路由器后门技术分析--网络监控
[时间:2016-09-29]  [文章来源:上海百络]  [责任编辑:admin]

       NSATAO具备了在Cisco,Juniper和华为等厂商路由器、交换机和防火墙等网络设备中植入后门的技术。实际上去年就有人找到了相关的后门、并对其进行了分析,我当时还找了材料给某司负责IRT的同学去分析。不过这大半年来也没看到国内有详细描述一下这个东西的文章,今天分享一下,好东西不怕来得晚。在斯诺登爆料的同时,一群黑客在BT(英国电信)中发现了NSA和GCHQ植入的后门。其识别的存在硬件类型为Huawei EchoLife HG612和ECI B-FOCuS VDSL2 modem。需要澄清的是,这两个厂商的modem本身并没有后门,而是由第三方(如BT)制作并在这些modem中安装了定制的含有后门的OS,并且在国外黑客的分析中,指出了ECI modem对用户的危险程度高过HW,HW的大哥我都为你们说好话了,不要跨省!虽然modem并不同于路由器、交换机和防火墙,其设备和后门的功能均小于企业网络设备产品,但是从其使用的技术可大概推测出NSA在企业网络设备产品中使用的后门技术。

    首先是如何发现存在后门的modem。

    简易方法:

    A.modem先不要插电话线和加电

    B.设置电脑网卡为192.168.1.100

    C.ping 192.168.1.1

    D.将电脑用网线连至modem LAN1

    E.modem加电

    然后大概过30秒,设备启动之后,大概会响应10个ping包,然不再响应ping包。之所以可以利用这个方法简易发现时因为在modem适用的Linux 内核启动时,其启动脚本会对内部接口和虚拟接口进行配置,并且启用隐藏的防火墙,因此会在之后停止响应ping包。

    复杂方法:

    1.不插电话线接口以防其固件自动升级或停止后门

    2.kill掉/bin/sh /BTAgent/ro/start 的pid

    3.kill掉tftpd sshd MidServer btagent

    4.telnet至modem,进入shell

    5.ifconfig -a,你会很惊讶的发现存在16个网络接口,这其中包含了部分后门接口(根据国外分析报告,主要是其中一个使用真实mac,却又跟其他接口mac不同的接口,在分析报告重视ptml.301)

    6.netstat -n 检查开放端口,会发现除了在网络接口开放telent之外,还会在127.0.0.1开放2600和33287端口

    7.ps看进程,会发现存在“dhcpc -i ptml.301 -I ptml.301”和sshd -E两个异常进程

    8.route -n检查一下路由,然后插上电话线,继续route -n检查路由,会发现除了默认就有br0接口上的默认路由外外,多出两个ptml.301接口的路由,其IP包含 30.150.xx.0 (这就是控制IP)

    9.ip route show,会发现30.150.xx.xx的接口,默认路由指向了 30.150.xx.1 这个美国DoD网络IP,通过Ping可以发现小于9ms,说明这个控制网络就位于UK

    10.这时候再netstat -an 一下,会发现modem会在 30.150.xx.xx 接口开放8081端口

    Modem甚至在ppoe拨号,接入ISP之前就会访问这个30.150的网络,这个IP WHOIS就会发现,是属于DoD的。

    经过对存在后门modem的分析,这些特别的后门软件是由BT提供,安装在所有modem中的BTAgent安装的。BTAgent开放161端口,即SNMP协议,其支持控制设备现在固件并进行升级。

    这个后门可以通过对modem路由的控制,将用户流量牵引至NSA/GCHQ的指定网络,就到了熟悉的MITM中间人场景。除了可以直接通过设备连入用户内网,还可以嗅探获取用户网络访问行为、当然还可以插马。至于怎么能发现这些类似的后门呢?记得之前说的那个SI安全智能中提过的么,简单匹配一下DoD IP即有收获。 最后强调一下,这里说的都是从家庭宽带路由采用的后门技术,猜测企业路由所利用的技术,虽然东西不同,但其一定有很多技术是通用的,尤其是控制和后端。从根据NSA ANT曝光的TAO搞定的网络设备型号来看,都是一些边界、接入级别产品,并不涉及核心交换、路由,说明NSA的这个工具的对象主要是指定的重点网络对象的出口或边界,而不涉及到大网的核心网。此外再补充一些前面没有提到的关键技术,这些技术在棱镜门泄露的材料里,被称之为Computer Network Exploitation (CNE)技术:

    1.在植入后门后,NSA可以做到的事一个是可以通过被控制的这台设备,进入指定对象的内部网络。在BT家庭路由这个例子里,是可以远程访问路由的SSH/Telnet,对于更复杂一些的防火墙、路由器,更可以通过VPN或其他方式形成隧道,接入对象内网。由于NSA的方式是在外网口隐藏了一个桥接口,并且使用它自己的VLAN,因此这些访问是可以绕过设备防火墙规则设置的。这些端口,在路由器非隐藏的那个接口上,是不可被访问的,因此你进行端口扫描也发现不了。

    2.其次是NSA可以通过对边界路由路由表、路由协议的控制,对指定流量进行牵引,做中间人MITM,牵引的技术嘛…不同于国内对路由器的简单修改DNS(这种方式比较明显,在大网上也很容易发现,只是DNS的中间人,对其他协议做的是钓而不是完整的中间人),NSA用的方式是控制路由表。在家庭宽带路由这个例子里,用的是RIP协议和静态路由。昨天那个有点东西没说,就是这些modem都被开了Zebra & Ripd routing daemon。

    3.NSA/GCHQ在BT还实现了,用户不进行ppoe拨号接入互联网,也可以进行控制。这些路由器被发现在外部接口还隐藏了一个网络,并且配置了公网IP,这个连接在用户没拨号时已经建立。

    4.通过前面提到的第二个基于路由/路由协议的精准流量牵引,NSA可以利用非对称路由(asymmetric routing) 技术,将通过隐藏网络劫持的对指定网站的访问,不通过隐藏网络而通过正常的那个接口返回给攻击对象。

    5.NSA通过MITM,不仅对非加密的协议可以进行劫持,其还可以对应用PKI技术的,如SSH、HTTPS等协议进行解密。在斯诺登爆料的材料里,提到过NSA有一个“CES Paring database”,这里面会维护一个NSA的攻击对象证书库,联想一下前阵的心脏出血,是不是有那么点意思。此外NSA也会通过具有VPN功能的设备上的后门,获取设备上的VPN密钥,对VPN进行解密。

    6.在BT的事件里,ping DoD的那个地址只有8ms,说明这个控制网络是本地部署的,结合棱镜门的另一份材料,NSA在全世界80个地点设立了SCS特请收集主机站点,并且根据泄露的图,其中有5个站点部署在中国,包括北京、成都、香港、上海、台北。你是不是又想到了点什么^_^。

    7.NSA还可以用家庭路由器上的后门,收集WIF信息、MAC信息,然后储存在其称之为“XKEYSCORE”的数据库里,所以无声无息之间,你的手机、电脑、modem、真实身份、GIS信息等也被关联了,无声无息的实名制。此外根据材料,微软在产生文档的时候,会包含设备的物理MAC,是不是感觉到网络监控又进了一步?



    [关闭本页]
  关键词:  网络监控,后门
首页 |  局域网监控软件 |  局域网管理软件 |  流量监控软件 |  百络网警用户论坛
Copyright © 2013-2016 NETBAI.COM 上海百络信息技术有限公司 版权所有 E-MAIL:netbai999@126.com
监控软件-征信网认证 监控软件-网警网络110 沪ICP备14015905号-1
监控软件-公安部检测报告 监控软件-360认证 监控软件-瑞星认证 监控软件-金山云安全中心网站安全检测 监控软件-江民安全认证 监控软件-卡巴斯基检测通过 监控软件-小红伞安全认证