablja WinCE, ki je izšel leta 1996, in so ga nehal popravljati leta 2013 (v Avstriji so jih le 4).

Protokol HTTP/2 uporablja 5.144 strežnikov, HTTP/1.1 – 256.836, HTTP/1 – 13.491.

Tiskalniki... ker... zakaj pa ne?

2 HP, 5 Epson in 4 Canon, ki so dostopni iz omrežja, nekateri brez kakršne koli avtentifikacije.

spletne kamere

Ni novica, da je v Ukrajini ZELENO veliko spletnih kamer, ki se prenašajo na internet, zbranih na različnih virih. Vsaj 75 kamer se prenaša na internet brez kakršne koli zaščite. Oglejte si jih lahko ovde.

Kaj zdaj?

Ukrajina je majhna država, prav tako kot Avstrija, vendar se sooča s podobnimi težavami kot velike države na področju IT. Potrebujemo boljše razumevanje, kaj je varno, kaj nevarno, in proizvajalci opreme bi morali ponuditi varno začetno konfiguracijo svoje opreme.

Poleg tega zbiram partnerske podjetja (postanite partner), ki vam lahko pomagajo zagotoviti nedotakljivost vaše IT infrastrukture. Naslednji korak nameravam narediti pregled varnosti ukrajinskih spletnih strani. Ne odnašajte se!

Izvor: habr.com