Escaniando o SSDP para buscar vulnerabilidades UPnP

Um dia estava montitorando o tráfego de rede do meu sistema e notei que um serviço SSDP estava se comunicando cpm outra máquina através das faixas de ip4 e IPv6. Algo estranho pois a maquina estava protegida por firewall e não deveria ter se comunicado com ninguém durante esse tempo.

Então o que seria isso?

O SSDP (Simple Service Discovery Protocol – Protocolo Simples de descoberta de Serviços) é um protocolo que avisa e procura por serviços de rede. Em sistemas Windows, o serviço SSDP controla a comunicação para o recurso Universal Plug and Play (uPnP).

COmo o uPnP não funciona sem ele e no início deste ano Hd Moore da Rapid7 criou um utilitário que procura por comunicações SSDP e notifica se o sistema está vulnerável à exploração do uPnP.

Qual o interesse sobre a ferramenta “UPnP SSDP M-SEARCH Information Discovery” é que ela não somente diz que sua máquina está vulderável à exploits uPnP, como tambpem retorna informações interessantes sobre a máquina.

Então se o sistema não é vulnerável, as chances são que estaremos aptos a dizer que:

  • Ele está ativo e em funcionamento
  • O serviço que está rodando
  • E um nome de usuário válido!

A ferramenta de busca está incluída no Metasploit. Então tudo que precisamos fazer é rodá-la e alimentar um faixa de rede:

SSDP search

Então digite “run” ou “exploit” e ela irá escanear a faixa de rede procurando sistemas disponibilizando o serviço uPnP:

SSDP search results 1

Ok, ele encontrou um. Ela não parace ser vulnerável, se els estivesse as vulnerabilidades uPnP, ela poderia ser listada com o retorno da ferramenta.

Mas se você observar exite um link hhtml. Neste caso, se clicarmos sobre esse link, seremos agraciados com um conjunto de informações que inclui o nome da máquina e um nome de usuário válido!

User results

Como podemos ver do resultado do scan acoma, o servidor de Media estava rodando nesta máquina e um nome do PC e um nome de usuário foi listado (bloquado para proteção do inocente).

Para o departamento de segurança, rodar este utilitário contra a rede da companhia irá mostrar rapidamente qualquer serviço que esteja aberto sobre a rede corporativa. Se estes serviços estiverem disponiveis na internet (para mais de 40 milhões de usuários), então você terá um sério problema de configuração que precisa ser consertado e inibido.

\0

Advertisements

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / Change )

Twitter picture

You are commenting using your Twitter account. Log Out / Change )

Facebook photo

You are commenting using your Facebook account. Log Out / Change )

Google+ photo

You are commenting using your Google+ account. Log Out / Change )

Connecting to %s