某型號(hào)路由器的緩沖區(qū)溢出就能危及成千上萬的WiFi用戶

公共無線網(wǎng)絡(luò)的隱私和安全危害有了完美例證，一名以色列黑客展示了他拿下整座城市免費(fèi)WiFi網(wǎng)絡(luò)的能力。

某天，在從公司回家的路上，以色列網(wǎng)絡(luò)安全公司 Equus Technologies 的研究主管阿米哈伊·內(nèi)德曼，發(fā)現(xiàn)了一個(gè)他之前從未見過的無線熱點(diǎn)。不同尋常的是，該熱點(diǎn)竟然出現(xiàn)在根本沒有建筑物的區(qū)域。

最后他發(fā)現(xiàn)，這個(gè)廣播成“FREE_TLV”的熱點(diǎn)，是以色列特拉維夫當(dāng)?shù)卣O(shè)立的城域免費(fèi)WiFi網(wǎng)絡(luò)。這讓內(nèi)德曼好奇：到底有多安全呢？

接下來的幾周里，找出侵入該網(wǎng)絡(luò)的途徑就成了他業(yè)余時(shí)間的副業(yè)。首先，他從遍布全城的接入點(diǎn)之一連進(jìn)網(wǎng)絡(luò)，核對(duì)他的新IP地址。這地址通常是分配給所有WiFi客戶端訪問互聯(lián)網(wǎng)都要經(jīng)過的路由器的。

然后，他斷開連接，從互聯(lián)網(wǎng)掃描該IP地址以找出開放端口。他發(fā)現(xiàn)，該路由器在443端口(HTTPS)開放了一個(gè)基于Web的登錄界面。

該界面顯示了制造商的名稱——Peplink，但除此之外就沒別的了，設(shè)備型號(hào)這些都沒有。對(duì)該Web界面的分析并沒有揭露任何基本漏洞，比如SQL注入、默認(rèn)或弱登錄憑證、身份驗(yàn)證繞過漏洞等。

他意識(shí)到，對(duì)該設(shè)備的實(shí)際固件進(jìn)行更深入的分析是必要的。但識(shí)別該設(shè)備，找到該從制造商官網(wǎng)下載哪種具體固件并不容易，因?yàn)镻eplink為各種行業(yè)提供很多類型的網(wǎng)絡(luò)設(shè)備。不過，他最終鎖定了Peplink的 Balance 300 高端負(fù)載均衡路由器第5版。

該固件采用了基本的異或加密來讓第三方更難以逆向固件文件系統(tǒng)，但該方式相對(duì)容易被繞過。一旦所有東西都未封包并載入模擬器，內(nèi)德曼就可以訪問構(gòu)成該路由器Web界面的CGI(通用網(wǎng)關(guān)接口)腳本。

內(nèi)德曼在處理注銷過程的CGI腳本中找到緩沖區(qū)溢出漏洞并沒有花去太多時(shí)間。只需向該腳本發(fā)送超長(zhǎng)會(huì)話cookie，漏洞就可被利用，成功的利用會(huì)導(dǎo)致任意代碼執(zhí)行，最終接管整個(gè)設(shè)備。

11月10號(hào)在羅馬尼亞首都布加勒斯特舉行的DefCamp安全大會(huì)上，內(nèi)德曼展示了他的發(fā)現(xiàn)及逆向過程。因?yàn)榭赡軙?huì)觸及法律糾紛，他并沒有說明是否在運(yùn)營(yíng)特拉維夫公共WiFi網(wǎng)絡(luò)的 Peplink Balance 路由器上進(jìn)行了實(shí)際漏洞利用測(cè)試。

然而，當(dāng)他向Peplink報(bào)告該漏洞時(shí)，這家公司確認(rèn)了漏洞，卻是在后續(xù)發(fā)布的固件更新中才打上補(bǔ)丁。所以，在內(nèi)德曼發(fā)現(xiàn)該漏洞時(shí)，F(xiàn)REE_TLV的路由器固件確實(shí)是脆弱的。

雖然在路由器中發(fā)現(xiàn)漏洞并不少見，但此案例依然十分突出，因?yàn)樗@現(xiàn)出可以通過黑掉市政設(shè)立的大型公共WiFi網(wǎng)絡(luò)，攻擊成千上萬的用戶。

通過控制路由器，攻擊者可偷偷窺探流經(jīng)該設(shè)備的所有未加密用戶流量，捕獲敏感信息。他們還可以發(fā)起活動(dòng)攻擊，比如在用戶訪問合法網(wǎng)站時(shí)重定向用戶到流氓Web服務(wù)器，或者注入惡意代碼到非HTTPS網(wǎng)頁(yè)中。

大型網(wǎng)絡(luò)通常都是標(biāo)準(zhǔn)化的，采用同型號(hào)的設(shè)備以便于管理。可供侵入其中一個(gè)接入點(diǎn)的漏洞，就能用在整個(gè)網(wǎng)絡(luò)中所有的接入點(diǎn)上。

此類攻擊，就是為什么用戶被強(qiáng)烈建議在從公共或不可信WiFi網(wǎng)絡(luò)接入互聯(lián)網(wǎng)時(shí)，要采用VPN(虛擬專用網(wǎng))服務(wù)的原因所在。

內(nèi)德曼表示，他驚訝于Peplink對(duì)其報(bào)告的響應(yīng)，以及該公司處理漏洞的方式。他強(qiáng)調(diào)，網(wǎng)絡(luò)中路由器的不安全部署方式，也有可能促成此類攻擊。他們的管理界面不應(yīng)該暴露在互聯(lián)網(wǎng)上。

生成海報(bào)

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。