オフィスのプリンターを攻撃していますか？
ドメイン名があり、企業ネットワークの外部からアクセスできる高度なオフィスプリンターでnmapスキャンを実行しました。驚いたことに、http：80、https：443、svrloc：427などの多くのオープンポートが見つかりました。 OSフィンガープリントはどこかに「... x86_64-unknown-linux-gnu ...」とあります。これは、プリンターの機能のためにサーバーソフトウェアを実行している組み込みLinuxの一種であることを示している可能性があります。
このプリンターがネットワーク上の攻撃対象を増やしているかどうかをどのようにして知ることができますか？たとえば、リモート権限昇格の脆弱性を介して悪用される可能性があります。次に、ネットワーク内の他のホストにトンネリング攻撃を開始しますか？
プリンター、コピー機、およびその他のデバイス、さらにはUPSを使って、深刻なを楽しむことができます。セキュリティは、完全になくても、通常、せいぜい後付けです。
私が見たもの：
- 使用されるデフォルトの資格情報everywhere、および生成された構成ファイル内にパスワードをプレーンテキストで保存するWebベースの構成パネル。私は、パスワードに関してプレーンなMD5よりも優れたものを見たことがありません。あるケースでは、CRC32を見ました。
- ドキュメント名とユーザー名がSNMP経由で漏洩しました。通常はデバイスへのオープンな読み取りアクセス経由で、トランスポートセキュリティが使用されていないSNMPv1/2経由で漏洩しました。
- デフォルトまたは陽気なほど弱いSNMPプライベート名前空間名（通常は「プライベート」、「SNMP」または製造元名）。TCP/ IP設定の再構成、ルーティングテーブルへのエントリのリモート注入などが可能で、多くの場合、変更する方法があります。コントロールパネルで設定できない設定。デバイスをソフトブリックするのは簡単です。
- デフォルト設定ではデバイスでUPnPが有効になっているため、リモート設定をさらに楽しむことができます。多くの場合、テストページの印刷、デバイスのハードリセット、Webパネルの資格情報のリセットなどができます。通常、TCP/IP設定やその他のネットワークプロパティを変更することも可能です。
- 非常に古い2.2.xおよび2.4.xカーネル。多くの場合、Niceルート権限のエスカレーションホールがたくさんあります。
- システム上で不適切に記述されたファームウェアアップグレードスクリプトにより、任意のファームウェアを内部マイクロコントローラーにフラッシュできます。これを使用してデバイスをブリックしたり、開発に多くの時間を費やす気がある場合はルートキットをインストールしたりできます。
- カスタムまたは古いSMBデーモン、多くの場合RCEに対して脆弱です。リモートで簡単にpwnできます。
- Rootとして実行されているサービス、ユーザーグループが正しく設定されていない、ファイルのアクセス許可が正しく設定されていない。
- 印刷ジョブはシェルスクリプトを実行することにより非同期で実行され、特権をデーモン（通常はroot）の特権まで簡単に昇格させることができます。
- デバイスに組み込まれている不十分なFTPサーバー。ファザーがそれらのFTPデーモンのほとんどをクラッシュさせる可能性があると私はかなりのお金を賭けるでしょう。
- 通常のWebアプリケーションはすべて失敗しますが、特にファイルアップロードの脆弱性です。
ここで物事がさらに楽しくなります。プリンターをpwnしたら、SMBハンドシェイクからユーザー名と他のジューシーな情報を取得できます。また、プリンターのWebコントロールパネルへのパスワードが再入力されていることもよくあります。他のネットワーク資格情報に使用されます。
ただし、結局のところ、プリンタはネットワーク上の内部マシンです。つまり、これを使用して、ネットワーク上の他のマシンへの攻撃をトンネリングできます。何度かgccとnmapをコピー機に取り込んで、それを操作のベースとして使用しました。
解決策は何ですか？まず、プリンタとコピー機は通常、本格的なコンピュータであり、多くの場合ARMプロセッサで組み込みLinuxを実行しています。次に、それらをロックする必要があります。
- デバイスのファームウェアを最新バージョンに更新します。
- プリンタをインターネットからファイアウォールで保護します。これは明らかなはずですが、見落とされることがよくあります。 TCP/IPベースのプリンター/コピー機は通常
0.0.0.0にバインドするため、WANに簡単に忍び込むことができます。 - プリンターにLANからのトラフィックのみをリッスンさせることができる場合は、リッスンしてください。
- Webコントロールパネルでデフォルトの資格情報を変更します。繰り返しますが、明らかですが、まだ頻繁には行われていません。
- デバイスで実行されているサービスを見つけて、自分でそれらに侵入しようとします。いったん入ったら、パスワードを変更し、不要なものをオフにします。
- 自分のSNMP検出ツールを入手し、プリンターで利用できるものを調べてください。 SNMPには多少習熟曲線がありますが、一見の価値があります。
- 内部ネットワーク監視を行う場合は、異常な着信があるかどうかを監視するルールを設定しますout ofプリンター。これにより、誤検知が削減され、何か危険なことが起こっていることをよく示します。
全体として、それがネットワークに接続されたデバイスである場合、それはおそらく pwnableであり、リスク管理の一部である必要があります。
ここでの主な問題は、ネットワークの外部からプリンタにアクセスできることです。私はこれまでneverプリンタにネットワークの外部からアクセスできる必要がある状況を見てきました。それを修正して、早急に入手することをお勧めします！
プリンタには多くの人が理解している以上の機能がありますが、プリンタを最新の状態に保ち、httpなどの安全でないオプションをオフにして、管理者パスワードを変更することで、リスクを管理できます。
多くの場合、プリンタは印刷されたドキュメントのログを保持し、リモートでダウンロードできるドキュメント自体のコピーが含まれる場合があります。ドキュメント自体が機密ではないメタデータであっても、ファイルサーバー名、送信元のコンピューター、ユーザー名などの情報が漏洩することがあります...
一般に、プリンタは多くのネットワークで目に見えず、軽減されないリスクです。私たちはそれらをコンピューターとは思わない傾向がありますが、実際のところ、ほとんどすべての現代のネットワークプリンターにはかなり複雑なプリントサーバーが組み込まれており、しばしば何らかの形の組み込みLinuxを実行しており、セキュリティについてはほとんど考慮されていません。マイクロコントローラーが完全に組み込まれているため、コンピューターやネットワーク上のオープンネットワークジャックを使用して実行できるほぼすべての攻撃が、プリンターからも実行される可能性があります。
Webに直接接続されているプリンターにアプローチする場合、まず、他の種類の印刷サービスを経由してドキュメントをキューに入れるように要求するのではなく、なぜそこに存在する必要があるのかを尋ねます。それがあなたのネットワークの外側に住んでいるための説得力のある理由がある場合、それが内部で許可される必要がある理由はありますか？インターネットで利用できる場合、内部ユーザーはネットワークの外部の誰かと同じようにインターネット経由で接続できます。これにより、ある程度の分離も実現できます。
これは攻撃ポイントであるため、ネットワークの攻撃面を拡大します。そのポイントを使用して、別の内部Webページにアクセスできます。たぶんあなたのプリンターはあなたが盗んだり再生したりできるネットワーク資格情報を持っているかもしれません。
プリンターに対する単純な攻撃は、構成を変更して、印刷またはスキャン/ FAXされたドキュメントをローカルに保存し、後で取得することです。プリンタ自体は無関係であり、問題にアクセスできるデータです。
おそらく、HTTP（S）ポートは、VNCウィンドウがJavaアプレット（Lexmarkプリンターがそれを行う）として実装されている）Webページを提供することになります。アクセスバッジ、VNC接続は、プリンター、資格情報などすべてにローカルにいる誰かの「セッション」をハイジャックします。
実際にできることは、プリンターの種類と攻撃の持続性によって異なります。
これは、プリンターのセキュリティが侵害されているという独特の物理的影響です。
http://it.slashdot.org/story/11/11/29/1752231/printers-could-be-the-next-attack-vector
私はNessusを使用しましたが、ホームネットワークで見つかる最も基本的な機能を備えたプリンターでさえ、デフォルトの認証情報や大量のポートを開くなどの脆弱性があることがわかりました。
奇妙に思われるかもしれませんが、ケースがあるかもしれませんが、ファイアウォールとVPNの外でプリンタにアクセスできるようにするために、ビジネスが必要になることはまれです必要。今、私は一般化していますが、「高度な」プリンタを使用しています。
- 「安全なプリンター」は売上を伸ばしません。最初からプリンタを固定するためのエンジニアリング作業はほとんどありません。
- 上記により、ソフトウェアとカーネルは古い可能性があります。つまり、セキュリティの脆弱性はすでに知られており、公開されています
- それを「プリンター」と考えないでください。本質的にはLinuxを実行するサーバーです。簡単にパッチを適用したり強化したりできないLinux
- この状況は、セキュリティポリシーの構築で行われた多くのセキュリティの前提を破る可能性が高いため、基本的にはgreatより高度な攻撃の出発点です（例：悪意のあるネットワークスニファがないため、FTPパスワードは問題ありません）。偽造DNS => MITM =>外部へのSSLトラフィックのトンネリング。
- スキャナーの場合、多くのデバイスがスキャンしたドキュメントを一時フォルダーにキャッシュします（デバイス内のプリンターキューと同様）。
私はこれの別の側面に言及したいと思います-多くのコピー機/デバイスメーカーは彼らが彼らのサポートコンタクトの一部としてリモートでデバイスにアクセスできることを彼らに尋ねます。それは確かに一部の企業がデバイスへの直接アクセスを許可することにつながります。
より良い解決策は、外部サポートスタッフが要塞ホストにのみ接続し、そこからコピー機/デバイスに接続できるようにすることです。