检测不到漏洞并不意味着没有漏洞

不是所有管理员都会安装更新,尤其是涉及到网络设备软件的更新。更新通常需要的工作量很大。

新闻媒体上几乎天天都有关于漏洞的新闻爆出。一般情况下,漏洞会在互联网上引起热议,在开发者发布相关补丁后,一切渐渐平息。看起来似乎万事大吉,问题也得到了解决,但事实却并非如此。不是所有管理员都会安装更新,尤其是涉及到网络设备软件的更新。更新通常需要的工作量很大。

有些系统管理员认为自己的企业不会成为黑客的目标。有些管理员则会扫视官方安全建议中是否有”没有漏洞存在的迹象”这样的语句,若是没有,就放心不管,认为这只是理论上的漏洞。

去年,思科设备报告了几个严重漏洞。其中一个是Cisco IOS和IOS XE操作系统中的SNMP远程代码执行漏洞(咨询ID:cisco-sa-20170629-snmp),这个漏洞说明了外部人员可能如何获得对系统的完全控制权。他们唯一需要的是相关系统的SNMP只读社区字符串(一种用户ID或密码)。自2017年7月以来,这个问题已经广为人知。思科也严肃对待这些漏洞,并迅速进行了修补,因此没有检测到任何利用这些漏洞的企图。

我们的同事Artem Kondratenko是一名渗透测试专家。在他执行的一次外部渗透测试中,发现了一个带有默认SNMP社区字符串的Cisco路由器。他决定研究下这个漏洞到底有多危险。为此,他设定了一个目标:通过该路由器访问内部网络。顺便说一句,Kondratenko的发现并不是独一无二的。Shodan列出了使用默认社区字符串的3,313部相同型号设备。

不过,我们暂且不谈技术细节。如果你想更好地了解他开展的研究,请观看Kondratenko在混沌通讯大会上发表的演讲。重要的是他所得出的最终结果。他证明了可以利用这个漏洞以第15级权限来访问系统,这是思科IOS shell的最高访问权限。所以,因为没有检测到此漏洞,而就此忽略该漏洞可就大错特错了。Kondratenko从发现有漏洞的设备到创建利用cisco-sa-20170629-snmp的概念证明仅用了四周时间。

为了确保您的路由器不会成为此漏洞的第一个受害者,明智的做法是:

1.确保您的网络设备软件是最新的;

2.不要在连接到外部网络的路由器上使用默认社区字符串(最好避免使用默认社区字符串);

3.密切关注网络设备的使用寿命声明 – 寿命到期后,制造商不会再提供支持,因此不可能收到任何更新。

提示

爱与隐私

个人空间的界限在恋爱关系中特别容易模糊。在本文中,我们将谈谈过度的”信息亲密度”可能导致的问题。