由滲透掃描到實(shí)施路由器跳板攻擊
原創(chuàng)【51CTO.com 獨(dú)家特稿】最近一直有人在問我學(xué)習(xí)網(wǎng)絡(luò)安全有什么捷徑?jīng)]有，說他參加了很多培訓(xùn)班，上過不少課，也交了不少錢，但到現(xiàn)在自己真正掌握的東西很少，自己也感到很迷茫。
關(guān)于這個(gè)問題有很多解釋和問題，我想最關(guān)鍵的東西就是他沒有自己“原創(chuàng)”的東西，拿來主義固然好，如果沒有消化，沒有轉(zhuǎn)化為自己的東西，學(xué)猴子掰苞谷，掰一個(gè)丟一個(gè)，最后手中什么也沒有。
網(wǎng)絡(luò)安全最大的特點(diǎn)就是研究和實(shí)踐，唯有研究才能深入，才能掌握它的精髓；唯有實(shí)踐你才能真正的了解它，掌握它。其實(shí)寫本文完全是來自一個(gè)項(xiàng)目，一個(gè)網(wǎng)絡(luò)安全滲透項(xiàng)目，在滲透測(cè)試過程中我發(fā)現(xiàn)了這個(gè)問題，通過研究和思考，所有有了這篇文章，寫出來跟大家分享，大牛們可以直接Pass，呵呵。本文就按照實(shí)際操作流程來介紹吧。
主要知識(shí)點(diǎn):
（1）使用superscan3.0掃描指定單個(gè)IP地址或者IP地址范圍端口開放情況
（2）掃描端口的處理思路
（3）采用跳板的原則
（一）滲透準(zhǔn)備
1.準(zhǔn)備工具和確定滲透攻擊對(duì)象在進(jìn)行滲透前需要準(zhǔn)備一些工具軟件，在本案例中用到工具軟件相對(duì)較少，當(dāng)然還是需要準(zhǔn)備一些其它的東東，呵呵，我最喜歡看六道的《壞蛋是怎樣煉成的II》，我最欣賞的就是他每一次作戰(zhàn)都需要在腦海中對(duì)每一個(gè)細(xì)節(jié)像放電影一樣放一遍，確認(rèn)無誤后再開始付諸實(shí)現(xiàn)。本次滲透主要需要準(zhǔn)備下面的一些東西：
（1）端口掃描工具superscan
（2）具備Telnet的服務(wù)器或者肉雞一臺(tái)
（3）預(yù)掃描IP地址段說明：本次實(shí)施滲透測(cè)試的是一個(gè)固定IP地址段，由于要保護(hù)客戶的隱私信息，在我所進(jìn)行的滲透中確實(shí)能夠出現(xiàn)的場(chǎng)景，可能由于IP地址范圍等因素的影響可能無法重現(xiàn)，但是本文介紹的思路確實(shí)可行。
（二）實(shí)施滲透掃描和連接測(cè)試
1.實(shí)施端口掃描直接運(yùn)行superscan3.0在IP地址起始和終止中分別輸入欲掃描的IP地址，可以是某一個(gè)IP地址也可以是一個(gè)范圍。
2.整理并測(cè)試端口掃描結(jié)果如果掃描的IP地址不是特別多，很快就會(huì)在superscan中得到掃描結(jié)果，如圖1所示，可以看到在本次掃描中開放的端口中21端口最多，23端口僅僅一個(gè)。直接選中開放了23端口的服務(wù)器，然后右鍵單擊在彈出的菜單中選擇“Telnet”登陸。
 |
| 圖1 |
3.Telnet登陸效果
如果telnet連接成功則會(huì)出現(xiàn)如圖2所示的要求輸入密碼和用戶名的登陸窗口。
 |
| 圖2 |
說明：
（1）在一般的服務(wù)器上Telnet都是需要用戶名和密碼的，但在實(shí)際測(cè)試過程我們發(fā)現(xiàn) 路由器和防火墻的密碼缺省為空，其用戶多為“admin”。
（2）如果碰到需要驗(yàn)證的，可以進(jìn)行猜測(cè)，多次猜測(cè)不行后，只能放棄，關(guān)于路由器密碼的破解，我會(huì)在下一篇文章中介紹。一般我們僅對(duì)不需要密碼的路由器進(jìn)行操作。
4.繼續(xù)掃描和測(cè)試
重復(fù)上面的步驟繼續(xù)進(jìn)行掃描和測(cè)試，后面終于出現(xiàn)一個(gè)我們比較熟悉的窗口，如圖3所示，表示成功Telnet到IP地址為2**.***.***.130的路由器或者服務(wù)器成功。我從網(wǎng)上使用Google搜索了一下，telecom多為電信設(shè)備，一般為路由器。如果出現(xiàn)這個(gè)東東，恭喜你，發(fā)了！
 |
| 圖3 |
（三）跳板思路的測(cè)試和驗(yàn)證
由于路由器都提供了Telnet功能，因此可以先Telnet到路由器，或者先Telnet到肉雞服務(wù)器再Telnet到路由器，形成“本地”-“肉雞”-“路由器”-“工作平臺(tái)”或者“本地”-“路由器”-“肉雞”-“工作平臺(tái)”連接線路，從而達(dá)到隱藏本地IP的目的，也就是通常意義上說的“跳板”。
1.Telnet到跳板服務(wù)器或者肉雞
在telecom提示符下輸入需要連接的服務(wù)器，在本例中直接輸入“telnet 218.***.***.*** 443”，連接該服務(wù)器的443端口，telnet默認(rèn)端口為23端口，在本例中我們對(duì)該服務(wù)器的Telnet端口進(jìn)行了修改，便于隱藏。如圖4所示，顯示一個(gè)登陸信息，顯示的信息表明我們telnet的服務(wù)器是Windows 2000 Server，在Login中輸入用戶名“Administration”，接著在“Password”中輸入該用戶所對(duì)應(yīng)的密碼即可出現(xiàn)成功頁面。
 |
| 圖4 |
2.驗(yàn)證Telnet效果
在肉雞上執(zhí)行“IPconfig /all”命令可以查看肉雞的網(wǎng)絡(luò)配置情況，如圖5所示。這表明我們通過路由器Telnet出來后可以在新的Telnet上執(zhí)行命令，接著使用“netstat -n | find "443" ”查看路由器和肉雞的網(wǎng)絡(luò)連接情況，如圖6所示，這也就從事實(shí)上驗(yàn)證了跳板的可行性。
 |
| 圖5 |
 |
| 圖6 |
說明：
（1）在Telnet上理論上可以建立N個(gè)連接，但在實(shí)際使用過程中，只要有五個(gè)以上就可以了，其推薦線路為“本地”-“國(guó)（內(nèi)）外肉雞”-“路由器”-“國(guó)（內(nèi)）外肉雞”-“工作平臺(tái)”。一般追蹤者就很難追蹤了。
（2）本文提的思路適合于在DOS命令下執(zhí)行攻擊，也就是批處理攻擊類型，對(duì)熟悉Linux下的攻擊尤為適用。
（四）路由器攻擊和測(cè)試
1.在路由器上執(zhí)行命令在telecom提示符下輸入“?”獲取幫助信息，如圖7和圖8所示，路由器有多條命令，根據(jù)這些提示輸入命令進(jìn)行執(zhí)行，在執(zhí)行過程中發(fā)現(xiàn)老是出錯(cuò)，僅能顯示一些簡(jiǎn)單的信息，由于本人對(duì)直接在路由器上執(zhí)行命令不太熟悉，未深入進(jìn)行測(cè)試，熟悉路由器的朋友可以進(jìn)行測(cè)試，看看能夠獲取一些什么東西。
 |
| 圖7 |
 |
| 圖8 |
2.路由器提權(quán)
既然進(jìn)入了路由器，那就看看如何進(jìn)行提升權(quán)限，看看是否有這方面的漏洞，通過查詢還真找到一些有關(guān)路由器提升權(quán)限的漏洞，這些漏洞需要構(gòu)建才能實(shí)現(xiàn)，由于本次主要是跳板方面的測(cè)試，因此關(guān)于路由器滲透方面留在后面進(jìn)行研究。
（五）總結(jié)和思考
本次滲透測(cè)試完畢后，有以下一些值得思考和研究的問題：
（1）如何在獲取一定權(quán)限后對(duì)路由器進(jìn)行滲透以獲取真正的權(quán)限，也就是完全控制路由器。
（2）如何就本次發(fā)現(xiàn)的問題進(jìn)行加固。我個(gè)人認(rèn)為在路由器初試設(shè)置完畢后可以關(guān)閉23端口，或者對(duì)23端口進(jìn)行IP限制訪問，同時(shí)對(duì)路由器設(shè)置一個(gè)比較復(fù)雜的用戶名和密碼。
（3）如何破解和掃描路由器口令。關(guān)于這個(gè)問題，我們團(tuán)隊(duì)已經(jīng)對(duì)目前一些主流的路由器的密碼和用戶進(jìn)行整理，可以到論壇下載。http://www.antian365.com/viewthread.php?tid=3248&extra=page%3D2。本就如何來掃描路由器的口令進(jìn)行實(shí)踐和測(cè)試，敬請(qǐng)關(guān)注我們的后續(xù)文章《路由器口令的掃描和破解》。
（4）如何對(duì)路由器進(jìn)行劫持和掛馬。本著研究的態(tài)度對(duì)路由器劫持和掛馬技術(shù)進(jìn)行研究。
【51CTO.COM 獨(dú)家特稿，轉(zhuǎn)載請(qǐng)注明出處及作者！】
【編輯推薦】
