В беспроводных маршрутизаторах D-Link выявлена (http://www.pcworld.com/article/2876276/dns-hijacking-vulnera... уязвимость, позволяющая поменять значения указанных в настройках DNS-серверов, отправив специально оформленный (http://packetstorm.wowhacker.com/1501-exploits/dlinkdsl2740r... запрос к web-интерфейсу, выполняемый без аутентификации. В случае недоступности web-интерфейса из внешней сети уязвимость может быть эксплуатирована через проведение CSRF-атаки на пользователя локальной сети.
Наличие проблемы подтверждено в устройствах D-Link DSL-2740R и DLS-320B, но потенциально уязвимость может проявляться и в других моделях на базе разработанной компанией ZuXEL прошивки ZynOS (https://en.wikipedia.org/wiki/ZyNOS), в том числе в устройствах TP-Link и ZTE. Подменив DNS-серверы атакующий в дальнейшем может перенаправить пользователя на подставные сайты или организовать перенаправление запросов через свой сервер.
URL: http://www.pcworld.com/article/2876276/dns-hijacking-vulnera...
Новость: http://www.opennet.me/opennews/art.shtml?num=41596
>В беспроводных маршрутизаторах D-Link выявлена уязвимостьПорвали 3 баяна.
Опять АНБ придется бэкдоры переделывать. Ну что за люди, никакого покоя товарищмайорам от них.
Да ладно, один из тысячи бэкдоров обнаружили, невелика потеря. В следующих версиях прошивки сделают еще столько же новых, замучаются находить.
> Опять АНБКакому АНБ? Это D-Link. Китайским чекистам. И то не факт, что это чекисты, а не обычная китайская безалаберность.
> Какому АНБ? Это D-Link. Китайским чекистам. И то не факт, что это
> чекисты, а не обычная китайская безалаберность.D-Link это Тайвань - фактически контролируется Китайской респубиликой союзником США, а чекисты в Китайской народной республике.
Помню какой то роутер ломал, когда не имел админских прав. Заходишь в него под гостевой учёткой, затем открывался отдельный фрейм-меню, через Opera 12 и просмотр кода я менял в массиве пару параметров, отвечавших за отображение масива (сменил слово "Guest" на "Admin"), затем применил изменение и вуаля, фул меню админа. И это реально сработало, настолько кривая система безопасности была, даже последняя версия прошивки не помогла.
> Помню какой то роутер ломал, когда не имел админских прав. Заходишь в
> него под гостевой учёткой, затем открывался отдельный фрейм-меню, через Opera 12
> и просмотр кода я менял в массиве пару параметров, отвечавших за
> отображение масива (сменил слово "Guest" на "Admin"), затем применил изменение и
> вуаля, фул меню админа. И это реально сработало, настолько кривая система
> безопасности была, даже последняя версия прошивки не помогла.На эти девайсы OpenWRT не лезет что ли?
OpenWrt оказывается вообще мало куда лезет, да куча железок на сайте заявлена, но ревизии почему в магазинах лежат другие, если изначально целью задаться, то можно найти, но блин, народ же сначала берет, потом выясняет че с этим делать.
помню в длинках были пользователи user/user и support/support, которые в веб-интерфейсе ограничены в правах, в через телнет маппились в root. хорошо хоть телнет по-умолчанию отключен
А вообще ништяк, прогнать скрипт по интернетам и перенаправить пользователей в свою фишинговую сеть
>ZuXEL - что это?ZuXEL - это устройство работающее под управлением ZunOS.
>>ZuXEL - что это?
> ZuXEL - это устройство работающее под управлением ZunOS.Зюхель же
Единственное на что дырлинк годен - это перелить его в опенврт. Дефолтная фирмварь дырлинков - полный крап.
А что ты будешь делать с теми, кто не знает даже слово "прошивка".
Реальный кейс, атака на один из "оппозиционных" сайтов была выполнена с помощью дырок в устройствах d-link и еще одного прибалтийского вендора. Те и другие тронские кони от Ростелекома. Пришлось вооружаться Metasploit, рандомизировать жертвам пароли, обновлять прошивки.
> А что ты будешь делать с теми, кто не знает даже слово
> "прошивка".
> Реальный кейс, атака на один из "оппозиционных" сайтов была выполнена с помощью
> дырок в устройствах d-link и еще одного прибалтийского вендора. Те и
> другие тронские кони от Ростелекома. Пришлось вооружаться Metasploit, рандомизировать
> жертвам пароли, обновлять прошивки.и вот так у них всё. жадные, как все чатлане: «без админа на два чатла дешевле!»
>> А что ты будешь делать с теми, кто не знает даже слово
>> "прошивка".
>> Реальный кейс, атака на один из "оппозиционных" сайтов была выполнена с помощью
>> дырок в устройствах d-link и еще одного прибалтийского вендора. Те и
>> другие тронские кони от Ростелекома. Пришлось вооружаться Metasploit, рандомизировать
>> жертвам пароли, обновлять прошивки.
> и вот так у них всё. жадные, как все чатлане: «без админа
> на два чатла дешевле!»Не в админе дело, а в сотнях тысяч одинаковых дырявых роутеров, которые они своим клиентам дают бесплатно, забивая либо сначала на безопасную конфигурацию, либо потом на обновлении прошивок, либо и то, и другое. Короче, я так и не понял, был ли это умесел или вредительство.
Обновление - палка о двух концах и должно проводиться вручную.
А то увидят юзеры как-нибудь утром "Your router is blocked due export sanctions of USA (China/etc) government. We are sorry..."
Дырки оставила фирма из Тайвани, один из союзников США и АНБ в частности. А виноват конечно же Ростелеком. Логика!
> Дырки оставила фирма из Тайвани, один из союзников США и АНБ в
> частности. А виноват конечно же Ростелеком. Логика!конечно, не ростелеком. они же, бедные, с хлеба на воду перебиваются, куда уж им до аудита прошивок…
> конечно, не ростелеком. они же, бедные, с хлеба на воду перебиваются, куда уж им до аудита прошивок…А должны ли? Должны ли проводить аудит только для Dlink или для остальных тоже, например Zyxel и как для этого Zyxel проводить?
И готовы ли пользователи платить платить повышенный тариф за этот аудит, чтобы предотвращать атаки на сайты?
Или может все таки сайты должны оплатить услуги провайдера по защите от сетевых атак, в том числе от DDOS?
А то у нас сетевых бот-нетов на виндах еще больше чем на Dlink или от них тоже Ростелеком должен сайты защищать, бесплатно?
> А должны ли?конечно, нет: ведь проблемы оборудования, которое они поставляют — это проблемы клиентов, а не ростелекома.
желаю тебе лечиться у таких же врачей и жить в домах, построеных такими же строителями. если вдруг что — это твои проблемы.
> конечно, нет: ведь проблемы оборудования, которое они поставляют — это проблемы клиентов, а не ростелекома.
> желаю тебе лечиться у таких же врачей и жить в домах, построеных такими же строителями. если вдруг что — это твои проблемы.В данном случае устройство (дом или бракованное лекарство в вашей терминологии) сделало Dlink, Zyxel и другие. Оставили дыры, не уведомив поставщика о возможных проблемах. Это так называемый скрытый дефект.
Никакой проведенный аудит безопасности не гарантирует, что все дырки были найдены. Но если дырки выявляются, то это брак производителя и он должен устранить и компенсировать ущерб.Если в автомобиле найден скрытый заводской брак, то кто должен отозвать автомобиль на устранение недостатков?
> Если в автомобиле найден скрытый заводской брак, то кто должен отозвать автомобиль
> на устранение недостатков?автосалон, естественно. а уж как он там будет с производителем решать — проблемы производителя.
А автосалон, должен проводить полный аудит безопасности и разбирать весь автомобиль до винтика и проверять нет ли скрытых дефектов конструкции?Вдруг там топливный насос при определенных условиях приводит к возгоранию топлива, т.е. он работает, но потенциально опасен.
(пожимает плечами) это проблемы автосалона, меня они не волнуют.
Судебные решения в студию, где за конструктивные недочеты отвечал бы автосалон, а не производитель.
Можно судебные решения в ЕС или США.
Например судебное решение, что отвечал бы автосалон, за то что сталь могла бы быть маркой получше или потолще, или наоборот потоньше для обеспечения безопасности, чем применяет производитель для всех своих автомобилей данной модели и предусмотренное техническим регламентом производителя к данной модели.
для начала покажи мне, где я про суд говорил. вперёд, начинай.
А понял, это у вас просто нытье и добиваться правды через суд не ваш метод.
> А понялне льсти себе.
Ну так все таки.С кого спросить и на кого в суд подавать за дырявую винду? На Microsoft или на компьютерный магазин, который продал компьютер с предустановленной виндой?
Тоже самое для Apple или на магазин, где продают устройства Apple, которые по мнению некоторых не провели аудит безопасности прошивки должным образом.
Тоже самое для Cisco и Zyxel и т.д.
(пожимает плечами) луна жёлтая.
>Реальный кейсЧем так людям слово "случай" не угодило?
>>Реальный кейс
> Чем так людям слово "случай" не угодило?Элемент случайности борют, и тёплая волна накрывает...
И для этого далеко не всегда готов. Замучался подбирать, в итоге еще и не та аппаратная ревизия попалась. В общем, продал.
Если ставить опенврт, есть разница какую железку выбирать?
есть
> Если ставить опенврт, есть разница какую железку выбирать?Обычно это как-то так: идем на http://wiki.openwrt.org/toh/start и выбираем себе из этого чего-нибудь максимально мощное по CPU и с достаточным объемом RAM и желаемыми плюшками (ну там вланы, юсб, гигабитные порты, ... ) из того что есть в пределах досягаемости.
Из относительно дешево но сердито - например тплинк 1043v2. Но именно v2, первая версия с дохлым процом и RAM в 2 раза меньше. Но можно найти и что-нибудь поинтереснее на разный вкус и бюджет.
Зато в 1043v1 можно ломать wifi, ибо держит инжекты и монитор)
> и выбираем себе из этого чего-нибудь максимально мощное по CPU и с достаточным объемом RAM и желаемыми плюшкамиА потом удивляемся - что это оно с новой прошивкой перегревается и виснет? Неужели всего лишь из-за того, что
> дешево но сердито
> Но можно найти и что-нибудь поинтереснее на разный вкус и бюджет.Например Raspberry + switch with VLAN (300р за бу длинк 24*100, 2*1000)? Или Intel Atom + 2x Gigabit LAN + USB wifi, если размер не сильно важен. БУ брал за 2000 его, винт и прочее было.
Ну не понимаю я этого мазохизма: взять недо-ПК, мощностью как в 1995г, воткнуть туда обрезанный редко обновляемый линукс, и считать что всё в ажуре. Далась вам эта разница в 15 Вт энергопотребления... Лампочку энергосберегающую поставить проще ))
у расберри 100м порт, это не очень. лучше уж тогда какой-нибудь Odroid c1 с гиговым портом и что-то вроде d-link des-1210. Но вручную настраивать айпитаблесы и интерфейсы -- не самое простое занятие для неподготовленных, даже те же vyatta/pfsense намного проще.
Ну да ) Когда консолью не владел, pfsense и ставил.
Для роутинга инета 100 Мбит порта хватит. Я тестил через старый ноут (виртуальная 2я сетевуха + nat) скорость до пиринга городского, и показывало почти как напрямую, а не в 2 раза меньше, как некоторым может показаться.
эта уязвимость существует уже давно. Летом 2014 г. у одного человека на роутере D-Link (2600 вроде, точно не помню) каким-то образом устанавливался адрес DNS-сервера какого-то голландского провайдера. Я ему посоветовал роутер поменять.