基于智能手机的近源渗透案例分享 —— 极深研几

阅读量378100

|

发布时间 : 2022-02-15 10:30:04

 

作者:M.A.L@Duncan SecTeam

0x00:引言

寒假了,我又一次成为了N个培训机构最靓的那个仔,年轻,帅气,潇洒,活力四射,光芒万丈。。。当然,这都是被身边的大爷大妈,大叔大婶给衬托出来的,可以说是典型的绿叶衬红花。其实,培训机构是一个很有意思的存在,没干些啥,完了老贵。你说咋不搞一个面向中小学,幼儿园的网络安全培训机构呢?这样我读小学那会儿就可以在培训机构肆意“学习”,完了放学带着电脑回家可劲儿打游戏。

今天要在各位web渗透大神面前show的就是关于如何测试一个培训机构的case,天上神灵可见,我真的只是出于该死的好奇才去nmap了一下他们的内网。嗯,结果发现有些存活主机非常奇怪,只开了22端口。都说好奇害死猫,我估计上辈子我就是属猫的。这么一扒拉,于是就有了这一篇分享文章,路过的大神和大牛们见笑了。下面还是一张team要求的脑图作业。

 

0x01:背景简介

这是一家规模不大的培训机构,为了便于等孩子家长(不包括我)和哥哥姐姐(包括我在内)消磨时光,培训机构很贴心的提供了免费Wi-Fi接入服务。整个机构采用了某Link提供的一整套Wi-Fi部署方案,确切的说是一台某Link的无线路由器以及N个无线AP。其中,2.4GHz和5GHz两个频段都是启用了的。至于Wi-Fi密码嘛,一是问前台漂亮小姐姐要;二是,用xx钥匙可以直连,然后密码也就可以查看了。

对于我而言,上网并不是最重要的,我就想知道那小破孩儿在干啥(回家可以给母上大人告状)。他们有好多IP Cam,可能是为了防着老师打小孩儿或者发生意外事故以后备查吧。可惜了了,一直没搞定IP Cam密码,漏洞也试过了,全给补了。感觉这培训机构应该是有找人专门维护网络吧,不然咋整得这么安全呢?

 

0x02:奇怪的设备

在搜索内网中IP Cam的时候,发现了好些只开了22端口的主机。一开始,还以为是无线AP,也就不在意了。可是后来,发现这个AP也没有Web配置界面啊。于是,出于最原始的好奇欲,连接上了其中一台存活主机。

拿上自己装了Kali Nethunter的手机,直接telnet连上去看看呗。连倒是连上了,可显示的banner信息让我懵逼了。。。

毕竟只是个脚本小子,对于Linux系统并不熟悉,貌似没听说过什么ZLM60这个发行版。Master让我自个儿去distrowatch搜,还是没找着啊。不过,黄天偏爱勤奋的大脑,找了N久,终于找到了一篇三哥的文章【1】(隔着屏幕都能嗅到那股浓重咖喱味儿啊。。。)

虽然有一股子咖喱味儿,但人三哥关于这款ZKTeco ZLM30的入侵分析非常详细,确切的说是可以直接来就用的。文中,三哥给出了适用于一部分ZKTeco考勤机的通用账户、密码:root : solokey。在另外一篇文章中【2】,也有一些可以参考的密码。不过文章【2】中提到的Zksoftware这公司貌似只是个代理商之类的,并没有相关软件。至于文中提到的不同型号存在不同密码,每个一段时间新生产的考勤机会更换默认root密码这事儿也没法验证。IoT安全这事儿最大的特点就是费钱,不然很多东西其实都是可以研究研究的。

于是,等到下一次到培训机构去的时候,就直接尝试了这个密码。Bingo,telnet登录成功了。

通过telnet查看了一些系统信息,包括CPU信息。

查看了一下/etc/passwd和/etc/shadow这两个文件,确认只有一个可登录的root账户,用的是默认的Linux加密算法。

翻了翻/bin目录,发现大部分命令都是busybox导出的,而且没有进行严格的阉割。

既然ftpput,ftpget这些命令都有,那么我们就可以尝试这获取考勤机的数据库。于是,在Kali Nethunter上果断安装了vsftpd,等着翻看他们考勤情况吧。于是,立马更新Kali Nethunter,然后安装了vsftpd,进行了简单配置之后,开始实验 ^_^

可是,应了那句广告词,anything is possible,连不上啊!悲催啊。。。然而,更悲催的是,培训班下课了,下课了,下课了啊。。。

不过,从下面这张保留的截图中可以看出,这个考勤机是可以直接上外网的,虽然没有设置dns服务器地址(估计厂家觉得没有这个必要吧)。作为一个仅在内网中使用的IoT设备,这种玩儿法(配置方法)感觉路子很野啊。不过,话又说回来,这样一个破培训机构咋可能花钱请个有安全头脑的网管呢?顿时觉得,自己将来又少了一条活路。。。

 

0x03:有备无患

回家后,没打游戏,一直在想为啥会连不上呢?第一反应,vsftpd配置有问题,多半权限没给够。于是,在Kali Nethunter上认认真真的试了N遍,确定无误。

后来,又想起master之前讲过的Wi-Fi接入内网的一些东西,越想越不对劲儿。Kali Nethunter是在192.168.wifi.0/24的子网里面,然而考勤机却是在192.168.inet.0/24这个网段。如果说Kali Nethunter所在的Wi-Fi网络是通过无线路由器搭在出192.168.inet.0/24上面,然后出外网的话,那么在Nethunter的确可以telnet连接上考勤机,但是考勤机却只能看到192.168.wifi.0/24段的路由,也就是说没法穿透到内网的Nethunter上。我那个去,当时咋没想到呢?

Team之前分享过关于通过Wi-Fi渗透内网的文章【3】,这个培训机构的Wi-Fi部署跟图中就跟左边那个“Bad”的模式差不多,这下就全明白了。就等下次去培训班了,嗯,从来都没有这么迫切的想去培训班陪读。。。

 

0x04:1 + 1 > 2

光阴荏苒,岁月如织,转眼又到了高级伴读小书童上岗的日子了。陪伴我的依旧是那一部某宝淘到的OP 7Pro,大写的穷!

再次验证了一下,192.168.inet.0/24网段直接连接互联网,然后192.168.wifi.0/24则是直接搭在其上的,这也就印证了之前的推测。那么,问题来了,怎么才能够把我的Nethunter映射到192.168.inet.0/24上呢?哈哈哈,托没有网管的福了,感谢那台192.168.wifi.0/24网段的某Link无线网关。

并且,这网关并没有修改默认的账户和密码,登上去就直接管理员权限了。

接下来,咱得干点儿网管的活儿了,加一条规则实施能不能映射成功。实验结果是,失败了,原因很简单,忘了添加20端口。虽然在测试的时候,已经充分考虑了FTP被动模式会被网管干掉,因此专门把vsftpd开启了主动模式。可是,一时着急,忘了把20端口加上了。。。

重新编辑转发规则,把20和21全部映射到192.168.inet.0/24网段,接着测试。

切换到考勤机的/tmp目录下,创建一个名为ftp.txt的测试文件,然后通过ftpput命令将其上传至192.168.inet.2。当然,192.168.inet.2已经映射到了192.168.wifi.175,也就是我的Nethunter上了。

接下来,就在Nethunter上验证一下是否收到了ftp.txt文件。切换到Nethunter上ddd用户主目录,下面确实有一个ftp.txt文件,并且内容一致。

这实验能够成功主要还得归功于两个前置条件:
——考勤机部署在了一个核心网段(192.168.inet.0/24),而Wi-Fi接入则是直接将192.168.wifi.0/24网段直接搭在了核心网段上。
——192.168.wifi.0/24网段的无线路由器存在弱口令漏洞。
——正是因为这样,才会有这种1 + 1 > 2的效果。

 

0x05:总结

首先,像ZKTeco考勤机这样的IoT设备在我们生活中真的好多,一开始没想过去hacking,就像这次hacking一样,完全出于偶然。我甚至猜测team在文章【3】中提到的,消防部门内部有大量设备开启了22端口,这些设备真的就是网络设备吗?会不会也是考勤机呢?如果真要是这样,那可就危险了啊。。。

再者,对于IoT设备而言,大多数情况下上外网都不是必要的,那么在网络架设的时候咋就没有专门搞一个网段呢?哪怕VLAN也行啊,好歹也算是隔离了一下啊?

还有,对比一下team在文章【4】【5】里面关于电信光猫的分析,ZKTeco对于设备自身的安全性考量确实要做得差一些,就从对busybox的阉割就可以看出来。

最后,MSTE(中小微企业)自身的安全意识或许才是最大的隐患。说不上无知无畏,但是没有被蛇咬过他就不知道疼啊,正是基于这种心理以及MSTE自身运营中的成本考量,对于MSTE而言安全注定只会是一次性投资,而且还是附着在网络基础建设之上的。至于长期的安全运维嘛,那估计得等到A、B、C轮完了,甚至是敲钟那天了。

 

0x06:参考文章

1、《HACKING ZKTECO K40PRO (ZEM510) IOT DEVICE》. https://www.esecurify.com/hacking-zkteco-zem510-iot-device-smart-device-hacking/
2、《户外物理设备入侵之:入侵并“调教”中控指纹语音考勤系统(打卡机)》 .http://www.hackdig.com/?06/hack-4092.htm
3、《基于智能手机的近源渗透测试案例分享(二)——“点到为止”的测试成都某消防部门》. https://www.anquanke.com/post/id/230001
4、《PT632电信“老猫”分析》 .https://www.anquanke.com/post/id/259503.
5、《ZN600电信光猫分析 —— 初识》 .https://www.anquanke.com/post/id/263859.

本文由邓肯安全小组原创发布

转载,请参考转载声明,注明出处: https://www.anquanke.com/post/id/267335

安全客 - 有思想的安全新媒体

分享到:微信
+112赞
收藏
邓肯安全小组
分享到:微信

发表评论

内容需知
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 三六零数字安全科技集团有限公司 安全客 All Rights Reserved 京ICP备08010314号-66