# Практика №1. Риски, угрозы и моделирование угроз корпоративной инфраструктуры

> [name=Борисенко Д.А. БСБО-07-19]

[toc]

## Введение

Любая атака начинается с разведки самой инфраструктуры. Разведку можно поделить на OSINT(поиск информации из открытых источников) и Scanning.
К сожалению, в [базе данных уязвимостей](https://www.exploit-db.com/) нет ничего о роутере в нашей инфраструктуре, только о прошлых его версиях. Поэтому для упрощения сценарий атак на инфраструктуру будем использовать и прошлые модели роутера тоже.

## Инфраструктура

Построим модель домашней инфраструктуры в draw.io:


Наиболее уязвимым место в данной инфраструктуре является роутер.

## Сценарии атаки на инфраструктуру

**1. Получение ботов на роутере.**
Боты на роутере могут служить для большового количества целей. Самые распространённые — это анонимные прокси и организация DDoS-атак. Эти два направления позволяют получить серьёзный доход при грамотной монетизации. Чем больше устройств в сети, тем больше в ней потенциальной мощности и тем больше денег она приносит своим владельцам.
Статистика показывает, что самое большое число заражений происходит с использованием брутфорс-атак и открытых портов.
На роутере в среднем открыто 4–5 портов. В их числе Telnet (23), SSH (22) и FTP (21). Например, если мы имеем дело с Telnet, то Telnet-сеансы не шифруются, что позволяет злоумышленнику или бот-сети легко перехватывать учётные данные пользователя и другую информацию. В результате бот-сети могут использовать полученные из протокола telnet данных для дальнейшего расширения.

**2. Захват контроля над устройством TP-Link Archer и использование уязвимостей**.
С помощью особо сконфигурированного запроса атакующий может обнулить пароль администратора устройства.
Для эксплуатации уязвимости атакующий должен отправить HTTP-запрос со строкой, содержащей большее число символов, чем разрешенное количество байтов. В результате пароль администратора аннулируется и заменяется пустым значением. Несмотря на наличие встроенного механизма валидации, вышеописанный способ все равно работает. Дело в том, что механизм проверяет только HTTP-заголовки реферера, и с помощью вшитого значения tplinkwifi.net атакующий может заставить сервис httpd маршрутизатора принять запрос как подлинный.
Поскольку администратор обладает на устройстве правами суперпользователя, обойдя процесс аутентификации, злоумышленник автоматически получит эти права и захватит полный контроль над маршрутизатором.Он сможет не только контролировать все процессы, но также блокировать легитимным пользователям возможность авторизации в web-сервисе через пользовательский интерфейс. В таком случае жертва потеряет доступ к консоли и даже к оболочке и не сможет сменить пароль. Даже если владельцу маршрутизатора удастся установить новый пароль, злоумышленник снова аннулирует его с помощью запроса LAN/WAN/CGI. И наконец, автоматически перестанут работать ключи RSA, поскольку шифрование не работает с пустыми паролями.
Идентификатор проблемы CVE-2019-7405.

**5. Брутфорс.**
Используется для захвата веб-панели роутера и получения на нем прав суперпользователя для полного захвата роутера.
Прямой перебор паролей производится с помощью специального скрипта и показывает высокую эффективность, поскольку многие маршрутизаторы подключаются к интернету с паролем по умолчанию. Перебор паролей также может быть одной из функций ботнета, поэтому захват новых устройств происходит достаточно быстро.

**4. Простой перебор паролей к панели администратора.**
По статистике примерно в 15 из 100 устройств никогда не меняются пароли. И поэтому зная всего пять самых популярных пар можно получить доступ к каждому десятому устройству.