Úchylná konfigurace ADSL modemu

21.4.2009 19:54 | Přečteno: 8109×

Dnes jsem instaloval "samoinstalační ADSL balíček" od O2. Instalací ADSL už mám za sebou několik, ale pokaždé byl modem pouze v režimu bridge a všechno důležité se odehrávalo na linuxu za ním. Tentokrát bylo potřeba modem nainstalovat v "plně okřídleném" režimu, aby stačilo zapíchnout ethernet do počítače s DHCP klientem a fungovat.

Modem byl nějaký Zyxel s rozhraním jak na ethernet tak na wifi. Nejdříve jsem zapojil modem jen do zásuvky a do notebooku, tj. ne do internetu, abych ho nastavil. Hned první věc, kterou jsem nepochopil, byla alokace IP adres. Defaultně je modem na adrese 10.0.0.138/24 a DHCP pool je 10.0.0.1 - 10.0.0.32. Nechápu proč prostě nedají modem na .1 nebo .254 a zbytek nealokují pro pool? No ale budiž. Další věc: DNS. V kolonce "DHCP options, DNS server" totiž musíte zadat "0.0.0.0", aby to přes DHCP poslalo adresu 10.0.0.1 (nebo jakou zrovna ten modem má). Pokud tam dáte 10.0.0.1, tak to napíše internal error :)

To jsem ještě zapomněl popsat, jak jsem se na modem přihlásil. Šel jsem klasicky na http://adresamodemu, kde to po mně chtělo heslo. Ale nějaké heslo tam už bylo předvyplněné. Tak jsem jen klikl na přihlásit, a byl jsem tam. Ale ouha: nikde nebylo žádné klikátko na nastavení. Řekl jsem si, že jsem tedy asi jen v nějakém neadmin režimu, a začal prohledávat dokumenty k samoinstalačnímu balíčku, ale tam nic nebylo (resp. nic z toho nefungovalo). Tak jsem zkusil pár triviálních kombinací, jako "zyxel" a "123", ale nic nefungovalo. Tak jsem začal studovat zdrojový kód toho přihlašovacího formuláře, a z defaultně vyplněného "user" jsem odvodil, že plné heslo je "admin". To nejlepší ale nakonec: přihlašovací formulář nejprve v javascriptu spočte z hesla MD5 a web serveru pošle ten hash... wtf? Nějaký trapný pokus o bezpečnost?

Při nastavování jsem si dále všiml, že se modem umí spojit na několik PPPoE najednou. První je "Internet" a druhé je "IPTV". To bych chápal, pokud někdo IPTV nemá, tak se prostě nespojí a nazdar. Co mě ale poměrně šokovalo, bylo, že podobně je nastavené i wifi: první ESSID si nastavíte vy a defaulně je navoleno WPA, ale druhé přednastavené ESSID se jmenuje "VoIP" a je na něm nastaven WEP! Tudíž pokud necháte defaultně nastavený modem a pouze zapnete wifi, budete do světa nabízet poměrně slabě zabezpečené připojení. Když jsem se pak podíval na okolní sítě, tak jsem skutečně jedno takové VoIP s WEPem zahlédl... úžasné.

Posledním, ale nejtěžším oříškem byl firewall, respektive zabezpečení přístupu zvenčí. To se nastavuje na několika místech najednou. Jedním místem je ten firewall, druhým místem je povolení služeb. Mile mě překvapilo, že telnet ani web neposlouchaly na veřejné adrese. Nevím ale jak by se to chovalo, kdyby tam dorazil paket s vnitřní adresou z vnějšku - na to tam taky bylo nějaké rádoby chytání mimozemšťanů. Na firewallu pak šlo říci jedním kliknutím, že má zahazovat vše co přijde zvenčí a kupodivu to pochopil správně, tj. pouze pro nová spojení. Jaké bylo ale mé překvapení, když při jsem zběžném portscanu zvenku zahlédl do světa otevřený port 8080, o kterém nebyla v nastavení nikde ani řeč! Když se člověk na něj připojil tak se sice tvářil jako mrtvej brouk, ale věřte tomu. Takže jsem se jal nastavit ručně všechna pravidla natvrdo: vše zvenku zahodit. Nic, port je pořád otevřený. Až když jsem zavedl další pravidlo, a to, vše zvenku na 8080 zahodit, tak to zabralo. Zajímavé, nepochopitelné.

Poučení na závěr: modem instalujte vždy nejprve lokálně, a až když prověříte všechna nastavení, tak jej připojte na net. A nezapomeňte aplaudovat O2, nebo Zyxelu, nebo kdo ten krám nastavil. Není to sice tak zlé, že by modem smrděl s otevřeným webovým rozhraním a heslem admin, ale i tak to má ještě co dohánět.

       

Komentáře

[Zdenek]

To nejlepší ale nakonec: přihlašovací formulář nejprve v javascriptu spočte z hesla MD5 a web serveru pošle ten hash... wtf? Nějaký trapný pokus o bezpečnost?

Muze se jednat o challenge-response autentizaci, pak to zamozrejme smysl ma. Samotny hash vam pak k prihlaseni nestaci.

[Tomáš]

Něco podobného jsem viděl na jednom komerčním docházkovém systému. Před odesláním se heslo nahradí  hashem (a to ještě něčím nestandardním, navíc se z hesla udělá uppercase). Jediný "přínos" k bezpečnosti je ten, že se heslo nedá uložit do Firefoxu, uložil by se ten hash. Útočník by tak musel strávit několik desítek sekund uložením první stránky na lokál, zakomentováním jednoho řádku a nastavením 'action' formuláře. A ta firma za to asi chtěla peníze.

[Zdenek]

Jenze to neni challenge-response, spravne je to tak jak pise Kvakor.

[Kvakor]

Typická impelemwentace spočíva v tom, že server vygeneruje nejaký náhoný řetězec, který klient použije jako sůl přo počítaní hesla, např. stači jen spojit sůl a heslo dohromady a z toho teprve udělat hash. Výhoda je v tom, že sůl se pokaždé pošle jiná, takže nemá smysl se pokoušet prolomit hash, nevýhoda je v nutnosti existence hesla v platinextu na straně serveru (to jde obejít uložením hesla v hashi) a nutnost kvalitního náhodného generátoru pro generování náhodného řetězce.

[pht]

To mě napadlo taky. Až u toho někdy zas budu, což bude kdovíkdy, tak se můžu podívat podrobněji, jak se počítá ten hash. Ale přijde mi to i tak trochu úchylné. Jednak lze použít HTTP autentizaci pomocí md5 nebo něčeho, která je ozkoušená, jednak lze použít SSL. Ono totiž kdybych byl chytrej hax0r tak nechám oběť se nalogovat do modemu a místo odchycení hesla bych to sezení unesl, tj. odchytil si cookie a další bezpečnostní prvky z toho HTML formuláře a ve vhodnou chvíli tam POSTnul formulář který mi změní heslo nebo tak něco.

Navíc ten modem umožňuje telnet (ale ne ssh), takže by teoreticky stačilo počkat, až někdo zkusí telnet a vyhnout se celé té šarádě. (Ano, mnoho lidí telnet nezkouší.)

[Filip Jirsák]

Asi se jedná o pokus o challenge–response autentizaci, ovšem je zvláštní to implementovat JavaScriptem, když už tento typ autentizace je popsán přímo ve standardu HTTP a umí ji každý běžně používaný prohlížeč. A je to o to zvláštnější, že jde o přihlašování k modemu po lokální síti, přičemž ten modem třeba automaticky zapne málo zabezpečené WiFi. To spíš vypadá, že nějaký vývojář toho modemu neměl do čeho píchnout…

[petr_p]

To je o tom, že v modemu běží miniaturní HTTP server, který neumí autentizaci, a protože v zadání bylo udělat „bezpečné“ přihlášení, tak se o to pokusili v javascriptu. To, že to udělali jen z půlky, je standardní jev prostupující všechny části takovýchto SOHO krabiček.

[pht]

No, ale zase umí SSL. Tak jednak ty rutiny jsou podobné a lze teda jednoduše naimplementovat i tu HTTP autentizaci. A jednak by stačilo autentizaci dělat přes HTTPS. Ale zase chápu, že se "báli" zprovoznit jen HTTPS a normální HTTP vypnout :)

[Zdenek]

Upresneni: odchyceny hash nelze znovu pouzit k prihlaseni

[Jan Drábek]

S jedním modemem od O2 (zyxel) jsem taky válčil - nešlo se na něj připojit z více než jednoho počítače (přes wifi) - nakonec to nějak začlo fungovat, ale jestli to funguje doteď to netuším.

[Kvakor]

Přesněji řečeno - pokud se do tohohle modemu vleze do adminu z jedné IP, nelze už do něj vléz z jiné IP, alespoň dokud se modem neresetuje či nevypne. Nejspíš to spadá do katogorie it's-not-a-bug-it's-a-feature .

BTW: Nejlepší admin. rozhraní u ADSL modemu jsem zatím viděl u DrayTeku Vigor2600, škoda, že neexistuje (nebo se u nás neprodává) jeho ADSL2 verze, protože proti ní je admin u Zyxelu P-660HW hnusně pomalý a prase aby se v něm vyznalo ... To i ten D-link (model si z hlavy nepamatuju), který dávají Kyslíci k O2 TV, je v tomhle lepší, i když jsem mu musel pro normální (ne-IPTV) provoz přeflashnou firmware, protože se při větším množsví spojení řezal.

[pht]

pokud se do tohohle modemu vleze do adminu z jedné IP, nelze už do něj vléz z jiné IP, alespoň dokud se modem neresetuje či nevypne

Aha, tak na to jsem narazil taky, ale už jsem raději o tom ani nepsal. Opravdu úžasné, hlavně když se do toho zapojí DHCP pool, který teoreticky rozdává adresy podle kuchyňského smradu.

[Limoto]

Není nad OpenWrt a SSH

[Grunt]

Zas tak růžové to také není. Momentálně jsem u:

(gdb) bt
#0  0x2ab9b3f4 in ?? ()
warning: GDB can't find the start of the function at 0x2ab9b3f4.

    GDB is unable to find the start of the function at 0x2ab9b3f4
and thus can't determine the size of that function's stack frame.
This means that GDB may be unable to access that stack frame, or
the frames below it.
    This problem is most likely caused by an invalid program counter or
stack pointer.
    However, if you think GDB should simply search farther back
from 0x2ab9b3f4 for code which looks like the beginning of a
function, you can increase the range of the search using the `set
heuristic-fence-post' command.
#1  0x2ab9b3f4 in ?? ()
warning: GDB can't find the start of the function at 0x2ab9b3f3.
Backtrace stopped: previous frame identical to this frame (corrupt stack?)

[Limoto]

Myslím, že je ten Python zbytečnej...

[Grunt]

To asi jo, ale znáš jiný způsob jak zjistit který proces nadměrně zapisuje na médium(root mám totiž na flashce)?

[Kvakor]

Jde to i bez pythonu, ale je to dost drsná metoda - pokud se zapíše cokoliv nenulového do /proc/sys/vm/block_dump, tak jádro začne chrlit údaje o každém přístupu nas disk. Půvoně je to určené prio odhalování viníků roztáčejících uspané disky, ale je možné to použít na zjištování přístupu na disk obecně.

[Grunt]

Drsné prostředí, drsné metody. Určitě děkuju za tip, ale stejně je to zase jen obcházení nefungujícího a to prostě není ten UNIXoý styl. Python 2.6.2 mi na zařízení už plně funguje včetně všech potřebných modulů pro iotop. Jen dynamický modul stop.so padá se SIGSEGV. Nejsme na Widlích, takže bug budu muset tak jako tak nahlásit.

[Limoto]

Ne. On totiž ani ten htop ti na jádře 2.4 nepojede... Nejlepší řešení je izolačka na tu LEDku

[Grunt]

Já mam zkompilované kamikaze_8.09(vlastně kecám, momentálně už mám blending edge z SVN) s jádrem 2.6 a htop mi tam jede.

[Limoto]

Sakra, chtěl jsem napsat iotop, htop na 2.4 jede.. Ale na 2.6 ti to může být jedno...

[tezkatlipoka]

nevim jestli to co mam je zyxel, nechce se mi ted bezet dolu, ale balicek od O2 jsem dostal taky, ADSL se pripoji, funguje, nemusite nic nastavovat, kdyz ale nastavovat chcete, dostane se na jedno prekvapeni,  absence tlacitka na zmenu hesla pro admina, takze predpokladam ze vetsina lidi v republice ma na modemu porad heslo admin. Heslo jsem totiz musel zmenit z prikazove radky, kdyz jsem se na modem pripojil telnetem. To druhe wifi jsem vypnul, a jde to dal, tak snad ok.

[pools]

tak to je zajimavy, mam od O2 jeden zyxel a jeden huawei a obema heslo zmenit jde v pohode...

[pht]

Změna hesla je nepochopitelně skryta v sekci se změnou hostname a domainname. Domainname je defaultně prázdné, ale zpátky to prázdnou hodnotu nebere. Takže když si chcete změnit heslo, musíte vyplnit (jakkoliv) domainname. Divíte se ještě něčemu?

[AsciiWolf]

Ještě, že mám nějaký starý Zyxel, který se dal v tom jednoduchém web. interface přepnout do režimu bridge na 2 kliknutí...

[m]

hjawej wtf :)

[vencour]

Máme ještě dlinka 584, nějak se kouše, tak šilham po něčem novym, asi po Linksysu WAG160N. Snad bude s iptv chodit.

[Grunt]

To jsem ještě zapomněl popsat, jak jsem se na modem přihlásil. Šel jsem klasicky na http://adresamodemu, kde to po mně chtělo heslo. Ale nějaké heslo tam už bylo předvyplněné. Tak jsem jen klikl na přihlásit, a byl jsem tam. Ale ouha: nikde nebylo žádné klikátko na nastavení. Řekl jsem si, že jsem tedy asi jen v nějakém neadmin režimu, a začal prohledávat dokumenty k samoinstalačnímu balíčku, ale tam nic nebylo (resp. nic z toho nefungovalo). Tak jsem zkusil pár triviálních kombinací, jako "zyxel" a "123", ale nic nefungovalo. Tak jsem začal studovat zdrojový kód toho přihlašovacího formuláře, a z defaultně vyplněného "user" jsem odvodil, že plné heslo je "admin". To nejlepší ale nakonec: přihlašovací formulář nejprve v javascriptu spočte z hesla MD5 a web serveru pošle ten hash... wtf? Nějaký trapný pokus o bezpečnost?

Proto bych uzákonil pod hrozbou veřejného bičování RS-232 pro každou SOHO krabičku(a nebo kdyby už někdo chtěl konečně vymyslet ten console port).

[pht]

No ano, ale to by RS-232 muselo bejt na novejch PC.

[Grunt]

Já na to používám starší notes, ale i na těch novějších není problém dokoupit USB převodník.

[allstar]

Tak jsem dnes kámošovi nastavoval Zyxel P-660HW-T3 v2 a taky s úchylným O2 balíčkem. Modem měl default adresu 10.0.0.138 oproti normální 192.168.1.1 a na webovém rozhraní byl pouze status, což mě neskutečně rozzuřilo. Tak jsem tam nahrál přes telnet (ano, to heslo "admin" sem uhodl na potreti) novy firmware ze stranek Zyxelu v domění, že se dostanu na web interface. Firmware se bez problemu pres ftp nahral (Az na ten oxidantsky program ktery zbusoboval cyklicky kabel byl odpojen , kabel byl pripojen -- odinstalace pomohla :) )

Firmware se nahral OK. Telnet šel v pohodě, nicméně tam už není menu, ale příkazová řádka. Co měl ale překvapilo, že na webové rozhraní už nebyl vidět ani ten status, ale jen "DSL Link Error" a nějaké nesmyslné povídání.

Takže internet nejde. Zítra na to mrknu, jestli to přes ten telnet dam dohromady.