Domanda:
Qualcuno senza il login WiFi e nessun accesso fisico a un router può comunque accedervi con il login amministratore?
Q-bertsuit
2018-09-19 11:58:16 UTC
view on stackexchange narkive permalink

Se si dispone di un router con login e password predefiniti per la pagina di amministrazione, un potenziale hacker può accedervi senza prima connettersi alla LAN tramite il login WiFi?

Cinque risposte:
#1
+68
Sjoerd
2018-09-19 12:14:53 UTC
view on stackexchange narkive permalink

Ciò potrebbe essere possibile utilizzando la richiesta tra siti falsa. In questo attacco, l'aggressore attiva una richiesta al router, ad esempio includendo un'immagine sul suo sito:

  <img src = "http://192.168.1.1/reboot_the_router?force=true ">  

Quando un utente visita il suo sito, questo innesca una richiesta al router.

Il sito dell'aggressore può attivare richieste, ma non visualizzare le risposte. Non tutti i router sono vulnerabili a questo. L'impostazione di una password non predefinita protegge sicuramente da CSRF 1 .

esistono piani per bloccare tali richieste nel browser, ma queste non sono state ancora implementate.

Modifica 1 : L'impostazione di una password non predefinita protegge da CSRF in alcuni casi. L'aggressore non può più falsificare una richiesta di accesso utilizzando le credenziali predefinite. Tuttavia, se hai già effettuato l'accesso al router, può utilizzare la tua sessione corrente.

Wow interessante.Quindi questo richiede che un utente che ha accesso alla LAN faccia clic su un collegamento specifico su qualche sito?Un hacker non sarà in grado di prendere di mira specificamente un router?
Sì, un utente LAN visita il sito dell'aggressore e questo causa una richiesta dell'utente LAN al router.
Ma un router in genere non è progettato per garantire l'accesso alla sua pagina di configurazione, anche con i dettagli di login / password, senza a) avere accesso fisico o b) avere accesso LAN?
A seconda di come l'interfaccia web amministrativa gestisce l'autenticazione, potrebbe essere necessario fornire il nome utente e la password predefiniti nell'URL per l'autenticazione HTTP: ""
@Q-bertsuit L'utente * non * ha accesso alla LAN.
Per quanto sia d'accordo sul fatto che le password predefinite dovrebbero essere cambiate, non credo che aiuterebbe contro CSRF.Che tu abbia effettuato l'accesso con una password complessa o debole, non importa.Hai già effettuato l'accesso e CSRF molto probabilmente funzionerebbe.IMHO, il consiglio migliore, in questo caso, sarebbe quello di disconnettersi sempre dall'interfaccia di amministrazione.Non rimanere connesso dopo averlo finito.e non spuntare la casella "Ricordami" durante il login.
Molti router "SoHopeless" sono anche insicuri, il numero di CVE in cui solo chiamare un URL e convincere il router a eseguire comandi senza alcuna sicurezza è una fonte costante di stupore.Vedi https://www.vpnmentor.com/blog/critical-vulnerability-gpon-router/
Il componente aggiuntivo NoScript nelle versioni di Firefox precedenti alla 57 (che disabilitava molti componenti aggiuntivi) filtra tali richieste.
Questo exploit non funziona bene come funziona.Le richieste GET dovrebbero essere "sicure" e non dovrebbero innescare effetti collaterali.Inoltre, i token CSRF sono stati una pratica standard nei moduli Web da molti anni.Ma i router sono tutti terribili, quindi immagino che questo sia ciò che dovremmo aspettarci.
@Kevin è sulla strada giusta qui - questo è possibile ma * solo * se il computer è già connesso al router * e * il router ha una vulnerabilità CSRF.CSRF è facile da proteggere, ma molti router fanno schifo.Non è così semplice come indicato nella risposta.
@allo: Passa a un derivato di FireFox che ti consente comunque di mantenere tutti i componenti aggiuntivi utili.
#2
+21
Sjoerd
2018-09-19 12:41:38 UTC
view on stackexchange narkive permalink

Quasi tutti i router sono configurati per impostazione predefinita per esporre l'interfaccia di amministrazione solo al lato "LAN" e non a Internet. Alcuni router hanno l'opzione di abilitarlo o disabilitarlo, quindi sarebbe bene controllare le impostazioni del tuo router.

Puoi anche testarlo usando un port scanner online o questo Strumento ShieldsUP!. Questi controlleranno se possono accedere a qualsiasi cosa sul tuo router da Internet.

Per essere onesti, è improbabile che questa impostazione sia attivata su un router configurato con le credenziali predefinite.Non credo di aver mai visto un caso in cui la configurazione predefinita consentirebbe la gestione remota ...
#3
+11
kevin
2018-09-19 14:29:32 UTC
view on stackexchange narkive permalink

Sì, facilmente.

Esistono diversi modi in cui un utente malintenzionato può accedere a detto router. Ecco alcuni vettori di attacco che ho in testa:

Cross-site Request Forgery

Fondamentalmente, il tuo browser è connesso alla LAN. Se navighi su una pagina ospitata sul server dell'aggressore, anche il tuo browser è connesso ad essa. Pertanto, tramite il tuo browser, l'hacker può accedere alla pagina di amministrazione del tuo router. Se l'hacker può ottenere una risposta dipende dalle specifiche dell'implementazione.

È ancora più semplice se "browser" viene sostituito con "file eseguibile".

Puoi fare riferimento a Sjoerd's post per dettagli tecnici.

Pagina di amministrazione esposta

Molti router hanno la possibilità di abilitare l'accesso esterno alla pagina di amministrazione, oltre all'accesso interno.

Per Ad esempio, il tuo router ha un IP esterno 8.8.8.8 , mentre l'IP interno è 192.168.0.X . Se l'accesso esterno è abilitato, chiunque su Internet può digitare http://8.8.8.8 e visualizzare la pagina di accesso dell'amministratore del router.

Questa opzione è disabilitata per impostazione predefinita.

VPN

La VPN è un'altra funzionalità inclusa nella maggior parte dei router domestici. Lo scopo è consentirti di accedere alla tua rete domestica dall'esterno. Per definizione, puoi connettere la pagina di amministrazione del router una volta che sei connesso alla VPN.

La VPN è probabilmente disabilitata per impostazione predefinita.

#4
+3
B from C
2018-09-20 16:03:27 UTC
view on stackexchange narkive permalink
  • Se il tuo computer è stato infettato da malware, l'aggressore potrebbe già avere accesso remoto e quindi trovarsi all'interno della tua rete domestica senza che lui sappia nemmeno se stai utilizzando una LAN via cavo o una WLAN su questo particolare computer. (Ha bisogno di assistenza da parte tua, come aprire un allegato di posta elettronica o visitare un sito Web che utilizza un exploit zero-day per il tuo browser. Ma l'ingegneria sociale è un apriporta comune per gli hacker per farti fare loro questo favore.)
  • Lo stesso vale per i telefoni cellulari vulnerabili (ad esempio un vecchio Android per il quale non vengono più fornite correzioni), perché potrebbero essere stati infettati in un luogo pubblico, ad esempio una WLAN aeroportuale non crittografata.
  • Sfortunatamente, potrebbero esserci dispositivi IoT che molto probabilmente non riceveranno mai alcun aggiornamento software. Se una lampadina intelligente accetta comandi tramite Bluetooth e WLAN e in qualche modo consente di iniettare il codice, può essere aggiornata con un firmware modificato dall'esterno della casa e quindi utilizzata come bridge nella rete domestica.
Ho visto l'ultimo punto accadere a me stesso, l'antivirus che stavo usando ha rilevato un'intrusione da una delle telecamere dell'ufficio (ho persino inserito una [domanda in questo SE] (https://security.stackexchange.com/questions/176794/web-attack-cctv-dvr-remote-code-execution-node-js-swedish-string-js-url)) ... Presumo che questi siano ponti comuni al giorno d'oggi.
#5
+1
n00b
2018-09-21 07:22:50 UTC
view on stackexchange narkive permalink

Questo è possibile anche tramite DNS Rebinding. L'attacco è spiegato in dettaglio in questo articolo ma in breve, se visiti un sito Web dannoso (o un sito Web con codice dannoso, come in un annuncio o XSS), può essenzialmente indurre il tuo browser a fare una richiesta al tuo router, sulla tua rete locale, che consenta all'aggressore di apportare modifiche da remoto.

Alcune citazioni rilevanti;

  ... storicamente, i router di rete stessi sono alcuni degli obiettivi più comuni per gli attacchi di rebinding DNS ... Ci sono due vettori di attacco comuni che ho visto con il rebinding DNS: 1. INVIO delle credenziali predefinite a una pagina di accesso come http://192.168.1.1/log nell'amministratore del proprio router. Una volta che l'attaccante si è autenticato, ha il pieno controllo del dispositivo e può configurare la rete a suo piacimento. Utilizzo dell'interfaccia IGD (Internet Gateway Device) di un router tramite UPnP per configurare connessioni di port forwarding permanenti ed esporre porte TCP UDP & arbitrarie sulla rete a Internet pubblico.  

Da quello che ho capito questo richiede un po 'di configurazione ed è specifico per l'interfaccia con cui hai a che fare (cioè uno script javascript non funzionerà con ogni interfaccia del router). Il DNS Rebinding non è limitato ai router, come leggerete nell'articolo.



Questa domanda e risposta è stata tradotta automaticamente dalla lingua inglese. Il contenuto originale è disponibile su stackexchange, che ringraziamo per la licenza cc by-sa 4.0 con cui è distribuito.
Loading...