Newsgroup: it.comp.os.linux.sys
Titolo: riesumazione di router (appena) crackato

  Sigh... router nuovo di pacca mi è stato crackato in poche settimane!
  Si tratta di un hamlet hrdsl640, equipaggiato dalla casa con un OS
VxWorks che è standard POSIX (ma non trovo la doc relativa). 
Mantengo l'accesso ftp e telnet, ma il web server non risponde a dovere:
mi mostra la pagina dell'errore di accesso, senza avermi chiesto
l'autenticazione. 
  Ho provato a sostituire il sistema operativo via ftp con l'aggiornamento
fornito dalla Hamlet, ho provato anche a modificare direttamente le
impostazioni sul file Config.reg, ma niente. Credo che il sistema corrotto
mi confini al boot con un chroot sulla sottodirectory /RFA, dove il
cracker ha pensato bene di ricostruire un sistema fasullo per illudermi.
Infatti dopo l'aggiornamento ottengo:
1)
Firmware Version: ETHADSL_USB_080902_REL9PB102e (quello nuovo invece è
ETHADSL_USB_080902_REL9PB102e_a)
Showtime Firmware Version: 3.27 (quello precedente era 3.24)
Custome Software Version: 080902_CaREL9PB102e_a (che è la nuova versione)
2)
Vari comandi ftp "cd .." mi rispondono che "changed directory to "/RFA/""
Gli ultimi tentativi di flashare il sistema via USB sono falliti.
Qualche idea?
Considero un buon punto di partenza la documentazione sui comandi VxWorks.
Grazie anticipate,
Alx
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 Sigh... router nuovo di pacca mi č stato crackato in poche settimane!
Rimandalo indietro e chiedi la sostituzione.
Davide
-- 
| Science is facts; just as houses are made of stones, so is science
| made of facts; but a pile of stones is not a house and a collection of
| facts is not necessarily science.   -- Henri Poincair'e 
| 

 Rimandalo indietro e chiedi la sostituzione.
Sono in ferie fino al 21 agosto, e vorrei usare il ruoter durante l'estate.
La garanzia del negozietto č giŕ scaduta, quella di Hamlet dura due anni
ma la sede č a Chu Tung, route Hsin Chu 310, Taiwan. 
A prposito.. qualcuno va in vacanza da quelle parti? :-)


 Alx
Provato a fargli un bel reset hardware ?
Ci sara il tastino sul retro !!!
CMq prova a aggiornare il firmware via tftp e non ftp !!!

 CMq prova a aggiornare il firmware via tftp e non ftp !!!
tftp č chiuso. nmap -sS mi trova aperte queste porte:
21/tcp     open        ftp
23/tcp     open        telnet
80/tcp     open        http
254/tcp    open        unknown
255/tcp    open        unknown
in telnet sulla 254 trovo una sorta di menu delle statistiche di
funzionamento, sulla 255 mi si impalla il client.


 
Tftp se non ricordo male e udp quindi non lo vedi da nmap !!!
Cmq se proprio non puoi fare nulla , l'unica cosa è un bel reset dell'eeprom ( devi avere molta pratica in ciò ) .....
I datasheet del'eeprom li trovi in rete!!

 Tftp se non ricordo male e udp quindi non lo vedi da nmap !!!
stai a scherza'?
# nmap -sU
-- 
signature: No such file or directory

 # nmap -sU
Li ho provati entrambi, senza ricordare se era UDP.
Effettivamente il tftp server era giù, ma modificando config.reg
"TftpServerEnabled"=dword:00000001
mi è partito subito: cosa che mi fa ben sperare... infatti adesso passerò
un po' di tempo tirando a sorte sui parametri:
[Class\Application\HttpServer]
"Port"=dword:00000050
[Class\Application\HttpServer\Access]
"Mode"=dword:00000003
"HttpLoginWaiver"=dword:00000001
Grazie a tutti!


> "HttpLoginWaiver"=dword:00000001
Quest'ultima ha funzionato. Ora mi ritrovo un sistema funzionante e
aggiornato, con l'aggiunta di una sezione firewall e un security log.
Consigli per evitare altri casini? 
Ad esempio non ho capito se TFTP è aperto su tutte le interfacce (!).
I servizi http, telnet ftp li ho (ovviamente) chiusi sulla WAN, ma lo
erano anche prima. Passo a setacciare le macchine in DMZ ...
Grazie ancora.


 Consigli per evitare altri casini? 
 Avevi cambiato la default password?
 Sapessi quanti se ne dimenticano :(
 
-- 
The Moon is Waning Gibbous (89% of Full)

  Sapessi quanti se ne dimenticano :(
Oltre a fare in modo, se possibile, che le porte
riguardo l'amministrazione non risultino accessibili
dall'esterno.   :-)
bye G.L.
-- 
« E' assolutamente evidente che l'arte del cinema
  si ispira alla vita, mentre la vita si ispira alla TV »
(Woody Allen)

  Sapessi quanti se ne dimenticano :(
No, io accedevo in telnet e ftp, e fortunatamente la password non è stata
reimpostata dell'intruso. Ripensandoci, non è stato tanto "cattivo".


 dall'esterno.   :-)
Questo di sicuro, ma siccome tutto il traffico entrante è dirottato su due
hostage posti in DMZ, credo siano entrati da quelli... in effetti
nell'access_log di apache trovo delle request improbabili, tra cui 
ad esempio delle SEARCH, CONNECT, OPTIONS, alcune GET di .../cmd.exe e dll
varie, e qualcosa che sembra più smaliziato come "\xd0\xb8\xba".
Si tratta di un apache 1.3.31 per slackware 8.1, se trovo qualcosa magari
posto su "icsu".


 esempio delle SEARCH, CONNECT, OPTIONS, alcune GET di .../cmd.exe e dll
ah, ma quelle le trovo spesso anche io... di sicuro non sono queste
richieste (exe, dll) ad aver creato problemi.
