Suivre le hack tp-link

Le piratage avec usurpation DNS est une méthode d'attaque assez courante. Principalement à cause de sa simplicité. L'essence de l'attaque consiste à remplacer l'adresse DNS dans les paramètres réseau de la victime par l'adresse du serveur DNS de l'attaquant afin de renvoyer une fausse adresse IP. Et plus loin, qui s'en soucie beaucoup - des pages de phishing banales des réseaux sociaux pour voler des mots de passe au talon supposé du fournisseur avec des exigences de paiement.

La chose la plus intéressante dans tout cela, je pense à la façon dont les bots, d'une manière ou d'une autre, montent sur les routeurs. Et aujourd'hui, je vais parler de l'une de ces méthodes.

Qu'avons-nous:

1. Nouveau routeur Archer c20v4, tout juste sorti de la boîte, avec le dernier firmware officiel.
2. Adresse IP externe sur l'interface Wan et accès Web ouvert.
3. Un mot de passe est suffisamment complexe pour ne pas se soucier de sa sélection et d'un cercle restreint de personnes qui le connaissent.
4. Après une journée: usurpation d'identité DNS et toutes les demandes sont regroupées sur un talon.

Ce dont vous avez besoin:
Découvrez comment accéder à l'appareil.

Tout d'abord, sur un patient testé, tous les anciens bugs connus trouvés sur Google ont été testés. Bien sûr, rien n'a fonctionné.

Un script a été trouvé sur le github ( tyk ) qui vous permet d'exécuter à distance des commandes sur les modèles C20i et C2 depuis la racine. Un peu pas ce dont nous avons besoin, mais fixons la bonne direction.

Toutes les fonctions ont le même «shell» pour les requêtes - ce sont des requêtes POST pour url / cgi? 2 (et 7), " [setup_name # 0,0,0,0,0,0,0 # 0,0,0,0,0 , 0] "et un référent spécial.

Téléchargez les codes sources de notre firmware sur le site officiel tp-link et décompressez-le. Parce que la gamme de routeurs est la même, alors le logiciel devrait être au moins un peu similaire, non?


Bingo Le nom du fichier indique qu'il sera plus intéressant encore. Nous trouvons dans le code une ligne dans laquelle nous avons vu le chéri "cgi? 2". Voici la fonction complète:


Cette fonction, lorsqu'elle est exécutée, appelle un autre - getUsrName ().

Fonction de connexion:


Mais ne faites rien avec la connexion. Nous sommes intéressés par un mot de passe. Nous savons que la connexion est stockée dans la variable adminName, à l'intérieur de l'objet USER_CFG. Une recherche dans la source a donné les résultats suivants: (je ne laisserai que le résultat souhaité)


Ouvrez réduite_data_model.xml et recherchez-y le fragment de code suivant:


Ici, nous avons stocké la variable déjà connue "AdminName" et à côté - AdminPwd. Sonne comme la vérité.

Il ne nous reste plus qu'à former la bonne requête POST, à laquelle nous devons répondre avec les données nécessaires au routeur. Nous nous tournons à nouveau vers le script du github et voyons comment cela se fait là:


Par analogie, nous formulons notre demande:


IIIiii envoyer. Dans Wireshark, le package ressemble à ceci:


Nous regardons la réponse:


Un lecteur attentif remarquera que la requête POST a été envoyée à "/ cgi? 1", et pas comme dans le script à "/ cgi? 2". C'est vrai. Nous avons juste besoin de trouver le mot de passe. Après avoir reçu les données pour autorisation, vous pouvez déjà vous engager dans une honte uniforme.

Connectez-vous:


Et nous sommes déjà autorisés à arnaquer toutes les données que nous considérons comme importantes uniquement en consultant le fichier réduite_data_model.xml:





Pour le moment, les codes source du routeur C20v4 ont été supprimés du site Web de Tp-Link et les codes V5 ont été publiés à la place. Mais malheureusement, il n'y a pas encore de firmware officiel.

La bonne nouvelle: cette vulnérabilité n'est exploitée que si l'accès Web est ouvert à tous.
La mauvaise nouvelle: les robots de quelqu'un frappent déjà sur des adresses externes avec les bonnes demandes.

En plus du modèle ArcherC20V4 , le modèle ArcherC2V5 est également affecté par cette vulnérabilité .