Приклади пошуку в Shodan

Ця стаття призначена для тих, хто або зовсім не чув про Shodan, або чув, але так і не зрозумів, як ним користуватися. Подібних матеріалів російською мовою я не знайшов, частина інформації почерпнув тут, решта додав з особистого досвіду. Я наведу приклади використання «самого страшного пошуковика інтернету» по імені Shodan. Сервіс розроблений web-девелопером Джоном Мазерли (John Matherly) і орієнтований, передусім, на пошук пристроїв підключених до інтернету.

Shodan опитує порти пристроїв і на основі отриманих відповідних банерів робить висновки про пристрої та сервіси. Пошуковик платний, річна підписка обійдеться в 20$, проте, спробувати його в дії можна і так: після безкоштовної реєстрації доступно 50 результатів пошуку. Історію створення та біографію автора знайдете самі, якщо буде цікаво, а поки перейдемо до справи:

Фільтри

Результати пошуку можна фільтрувати за допомогою наступних конструкцій:
  • country: країна, у форматі RU, UK, US і т.д., наприклад: nginx country:UK
  • city: місто, наприклад: nginx city:«Moscow» country:UK
  • os: операційна система, наприклад: microsoft iis ос:windows 2003»
  • port: порт в форматі 21, 80, 443 і тд, наприклад: proftpd port:21
  • hostname: дозволяє шукати з урахуванням домену, наприклад: nginx hostname:.de


Приклад 1: Пристрої Cisco

Для того, щоб зрозуміти перший приклад необхідно згадати, як основні коди HTTP-відповіді:
Коди стану HTTP:
  • 200 OK Request succeeded;
  • 301 MovedPermanently Assigned a new permanentURI;
  • 302 FoundResides under a different URI;
  • 401 Unauthorized Request requires authentication;
  • 403 ForbiddenRequest is denied regardlessof authentication.


У даному прикладі ми спробуємо знайти пристрою-cisco з web-інтерфейсом для доступу до яких не потрібна авторизація.
Для початку подивимося, як виглядає типовий «401 Unauthorized» банер пристрою-cisco, якщо в рядку пошуку ми введемо просто «cisco»:

HTTP/1.0 401 Unauthorized
Date: Thu, 20 Oct 1994 05:18:36 GMT
Server: cisco IOS
Connection: close
Accept-Ranges: none
WWW-Authenticate: Basic realm=«level_15_access»


Зверніть увагу, що рядок «WWW-Authenticate: Basic realm=»level_15_access" вказує на необхідність ввести логін і пароль.
У свою чергу, пристрій авторизація в якому не потрібна, поверне нам банер зі статусом 200 (для цього в рядку пошуку вбиваємо «200 cisco», ще рядок Last-Modified — вірна ознака, що це «наш клієнт»:

HTTP/1.0 200 OK
Date: Mon, 08 Sep 2014 22:28:16 GMT
Server: cisco IOS
Connection: close
Transfer-Encoding: chunked
Content-Type: text/html
Expires: Mon, 08 Sep 2014 22:28:16 GMT
Last-Modified: Mon, 08 Sep 2014 22:28:16 GMT
Cache-Control: no-store, no-cache, must-revalidate
Accept-Ranges: none


Достатньо перейти по посиланню ip-адреса:80 і ми потрапляємо в web-консоль управління пристроєм. Я скачав Cisco SDM для зручності.



Приклад 2: Паролі за замовчуванням

До інтернету підключено безліч пристроїв з дефолтними логінами і паролями, давайте спробуємо що-небудь знайти. Для цього в рядку пошуку пишемо «default+password». Додамо також port:80, щоб вибрати пристрої з www-аутентифікацією.



В результаті ми побачимо безліч баннерів, що містять шукану фразу, і, як показує практика, великий відсоток пристроїв будуть мати логін/пароль виду admin/password admin/pass, і т.д.,



Приклад 3: Камери відеоспостереження

Якщо у випадку мережевих пристроїв користувачі в більшості випадків встановлюють більш-менш надійні паролі, то з іншим обладнанням справи йдуть набагато гірше. У цьому прикладі ми подивимося в камери відеоспостереження. По роботі мені часто доводиться стикатися з відеореєстраторами фірми DVR, деякі з них мають вихід в мережу. Пишемо в рядку пошуку: DVR port:80 country:UA city:«Saint Petersburg» І отримуємо список відеореєстраторів в СПБ, виявилося близько 200 пристроїв.



Стандартні облікові записи на таких пристроях і user admin, пароль: admin user, 1111, 1234, 123456, 8888 (можна знайти в інструкціях). Вже на першій сторінці пристрій зі стандартної облікової записом:



Приклад 4: Популярні запити



У розділі Popular Searches, можна підглянути варіанти запитів, ось, наприклад, пошук ip-відеокамер фірми avtech на території США: linux upnp avtech country:US, додамо до нього звичний фільтр port:80:



І знову на першій сторінці пошуку попадається пристрій, в якому вийшло залягання за допомогою admin/admin:



Підсумки

Підводячи підсумки, хочу зайвий раз нагадати всім користувачам: будь ласка, встановлюйте надійні паролі на ВСІ пристрої, підключені до мережі, якщо у вас в відеореєстраторові або smart-тб немає «секретних даних, це ще не означає, що ці пристрої не можуть стати цілями зловмисників, нехай навіть просто заради розваги.

Посилання

http://www.scribd.com/doc/34507835/SHODAN-for-Penetration-Тестерів-The-Next-HOPE — Презентація з прикладами (англ.).
http://vimeo.com/13465839 — Відео з використання (англ.).
— Твіттер Джона Мазерли
— оффициальный user guide (англ.)

Джерело: Хабрахабр

0 коментарів

Тільки зареєстровані та авторизовані користувачі можуть залишати коментарі.