Jag har skannat Ukraina

I februari publicerade österrikaren Christian Haschek en intressant artikel i sin blogg med titeln „Jag har skannat hela Österrike“. Självklart blev jag nyfiken på vad som skulle hända om man upprepade denna undersökning, men nu med Ukraina. Flera veckors dygnet runt insamling av information, ytterligare ett par dagar för att skriva artikeln, och under denna undersökning samtal med olika medlemmar i vårt samhälle för att bekräfta och få veta mer. Jag ber om ursäkt för…

TL;DR

Inga speciella verktyg användes för informationsinsamling (även om flera personer föreslog att använda samma OpenVAS för att göra undersökningen mer grundlig och informativ). Säkerheten för IP-adresser som tillhör Ukraina (mer om hur vi bestämde detta nedan) är, enligt min mening, ganska dålig (och definitivt sämre än vad som händer i Österrike). Inga försök har gjorts eller planerats för att utnyttja de upptäckta sårbara servrarna.

Först och främst: hur kan man få alla IP-adresser som tillhör ett visst land?

Det är faktiskt mycket enkelt. IP-adresser genereras inte av landet självt, utan tilldelas det. Så det finns en lista (och den är offentlig) över alla länder och alla IP-adresser som tillhör dem.

Vem som helst kan ladda ner den, och sedan filtrera den med grep Ukraine IP2LOCATION-LITE-DB1.CSV > ukraine.csv

Ett enkelt skript som skapades av Christian, gör det möjligt att presentera listan i en mer användbar form.

Ukraina har nästan lika många IPv4-adresser som Österrike, mer än 11 miljoner. 11 640 409 för att vara exakt (i jämförelse har Österrike 11 170 487).

Om du inte vill leka med IP-adresser själv (och det är inte värt att göra!), kan du använda tjänsten Shodan.io.

Finns det ofixade Windows-maskiner i Ukraina som har direkt internetåtkomst?

Självklart kommer ingen medveten ukrainare att öppna sådan åtkomst för sina datorer. Eller kommer de?

masscan -p445 --rate 300 -iL ukraine.ips -oG ukraine.445.scan && cat ukraine.445.scan | wc -l

5669 maskiner med Windows med direkt nätverksåtkomst har hittats (i Österrike finns det bara 1273, men även det är mycket).

Ojdå. Finns det några av dem som kan attackeras med exploiten ETHERNALBLUE, som är känd sedan 2017? I Österrike fanns det inte en enda sådan maskin, och jag hoppades att det inte heller skulle hittas i Ukraina. Tyvärr, det är meningslöst. 198 IP-adresser har hittats som inte har stängt denna "lucka".

DNS, DDoS och kaninhålet

Nog om Windows. Låt oss se vad vi har för DNS-servrar som är open-resolvers och kan användas för DDoS-attacker.

Det fungerar ungefär så här. Angriparen riktar en liten DNS-förfrågan, och den sårbara servern svarar offret med ett paket som är 100 gånger större. Boom! Företagsnätverk kan snabbt falla samman under en sådan datavolym, och för attacken behövs en bandbredd som en modern smartphone kan tillhandahålla. Sådana attacker har förekommit. inte ovanligt även på GitHub.

Låt oss se om det finns sådana servrar i Ukraina.

masscan -pU 53 -iL ukraine.ips -oG ukraine.53.scan && cat ukraine.53.scan | wc -l

Som ett första steg kommer vi att hitta de som har öppen port 53. Resultatet är en lista med 58 730 IP-adresser, men det betyder inte att de alla kan användas för DDoS-attacker. Det måste uppfyllas ett andra krav, nämligen att de måste vara open-resolver.

För detta kan vi använda det enkla kommandot dig och se vad vi kan "gräva upp": dig + short test.openresolver.com TXT @ip.of.dns.server. Om servern svarar med open-resolver-detected kan det betraktas som ett potentiellt mål för attack. Open-resolvers utgör cirka 25 %, vilket är jämförbart med Österrike. Sett totalt sett handlar det om cirka 0,02 % av alla ukrainska IP-adresser.

Vad mer kan hittas i Ukraina?

Jag är glad att du frågade. Det är enklare (och mest intressant för mig personligen) att kolla IP-adresser med öppen port 80 och vad som körs på dem.

webbservrar

260 849 ukrainska IP-adresser svarar på port 80 (http). 125 444 adresser svarade positivt (200 status) på en enkel GET-förfrågan som din webbläsare kan skicka. Övriga gav olika felmeddelanden. Intressant nog gav 853 servrar 500 status, medan de mest sällsynta statusarna var 407 (förfrågan om proxyautorisering) och helt icke-standard 602 (IP inte i "vitlista") med ett svar vardera.

Apache dominerar fullständigt — 114 544 servrar använder just honom. Den äldsta versionen jag hittade i Ukraina var 1.3.29, som släpptes den 29 oktober 2003 (!!!). Nginx kommer på andra plats med 61 659 servrar.

11 servrar använder WinCE, som släpptes 1996 och slutade patchas 2013 (i Österrike finns det bara 4 sådana).

Protokollet HTTP/2 använder 5 144 servrar, HTTP/1.1 – 256 836, HTTP/1 – 13 491.

Skrivare… eftersom… varför inte?

2 HP, 5 Epson och 4 Canon som är tillgängliga från nätverket, några av dem utan någon autentisering.

webbkameror

Det är ingen nyhet att det finns MYCKET många webbkameror i Ukraina som sänder sig själva på internet och som samlats på olika resurser. Minst 75 kameror sänder sig själva på internet utan något skydd. Du kan titta på dem här.

Vad händer härnäst?

Ukraina är ett litet land, precis som Österrike, men har samma problem som större länder inom IT. Vi behöver skapa en bättre förståelse för vad som är säkert och vad som är farligt, och dessutom bör hårdvarutillverkare tillhandahålla en säker grundkonfiguration för sin hårdvara.

Dessutom samlar jag partnerföretag (bli partner), som kan hjälpa dig att säkerställa integriteten för din IT-infrastruktur. Nästa steg planerar jag att göra en säkerhetsgranskning av ukrainska webbplatser. Håll utkik!

Källa: habr.com