Автор: Vladislav Zubko
Хороший кейс о том, как использовать чужие принтеры, веб-камеры и узнать IP-адреса всей страны на примере такого небольшого, но довольно-таки прогрессивного государства как Австрия. Интересно, если бы данное исследование проводилось в СНГ, сколько бы уязвимых машин государственных служащих и учреждений удалось бы обнаружить за 1 час?
Как вы заполучили IP-адреса всей страны?
Это очень просто. IP-адреса генерируются не просто в зависимости от страны, но, чаще, присваиваются центральным органом власти. Это означает, что есть списки IP-адресов стран. Любой может скачать такой список. Введите:
grep Austria IP2LOCATION-LITE-DB1.CSV > austria.csv
и запустите простой скрипт, чтобы конвертировать IP-адреса в приемлимый формат. Австрия имеет 11 миллионов адресов IPv4. Если вы не хотите играть с IP-адресами самостоятельно, вы также можете использовать Shodan.io
Первое, что нужно проверить: есть ли в сети какие-нибудь не пропатченные устройства с Windows?
Конечно, ни один системный администратор в Австрии не откроет в сеть не отфильтрованные порты Windows SMB, не так ли?
masscan -p445 --rate 300 -iL austria.ips -oG austria.445.scan && cat austria.445.scan | wc -l
Обнаружено 1273 незащищенных открытых Windows-машин. Сам по себе, этот факт мог бы заставить большинство системных администраторов вспотеть, кроме того, с того момента как Shadowbrokers был опубликован ETERNALBLUE exploit, большинство айтишников согласятся с тем, что давать доступ в интернет таким устройствам не очень хорошая идея.Тем не менее, ни одна из 1273 машин не была уязвима для ETERNALBLUE.
Достаточно о Windows, как насчет open resolvers?
Вы когда-нибудь слышали о них? Если нет, вы наверняка слышали о DDoS-атаках. Это реальная угроза в сети. Это работает так: Злоумышленник отправляет небольшой DNS-запрос из спуфнутого IP-адреса и сервер отвечает намного большим пакетом этому IP. Таким образом, злоумышленник использует только 40 байтов, а открытый распознаватель отвечает 4000 байтами жертве. Таким образом, злоумышленник может "положить" сервера компании со скоростью выгрузки не больше, чем у обычного смартфона, - такое случается довольно часто. Давайте проверим, сколько открытых резолверов размещено в Австрии
Cканируем всю Австрию на наличие 53 UDP-порта
Обнаружилось ровно 8728 уязвимых DNS-серверов в Австрии. 0,08% всех австрийских IP-адресов являются хост-серверами DNS. Хорошо, но большинство из них защищены
masscan -pU:53 -iL austria.ips -oG austria.53.scan && cat austria.53.scan | wc -l
Но это мало что значит. Более важно то, являются ли эти DNS-серверы открытыми резолверами?
ППоиск открытых резолверов
Метод довольно прост: используя команду dig проверяем будет ли IP резолвить какой-либо адрес, который ему передается. Обходим циклом файл с IP адресами и запускаем каждый адрес в стиле:
dig +short test.openresolver.com TXT @ip.of.dns.server
Если он отвечает как "open-resolver-detected"- логируем его и обновляем счетчик. Печально, но используя этот метод, обнаружилось, что около 25% всех австрийских DNS-серверов были открытыми резолверами. Но, по факту, это 0,02% из всех австрийских IP-адресов
Что еще уязвимо в Австрии?
Самая простая вещь для сканирования - это порт 80 (веб-серверы и прокси).
Web-серверы
67 тысяч IP-адресов Австрии отвечают на порт 80 (http). 40 тысяч из них ответили на мой IP-адрес простым GET-запросом (как браузер), и если вы удалите те, которые выдают сообщения об ошибках, мы получим 17 тысяч веб-серверов, которые на самом деле что-то обслуживают.
Apache - наиболее часто используемый веб-сервер (который отправляет заголовок «Server»). Самая старая версия, которая обнаружилась, была Apache 1.3.12 от 2012 года, работающая на сервере Windows. Так же, нашлись 4 сервера, работающие на устройстве Windows CE. Windows CE была опубликована в 1996 году, а в 2013 году патчи перестали выходить.
Принтеры.. потому что.. а почему бы и нет?
Обнаружено 9 принтеров HP без авторизации, они полностью уязвимы в сети и даже печать работала.
У этого также была возможность отправить Факс через веб-сайт. Хорошо для владельца: номер факса устройства был зарегистрирован на устройстве, поэтому нашелся контакт и, с тех пор, устройство удалено из Интернета. Успех!
Веб-камеры
Ниже предоставлена одна из более 300 IP-камер, которые транслируют прямые трансляции без входа в систему. Если вы хотите увидеть их все, перейдите сюда:
Выводы
Австрия - маленькая страна, но у нее те же проблемы, что и у крупных стран, когда речь заходит об информационной безопасности. Нужно лучше понять, что является безопасным, а что нет; поставщики и производители устройств должны помочь с безопасными предварительными настройками. Исследование было опубликовано mpweiher.