使用Metasploit對思科IOS進行滲透測試

來源:本站原創 CISCO 超過1,015 views圍觀 0條評論

開源的Metasploit Framework和商業化的Metasploit產品提供了網絡設備安全評估功能,本文介紹如何使用最新的版本對思科IOS進行滲透測試,開源的Framework需要添加獨立的模塊和支持庫,商業化產品已經包含了這些模塊,因此可以更快速地開始滲透測試,下面的屏幕截圖顯示了一次成功的滲透測試結果。

圖 1 成功的滲透測試結果

首先,我想說明的是,經過正確配置的思科設備是很難被攻破的,和其它軟件一樣,思科IOS中也存在漏洞,但只有少數人能成功利用代碼執行中的內存泄露漏洞,因此,現實世界中針對IOS的攻擊往往集中在兩方面:配置不當和弱口令。

漏洞掃描器可以通過版本字符串對比確定IOS的陳舊狀態,確定版本號后就可以進一步確定該網絡設備是否打了最新補丁,但如果你對IOS了解不深,這個信息也許幫助不大,事實上,在生產環境中,通常只有很少的服務暴露在外,包括SNMP,Telnet,SSH和HTTP,你可能還會發現有Finger或SIP和H.323等媒體協議,熟悉遠程訪問的人應該對前四個協議相當熟悉了,但在配置路由器允許這些協議通行時,往往會犯一些低級錯誤,最常見的就是非故意擴大允許的訪問來源。

在一些老版本中,思科IOS HTTP服務有多個著名的安全漏洞,作為滲透測試人員,我們最關心的兩個漏洞均與繞過身份證驗證相關,第一個漏洞編號是CVE-2000-0945,在IOS設備管理界面中身份驗證失蹤了,這個漏洞允許未經驗證的,通過Web界面直接訪問IOS全部功能,第二個漏洞編號是CVE-02001-0537,它允許攻擊者繞過在HTTP請求中驗證級別大于15的身份驗證過程,攻擊者可通過Web界面直接獲得設備的訪問特權,開源的Metasploit Framework現在提供了兩個模塊利用這些漏洞:

/auxiliary/scanner/http/cisco_device_manager
/auxiliary/scanner/http/cisco_ios_auth_bypass

Metasploit Express和Metasploit Pro在發現掃描期間會自動識別思科IOS HTTP服務,檢查是否存在這兩個缺陷,并利用它們獲取設備的配置信息。除了這兩個已知的安全漏洞外,設備密碼也可以通過對HTTP服務進行暴力破解獲得,相對于Telnet和SSH等基于終端的服務,HTTP服務更容易遭暴力破解。Metasploit Express和Metasploit Pro在成功暴力破解HTTP服務后,它們可以進一步獲得運行中的設備配置。

下一個我想討論的服務是SNMP,說來也奇怪,SNMP經常出現在安全路由器上,SNMP協議作為一種遠程訪問標準協議,其使用非常廣泛,因此凡是具有監控和管理功能的交換機,路由器或其它網絡設備,統統都會支持SNMP協議,最常見的就是用它來監控設備的運行狀態。

但很多網絡管理員沒有意識到的是,SNMP暴露的信息不僅很深入,如果SNMP社區可寫,還可以利用它獲得設備的完全控制權,在思科IOS中,可寫的SNMP社區可被用來下載運行中設備的配置信息,甚至可以用來修改運行配置。禁用了Telnet的路由器和復雜的串行密碼可以通過可寫入SNMP社區被輕松劫持,Metasploit Framework提供了一個SNMP暴力破解工具,它是一個輔助模塊,它利用通用密碼詞表確定有效的社區,并確定這些社區是只讀的還是可寫入的,除了基本的暴力破解模塊,MetaSploit現在還包含了一個很厲害的模塊(由社區志愿者pello提交),這個模塊可以使用可寫入SNMP社區下載設備的運行配置。

Metasploit Express和Metasploit Pro使用這兩個模塊自動抓取有漏洞的設備的配置文件,在發現掃描期間,SNMP暴力破解工具在后臺啟動,如果它檢查到SNMP社區可寫,它們將會配置一個本地TFTP服務,下載運行配置文件。由于SNMP協議現在集成了智能暴力破解組件,除了動態生成的密碼外 ,它還使用了精心調整的社區名單,調整名單來源于一個很有意思的研究項目,研究人員收集了互聯網上網絡管理員們不小心泄露的SNMP社區字符串,通過分析,找出那些最長使用的密碼,這個項目的研究結果非常讓人吃驚,我從來沒有想到最常用的SNMP社區字符串居然是"[email protected]"和"[email protected]",因為這兩個社區字符串是思科文檔中舉例時使用的。

我想討論的最后兩個協議是Telnet和SSH,它們的共同點是可以遠程訪問目標設備的命令shell,并且是不需要非特權用戶的,從滲透測試角度來看,它們之間最顯著的區別是,SSH需要知道遠程目標設備的用戶名和密碼,而Telnet只需要知道身份驗證的密碼即可,Metasploit Framework也包含了這些協議的暴力破解模塊,暴力破解成功后,會自動創建一個交互式會話。

Metasploit Express和Metasploit Pro都支持攻擊使用Telnet和SSH協議的網絡設備,在最新版本中,使用的是密碼分析研究項目調整后的密碼表,它將一些不常用的密碼放在了詞表的前端,在現實世界中這一招往往很靈驗,根據我們以往的滲透測試經驗,很多ISP都給設備使用了靜態密碼,并且這些密碼都已被列入暴力破解密碼表。

通過Telnet或SSH協議在思科IOS設備上建立一個會話后,商業產品中的證據收集功能會自動獲取版本信息,活動用戶列表,并嘗試暴力破解,如果獲得設備的訪問權,它還會自動轉儲系統的其它信息,包括運行配置。

說了這么多,還沒有講到任何新東西,最新版本可以將這些操作鏈接到一起,一氣呵成完成所有滲透測試任務。到目前為止,有一點我還沒有提到的是,在取得思科IOS配置文件后,我們下一步該做什么呢?我們已經知道這些配置文件包含了設備的運行配置信息,也就是說,它包括了vty密碼,enable密碼,VPN密鑰,SSL證書和Wi-Fi憑據,Metaspoit會自動解析這些配置文件,找出敏感數據并保存起來,作為下一步利用的基礎數據,或是盜取身份驗證證書,下面的屏幕截圖顯示了暴力破解Telnet vty密碼的輸出結果,然后是enable密碼,再后面是轉儲和解析的配置。

圖 2 暴力破解結果

Metasploit Express和Metasploit Pro可以自動從這些配置文件中回收證書,進一步獲得網絡上其它設備的訪問權,如果你通過SNMP社區攻破了一臺思科設備,并發現vty密碼是"cicsorules",你可以使用暴力破解組件通過多種網絡協議自動嘗試這個密碼,并可以用這個密碼嘗試訪問其它網絡設備,一旦得逞,便可獲得配置文件,并重新開始新的嘗試,也許路由器的vty就是內部網站的登錄密碼,或利用獲得的密碼發動傳統的攻擊,我們的目標是確保我們的用戶可以識別并利用給定網絡的薄弱環節。

原文出處:http://www.net-security.org/article.php?id=1548

原文名:Cisco IOS penetration testing with Metasploit

作者:HD Moore

文章出自:CCIE那點事 http://www.qdxgqk.live/ 版權所有。本站文章除注明出處外,皆為作者原創文章,可自由引用,但請注明來源。 禁止全文轉載。
本文鏈接:http://www.qdxgqk.live/?p=942轉載請注明轉自CCIE那點事
如果喜歡:點此訂閱本站
  • 相關文章
  • 為您推薦
  • 各種觀點
?
暫時還木有人評論,坐等沙發!
發表評論

您必須 [ 登錄 ] 才能發表留言!

?
?
萌宠夺宝游戏