Hakovanje rutera – video demonstracija

Hakovanje rutera

Izvršićemo hakovanje jednog od najprodavanijih ADSL rutera na svetu. U pitanju je TP-Link TD-W8901G koji se koristi kako kod svih domaćih provajdera, tako i u svetu. Izvršićemo hakovanje rutera sa WAN strane, odnosno sa interneta. Ovaj model uređaja dozvoljava menadžment sa WAN strane, što ćemo iskoristiti kao tačku napada. Ukoliko imate ruter koji po default-u može da se konfiguriše samo sa LAN strane, niste ni tada 100% sigurni, pošto postoji i skripta koja menja dns-ove na ruteru i sa LAN strane.

 

Ja sam promenio admin šifru, ja sam bezbedan 🙂

Ovom ruteru se po deafultu pristupa sa admin/admin, u ovom slučaju, korisnik je promenio password na nešto drugo, dakle, šifra više nije admin. Ovo bi već trebalo da bude dovoljno sigurno u odnosu na hiljade ovakvih rutera sa nepromenjenim admin passwordom. Svi oni su do sada sigurno hakovani. Ovaj ruter sa WAN strane ima otvoren web, telnet, ftp, TR-069, a mi ćemo napasti web servis. Pošto se WAN interfejs ovog rutera nalazi na javnoj IP adresi, on je izložen svim mogućim napadima/skriptama/hakovima… Dakle sigurnost vaše mreže zavisi isključivo od ovog uređaja.

Šta ćemo da prikažemo na klipu:

• Pokušaj pristupa sa admin/admin
• Probijanje šifre i ulaz na ruter
• Prikaz hakovanog DNS servera na ruteru
• Promena passworda za pristup ruteru
• Ponovno hakovanje i prikaz nove lozinke

Hakovanje rutera video

Da se deca ne bi igrala

U klipu sam sakrio sve moguće IP adrese i web adrese, kako se deca ne bi zaigrala. Neću davati odgovore na pitanja, kako si hakovao, koji program itd… U klipu se vidi da je to jako jednostavno, ukoliko se poznaju ranjivosti određenih uređaja. Ceo proces se može automatizovati pomoću Python skripte, što se i radi, i ovde hakeri bukvalno jedni drugima prepravljaju DNS-ove 🙂 . Vodi se borba.

Nešto sporiji internet

Zbog korišćenja rouge dns-a hakera, koji se hostuje u ko zna kojoj zemlji, odziv i razrešavanje upita je dosta sporije u odnosu na dns server provajdera, koji je na jedan hop od vas.

Šta mi je činiti

U ovom slučaju nije problem do vas, vi ste šifru promenili. Vaš internet provajder bi trebalo da blokira dst portove 80,21,22,23… ali u tom slučaju se javlja Pera Perić kako mu ne radi kineski DVR na portu 80 🙂 . I ovo se može rešiti promenom porta na dvr-u…

Glavni problem je do ZyNOS softvera koji se nalazi u samom ruteru i koji ima sigurnosni propust. Nažalost, ovaj softver se nalazi i u nekim drugim modelima sledećih vendora: TP-Link, ZyXEL, Asus, Huawei…  TP-Link je nakon ovog skandala, koji se dogodio pre dve godine, izbacio novi firmware, koji po defaultu ima uključen ACL, koji blokira menadžment sa WAN strane.
Koliko njih je uradilo upgrade firmware-a? Gotovo niko.
Koliko njih zna da su hakovani? Gotovo niko.

Orion Telekom i „motherfu**er“ virus

Pre par meseci je hakovana gotovo cela wireless mreža Orion telekoma – najveća domaća wireless mreža. Napadnuti su na sličan način Ubiquiti uređaji, gde je svaki zaraženi klijentski Access Point ruter emitaovao SSID: Motherfu**er! Ovo je ozbiljno uzdrmalo ovog provajdera, koji možda još uvek nije uklonio sve hakovane uređaje.
Orion je napravio veliku grešku i nije štitio menadžment sa WAN strane. Ubiquiti je najveći proizvođač opreme za kućni wifi, ali i on ima sigurnosni propust u svom AirOS-u.

Hakovanje DNS-ova i sa LAN-a

Postoji i način da hakuju ruteri i sa LAN strane. Više o tome ovde.
Provera da li vaš ruter može biti hakovan sa LAN-a.

1. Open a browser and log in to your router
2. Navigate to the DHCP settings and note the DNS servers (it may be 0.0.0.0, which means that it uses the DNS server from your router’s upstream internet connection)
3. Open a new browser tab and visit the following URL (you may have to adjust the IP addresses if your router isn’t using 192.168.1.1):

https://192.168.1.1/userRpm/LanDhcpServerRpm.htm?dhcpserver=1&ip1=192.168.1.100&ip2=192.168.1.199&Lease=120&gateway=0.0.0.0&domain=&dnsserver=8.8.4.4&dnsserver2=8.8.8.8&Save=%B1%A3+%B4%E6

If your router is vulnerable, this changes the DNS servers to 8.8.4.4 and 8.8.8.8 (the two IP addresses from Google Public DNS). Please note that the request also reverts the DHCP IP range and lease time to the default value.
4. Go back to the first tab and reload the DHCP settings in the router web interface
5. If you see the servers 8.8.4.4 and 8.8.8.8 for primary and secondary DNS, your router is vulnerable.
6. Revert the DNS settings to the previous settings from step 2
7. If your router is vulnerable, you may also upgrade it to the latest firmware and check whether it is still vulnerable.

Zašto mi hakuju DNS i kako da se odbranim?

Ukoliko bude bilo interesovanja, napisaću drugi deo ovog članka 🙂