某型號路由器的緩沖區溢出就能危及成千上萬的WiFi用戶
公共無線網絡的隱私和安全危害有了完美例證，一名以色列黑客展示了他拿下整座城市免費WiFi網絡的能力。
某天，在從公司回家的路上，以色列網絡安全公司 Equus Technologies 的研究主管阿米哈伊·內德曼，發現了一個他之前從未見過的無線熱點。不同尋常的是，該熱點竟然出現在根本沒有建筑物的區域。
最后他發現，這個廣播成“FREE_TLV”的熱點，是以色列特拉維夫當地政府設立的城域免費WiFi網絡。這讓內德曼好奇：到底有多安全呢?
接下來的幾周里，找出侵入該網絡的途徑就成了他業余時間的副業。首先，他從遍布全城的接入點之一連進網絡，核對他的新IP地址。這地址通常是分配給所有WiFi客戶端訪問互聯網都要經過的路由器的。
然后，他斷開連接，從互聯網掃描該IP地址以找出開放端口。他發現，該路由器在443端口(HTTPS)開放了一個基于Web的登錄界面。
該界面顯示了制造商的名稱——Peplink，但除此之外就沒別的了，設備型號這些都沒有。對該Web界面的分析并沒有揭露任何基本漏洞，比如SQL注入、默認或弱登錄憑證、身份驗證繞過漏洞等。
他意識到，對該設備的實際固件進行更深入的分析是必要的。但識別該設備，找到該從制造商官網下載哪種具體固件并不容易，因為Peplink為各種行業提供很多類型的網絡設備。不過，他最終鎖定了Peplink的 Balance 300 高端負載均衡路由器第5版。
該固件采用了基本的異或加密來讓第三方更難以逆向固件文件系統，但該方式相對容易被繞過。一旦所有東西都未封包并載入模擬器，內德曼就可以訪問構成該路由器Web界面的CGI(通用網關接口)腳本。
內德曼在處理注銷過程的CGI腳本中找到緩沖區溢出漏洞并沒有花去太多時間。只需向該腳本發送超長會話cookie，漏洞就可被利用，成功的利用會導致任意代碼執行，最終接管整個設備。
11月10號在羅馬尼亞首都布加勒斯特舉行的DefCamp安全大會上，內德曼展示了他的發現及逆向過程。因為可能會觸及法律糾紛，他并沒有說明是否在運營特拉維夫公共WiFi網絡的 Peplink Balance 路由器上進行了實際漏洞利用測試。
然而，當他向Peplink報告該漏洞時，這家公司確認了漏洞，卻是在后續發布的固件更新中才打上補丁。所以，在內德曼發現該漏洞時，FREE_TLV的路由器固件確實是脆弱的。
雖然在路由器中發現漏洞并不少見，但此案例依然十分突出，因為它顯現出可以通過黑掉市政設立的大型公共WiFi網絡，攻擊成千上萬的用戶。
通過控制路由器，攻擊者可偷偷窺探流經該設備的所有未加密用戶流量，捕獲敏感信息。他們還可以發起活動攻擊，比如在用戶訪問合法網站時重定向用戶到流氓Web服務器，或者注入惡意代碼到非HTTPS網頁中。
大型網絡通常都是標準化的，采用同型號的設備以便于管理。可供侵入其中一個接入點的漏洞，就能用在整個網絡中所有的接入點上。
此類攻擊，就是為什么用戶被強烈建議在從公共或不可信WiFi網絡接入互聯網時，要采用VPN(虛擬專用網)服務的原因所在。
內德曼表示，他驚訝于Peplink對其報告的響應，以及該公司處理漏洞的方式。他強調，網絡中路由器的不安全部署方式，也有可能促成此類攻擊。他們的管理界面不應該暴露在互聯網上。
京公網安備 11010502049343號