這么多年來，我只看過少許的對于電視機的入侵，現(xiàn)在在這個日益智能化的是時代里，什么都智能，什么都聯(lián)網，這就對看似安全的智能化生活埋下了隱患，這次就針對天威視訊的機頂盒進行電視機的滲透。不要驚奇，就是電視機。
關于天威視訊的介紹，深圳幾乎一半的電視終端都是使用天威視訊的，龐大的用戶量，一旦發(fā)生問題，后果嚴重。
首先，這次滲透也是我突發(fā)奇想，看到電視機里有個ip設置的選項，插入網線，之后在開啟機頂盒就能夠正常獲取到ip網關等一系列的信息。
窺視內網
b74eacb092d340fd2cb46cf865e95874_b.png (171.39 KB, 下載次數(shù): 11)
下載附件
保存到相冊
2016-6-20 14:15 上傳
IP 是 10.97.143 段、網關 10.97.128.1，DHCP 服務器則是192.168.222.105，DNS 是 172.18.50.11 和 172.16.129.12 。
這是個超級大的局域網，本以為能夠連接到外網，其實是天威自己制作的一個查詢頁面，這個查詢頁面的服務器是連接外網的，你本身 10.97.143.254 這個 IP 是不能夠連接外網的，在我電腦上測試證明了這點。
ccb7148138ecb3322f546037e78595fc_b.png (160.71 KB, 下載次數(shù): 8)
下載附件
保存到相冊
2016-6-20 14:15 上傳
我選擇就從本機的 IP 段開始探索，我將 10.97.143 這個段填入IISPUT中進行對端口 80,8080,23,22 的掃描。
571c9f106722cc148a88381aaf193f3b_b.png (237.78 KB, 下載次數(shù): 8)
下載附件
保存到相冊
2016-6-20 14:15 上傳
看到了嗎，都是 80 端口，23 端口，我隨即打開了一個頁面查看：
263f5576bf51fffd80955b09681e593a_b.png (87.6 KB, 下載次數(shù): 8)
下載附件
保存到相冊
2016-6-20 14:15 上傳
用 telnet 測試連接：
ede53c9f8b2a8f87ea4fe6c6e177aeec_b.png (45.19 KB, 下載次數(shù): 7)
下載附件
保存到相冊
2016-6-20 14:15 上傳
Ok，可以連接， root 空密碼。
登陸成功：
8580cd4189d45447a10143fb5ecbfd93_b.png (87.68 KB, 下載次數(shù): 8)
下載附件
保存到相冊
2016-6-20 14:15 上傳
通過web 訪問得知應該是路由器。閱遍了終端下的所有文件，找尋進一步滲透的游泳的東西。
一擊必殺
之后我突然發(fā)現(xiàn)了這個，看：
05a1af6447432f96c5c652aefe1a45f3_b.png (184.87 KB, 下載次數(shù): 7)
下載附件
保存到相冊
2016-6-20 14:15 上傳
看到了嗎，action，心里想，肯定存在Struts命令執(zhí)行漏洞，于是，丟進利用工具里跑。
與此同時，我發(fā)現(xiàn)了進入路由的方法，其實天威的驗證做的很坑爹，只是針對了 home.asp 這個頁面而已，其他任何頁面目錄都形同虛設所以我們可以找到更改密碼的地方，直接修改admin密碼。
這個頁面是修改密碼的：
1c78e32944c64856b10fa54cf7fc2aec_b.png (111.29 KB, 下載次數(shù): 7)
下載附件
保存到相冊
2016-6-20 14:15 上傳
登陸進來了：
753f1c5d2fe3b6e98a5e0303d27df475_b.png (85.24 KB, 下載次數(shù): 7)
下載附件
保存到相冊
2016-6-20 14:15 上傳
我初步掃描了一下，最少都有1000多臺，我們可以利用此漏洞控制成千甚至上萬的無線路由器，危害可想而知。
我們回到那個 Struts 漏洞上來，我測試了一些，存在 Struts 命令執(zhí)行漏洞。興奮。
9805505105c36b4efb0ff0d40d256e7b_b.png (89.79 KB, 下載次數(shù): 8)
下載附件
保存到相冊
2016-6-20 14:15 上傳
你知道我為什么看到這張圖興奮嗎？因為這是電視機上顯示的畫面，一些未交錢的電視節(jié)目就是這個提示，這樣我們就能夠成功修改標題，入侵電視的目的達到。
6e39996f1659bcbb6aea6f5e196713ad_b.png (231.73 KB, 下載次數(shù): 8)
下載附件
保存到相冊
2016-6-20 14:15 上傳
繼續(xù)進一步滲透由此從 DHCP 服務器著手。本機的 DHCP 服務器是192.168.222.105，我抱著試試的心態(tài)掃描了一下關于192.168.222.105這個網段的ip，看看有什么可以利用的。
e43cff89888e7e79e28b2d2bddc664cc_b.png (144.09 KB, 下載次數(shù): 7)
下載附件
保存到相冊
2016-6-20 14:15 上傳
撕裂邊界
哇塞，興奮了，這么多ip，直到我找到這個ip。
0b84d353d2a7bc6f3246aa1155ae7ce7_b.png (163.02 KB, 下載次數(shù): 11)
下載附件
保存到相冊
2016-6-20 14:15 上傳
跑出登陸用戶名和密碼：
e54878da99dfbba048d69dd4a9d64bbd_b.png (159.52 KB, 下載次數(shù): 11)
下載附件
保存到相冊
2016-6-20 14:15 上傳
進來之后就覺得碉堡了，基本上，天威的所有ip我都能夠查詢的到。現(xiàn)在我們能夠查詢到任意一臺機頂盒的上線記錄。
fe9ff99e8338f83c811410cd0072c188_b.png (170.74 KB, 下載次數(shù): 11)
下載附件
保存到相冊
2016-6-20 14:15 上傳
ab781eb5fd21f6011f74ee9ffe2fde81_b.png (111.99 KB, 下載次數(shù): 13)
下載附件
保存到相冊
2016-6-20 14:15 上傳
為了進一步的滲透，我添加了一個管理員賬戶，之后登陸上3389之后，之后當我用 administrator 用戶登陸之后，打開Navicat for Mysql 軟件的時候，眾多數(shù)據(jù)庫暴漏。
9a34385482297e846a89f237baaf058f_b.png (90.6 KB, 下載次數(shù): 11)
下載附件
保存到相冊
2016-6-20 14:15 上傳
可想而知的危害?？纯催@下載速度。
6fd4c920249ae47cf2360fcc9fe2c8c6_b.png (57.85 KB, 下載次數(shù): 12)
下載附件
保存到相冊
2016-6-20 14:15 上傳
全是企業(yè)內部資料。
df092145f94a663d43cf086eb8c89fe7_b.png (156.25 KB, 下載次數(shù): 7)
下載附件
保存到相冊
2016-6-20 14:15 上傳
看看這些，如果這些資料泄露不堪設想。全是 IMS 設備。都能夠登陸的。
3e65812c17db8ba174be978930fb5fb7_b.png (176.5 KB, 下載次數(shù): 8)
下載附件
保存到相冊
2016-6-20 14:14 上傳
看看這些，如果這些資料泄露不堪設想。
3f801701334fdca6b9fc3dc76b2fd69e_b.png (105.13 KB, 下載次數(shù): 7)
下載附件
保存到相冊
2016-6-20 14:14 上傳
到這里，我們的滲透基本完成，雖還能夠進一步深入，但是由于信息量實在太大，就不多說了，算是個小型 APT 吧。
|
網站導航
[復制鏈接]
發(fā)表于 2016-6-20 14:19
收藏
淘帖
頂一個
踩
提升卡
置頂卡
變色卡
千斤頂
znds.com 