Juniper SSG5 安全預警：國內超過300台juniper網路設備受後門影響

-


Juniper SSG5 安全預警：國內超過300台juniper網路設備受後門影響


此文章從 http://c.colabug.com/thread-1430496-1-1.html 取得

圖片自 http://www.codesec.net/view/219841.html 取得

0x00. 事件回顧

  在2015年的12月18日,Juniper官網發佈安全公告,指出在他們的Netscrren防火牆的ScreenOS軟體中發現未授權的代碼,其 中涉及2個安全問題,一個是在VPN的認證代碼實現中被安放後門,允許攻擊者被動解密VPN的流量(CVE-2015-7756),另一個後門是允許攻擊 者遠端繞過SSH和Telnet認證,利用後門密碼遠端接管設備(CVE-2015-7755).在Juniper的安全公告後的6個小時,Fox-IT 公司找到了後門密碼,並發佈了Sort規則
   通過Sort規則我們可以看出SSH/Telnet的後門密碼是 "<<< %s(un='%s') = %u" (3c3c3c20257328756e3d2725732729203d202575十六進位解碼)
  Sort規則:

  1. alert tcp $HOME_NET 23 -> any any (msg:"FOX-SRT - Flowbit - Juniper ScreenOS telnet (noalert)"; flow:established,to_client; content:"Remote Management Console|0d0a|"; offset:0; depth:27; flowbits:set,fox.juniper.screenos; flowbits:noalert; reference:cve,2015-7755; reference:url,http://kb.juniper.net/JSA10713; classtype:policy-violation; sid:21001729; rev:2;)
  2. alert tcp any any -> $HOME_NET 23 (msg:"FOX-SRT - Backdoor - Juniper ScreenOS telnet backdoor password attempt"; flow:established,to_server; flowbits:isset,fox.juniper.screenos; flowbits:set,fox.juniper.screenos.password; content:"|3c3c3c20257328756e3d2725732729203d202575|"; offset:0; fast_pattern; classtype:attempted-admin; reference:cve,2015-7755; reference:url,http://kb.juniper.net/JSA10713; sid:21001730; rev:2;)
  3. alert tcp $HOME_NET 23 -> any any (msg:"FOX-SRT - Backdoor - Juniper ScreenOS successful logon"; flow:established,to_client; flowbits:isset,fox.juniper.screenos.password; content:"-> "; isdataat:!1,relative; reference:cve,2015-7755; reference:url,http://kb.juniper.net/JSA10713; classtype:successful-admin; sid:21001731; rev:1;)
  4. alert tcp $HOME_NET 22 -> $EXTERNAL_NET any (msg:"FOX-SRT - Policy - Juniper ScreenOS SSH world reachable"; flow:to_client,established; content:"SSH-2.0-NetScreen"; offset:0; depth:17; reference:cve,2015-7755; reference:url,http://kb.juniper.net/JSA10713; classtype:policy-violation; priority:1; sid:21001728; rev:1;)
  5.  
0x01. 受CVE-2015-7755後門影響的Juniper設備型號

  根據Juniper的安全公告提及,版本6.2.0r15到6.2.0r18和6.3.0r12到6.3.0r20受影響,Juniper提供了新的 6.2.0和6.3.0build下載,也對去除後門的版本進行了重打包,標識為'b',如ssg500.6.3.0r12b.0.bin和 ssg5ssg20.6.3.0r19b.0.bin.老外對CVE-2015-7756和CVE-2015-7755受影響的Juniper設備版本做 了一個圖示，如圖1 (雖然我個人認為他標記2個CVE標記反了)

0x01. 受CVE-2015-7755後門影響的Juniper設備型號

  根據Juniper的安全公告提及,版本6.2.0r15到6.2.0r18和6.3.0r12到6.3.0r20受影響,Juniper提供了新的 6.2.0和6.3.0build下載,也對去除後門的版本進行了重打包,標識為'b',如ssg500.6.3.0r12b.0.bin和 ssg5ssg20.6.3.0r19b.0.bin.老外對CVE-2015-7756和CVE-2015-7755受影響的Juniper設備版本做 了一個圖示，如圖1 (雖然我個人認為他標記2個CVE標記反了)
   

   圖片引用自 http://malwarejake.blogspot.tw/
  0x02. 技術分析：

  這裏只參考hdm的文章分析發現CVE-2015-7755後門漏洞的過程,CVE-2015-7756漏洞涉及很多密碼學的知識,我隨後發佈.
  hdm已經把firmware打包放在了https://github.com/hdm/juniper-cve-2015-7755,其中 SSG500固件是使用x86架構, SSG5和SSG20固件使用XScale (ARMB) 架構,這裏直接把ssg5ssg20.6.3.0r19.0.bin載入IDA,在"Processor Type"裏選擇ARMB,如圖2
   

  圖2
  然後修改Loading Address為 0x80000,File Offset為 0x20,如圖3
   

  圖3
  通過字串參考搜索"strcmp"找到sub_ED7D94函數,但是引用太多,如圖4,圖5.繼續查看字串參考,發現更有趣的字元 如"auth_admin_ssh_special"和“auth_admin_internal",通過"auth_admin_internal"發 現sub_13DBEC函數,這個函數有個BL sub_ED7D94,F5看下sub_ED7D94,類似"strcmp",如圖6
     

圖4
   

圖5
   

  

圖6
   最後確定後門密碼為 “<<< %s(un='%s') = %u“ ,如圖7
   
  

圖7
   要想利用還需要知道SSH/TELNET登陸名,通過官方文檔,我們知道默認登陸名為netscreen,又根據sans 蜜罐的結果 https://isc.sans.edu/forums/diary/The+other+Juniper+vulnerability+CVE20157756/20529/ ,摘錄出常用用戶名 root/admin/ ,掃描結果見第三部分
  0x03. 國內影響：

   經過我個人掃描,全球開放juniper的ssh設備有21869台(為了避免麻煩,忽略了一些已知的蜜罐網路和敏感網路的IP段,實際應該更多),其 中中國占2008台.根據shodan的熱詞 “netscreen counter:"CN"" 來看,他得到的中國受影響的IP是2130台.如圖8,而其中受後門影響的設備已經驗證的有317台.如圖9
   


  圖8
   

  圖9
  另外要說的另一個敏感問題是,除了受後門影響的這317台juniper設備,弱口令問題導致可以登陸設備的有20多台,大部分是netscreen/netscreen,這種安全意識問題,還需要網路管理員注意.
  管理員可通過get event查看登陸日誌.排查是否可以被掃描或登陸
  1. ssg5-serial-> get event  
  2. Total event entries = 3072
  3. Date       Time     Module Level  Type Description
  4. 2015-12-23 17:25:27 system warn  00515 Admin user system has logged on via
  5.                                        SSH from 1.1.1.1:32366
  6. 2015-12-23 17:17:26 system warn  00528 SSH: Password authentication failed
  7.  
複製代碼
  雖然這個日誌可以通過 ssg5-serial-> get event 來刪除. :)
  0x04. 補丁升級

  可以通過tftp和web介面來升級,具體步驟參考
  1. http://puluka.com/home/techtalknetworking/screenoscriticalsecurityissue2015.html
  2.  
複製代碼
0x05 參考文章：
  1. Juniper ScreenOS backdoor: the attack demystified
  2. http://www.pentest.guru/index.php/2015/12/21/juniper-screenos-backdoor-attack-demystified/
  3.  
  4. Juniper Networks - 2015-12 Out of Cycle Security Bulletin: ScreenOS: Multiple Security issues with ScreenOS (CVE-2015-7755) - Knowledge Base
  5. https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10713&cat=SIRT_1&actp=LIST
  6.  
  7. Juniper Follow Up
  8. http://malwarejake.blogspot.com/2015/12/juniper-follow-up.html
  9.  
  10. CVE-2015-7755: Juniper ScreenOS Authentication Backdoor
  11. https://community.rapid7.com/community/infosec/blog/2015/12/20/cve-2015-7755-juniper-screenos-authentication-backdoor
  12.  
複製代碼
0x06. 要感謝的人：

  RY,低調的張老師





Juniper Networks（瞻博網絡）現後門：萬能密碼登錄設備、可解密VPN流量


此文章從 http://www.wenwenti.info/article/183889 取得

Juniper Networks發佈緊急更新，修復ScreenOS上一個“未授權代碼”。攻擊者可以利用該漏洞解密NetScreen設備的VPN流量。

Juniper網絡公司(中文名：瞻博網絡)致力於實現網絡商務模式的轉型。作為全球領先的聯網和安全性解決方案供應商，Juniper網絡公司對 依賴網絡獲得戰略性收益的客戶一直給予密切關註。公司的客戶來自全球各行各業，包括主要的網絡運營商、企業、政府機構以及研究和教育機構等。 Juniper網絡公司推出的一系列聯網解決方案，提供所需的安全性和性能來支持全球最大型、最復雜、要求最嚴格的關鍵網絡。

Juniper還沒有對這個代碼漏洞給予任何的評論，但是Juniper的產品已經被從國傢安全局的產品目錄中篩選瞭出來。2013年12月，Jacob Appelbaum、Judit Horchert和Christian Stocker在Der

Spiegel發表的一篇文章中指出，NSA的FEEDTHROUGH植入是為Juniper防火墻量身定制的，給美國政府留下瞭一個永久後門，可隨時訪 問這些高端網絡設備。NetScreen應用是一款高端企業防火墻和VPN產品，被通信商和數據中心廣泛使用，ScreenOS是運行在這些應用的操作系統。

內部代碼審計發現兩枚漏洞

Juniper高級副總裁兼首席信息安全官Bob Worrall稱，在最近的內部代碼審計過程中發現瞭兩枚漏洞，影響ScreenOS 6.2.0r15—6.2.0r18，6.3.0r12—6.3.0r20版本。

其中一個是未授權代碼漏洞，可解密VPN流量；另外一個可允許攻擊者通過SSH或者telnet遠程管理訪問設備。Juniper提到這些系統的訪問會被記錄，密碼認證也會成功，但是攻擊者可改變或者刪除日志條目。

“當我們發現這些漏洞時，我們立即對這一問題進行瞭調查研究，開發並發佈最新版本ScreenOS的修復方法。目前為止我們並未收到這兩個漏洞被利用的報道，但是我們還是強烈建議用戶更新系統。”

SRX以及其他基於Junos的系統不受影響，Junos是該公司用於路由、交換、安全的一個高性能網絡操作系統。

CVE-2015-7755細節：

利用該漏（hou）洞(men)，攻擊者可以通過SSH、Telnet以root身份遠程登陸ScreenOS設備，直接獲得設備控制權！通過shodan搜索可以發現：目前國內暴露在公網的netscren設備數量為2172！

ssh [email protected]
後門密碼：<<< %s(un='%s') = %u

升級&修復指南：http://puluka.com/home/techtalknetworking/screenoscriticalsecurityissue2015.html

這個網誌中的熱門文章

如何測試網路連線--網路斷線了怎麼辦?

-
圖片
如何測試網路連線--網路斷線了怎麼辦? 如何測試網路連線 -- 網路不通了 DIY 自行檢測網路連線 當我們打開電腦，卻發現無法上網了，這時候我們該怎麼辦呢 ? 如果在公司的話，我們可以請電腦人員來處理，而若是在家裡，我們就必須 DIY 先自行檢查一遍，如果檢查後仍然不能上網的話，我們也只能請朋友或是廠商來維修了。 而我們又要如何 DIY 先自行檢查呢 ? 請您依照下列步驟來進行： 第一步：進入 DOS 命令列模式。 按 " 視窗鍵 +R 鍵 " ，開啟執行視窗並輸入 " cmd " 後按 enter 鍵來進入 DOS 命令列模式。 第二步：檢查 ip 是否正常。 請輸入 " ipconfig " 來 檢查有無取得正常 IP 或是 IP 設定是否正確。 若電腦要上網，則每台電腦 一 定都要配有一個 IP 位址才行，本例的 IP 位址為 192.168.1.11 。 而 IP 位址分成 公共 IP 與 私有 IP 兩種， 只有公共 IP 才能上網 ( 網際網路 ) ，私有 IP 是無法直接上網的，私有 IP 只能在區域網路中使用 。而因為公共 IP 太少，所以要搭配私有 IP 來上網才行，這樣就可以達到以 100 台電腦，或是以 10000 台電腦，使用私有 IP 經過網路設備的轉換而達成只需使用 1 個公共 IP 就能讓大家一起上網的目的了。 私有 IP 無法直接連接網際網路，需要使用 網絡地址轉換（ Network Address Translator ， NAT ） 或者 代理伺服器   （ proxy server ） 來實現。與公網 IP 相比，私有 IP 是免費的，同時節省了 IP 位址資源，適合在區域網使用。私有 IP 常被用於家庭，學校和企業的區域網。 私有 IP 的範圍： 192.168.XX. XX 172.16. XX.XX – - 172.31. XX.XX 10. XX.XX.XX 我們只要看到 IP 位址開頭為上述範圍的 IP ，就表示您的 IP 為私有 IP 。 還有一種 ip 位址為 169.254. X.X ， 這種...
閱讀完整內容

筆記電腦刷BIOS失敗無法開機—用CH341A編程器重刷BIOS教學！

-
圖片
ASUS 筆記電腦更新 BIOS 失敗無法開機 —用 CH341A 編程 器重刷 BIOS 教學！ 前一陣子買了一台新的筆記電腦 (∩_∩) ，因此讓跟了我多年的 ASUS A42JA 筆電因此就被束之高閣沒有再被使用了 ヽ (´ ー ` )┌ ，後來想說反正放著不用也是浪費，乾脆就整理一下拿到拍賣網站給便宜賣掉算了 (¬ ‿ ¬) ，於是便動手開始移除個人的資料， 把 WINDOWS 7 系統還原到出廠狀態，順便一起更新 BIOS 的版本 ，而更新的過程很順利，在寫入 100% 後便自行重開機，重開機後小弟發現電源燈與硬碟燈皆恆亮，且螢幕沒有畫面，但小弟當然得等著它繼續開機更新 BIOS ，可是 2 分鐘 .. ， 5 分鐘過了 .. ，情況還是一樣，此時心中不禁起了疑惑   (• ิ _• ิ )? ，不會吧 ！ 會不會更新失敗了 ？ 難道這麼倒楣的事都讓小弟我給碰上了 ？ 一直等到十分鐘過後，小弟我終於失去耐性了，便下定決心長按電源鍵來讓筆記電腦強行關機   ( ╯‵ □′) ╯ ︵ ╧═╧ ，然後再開機，結果依然還是沒有畫面，電源燈與硬碟燈都恆亮的情況，小弟仍不死心的又重試了幾次，問題最後終於明朗化了，他媽的 BIOS 真的更新失敗了，對小弟來說一直是傳說中的問題竟被我給遇上了 ！！！   。゜゜ (´ Ｏ `) ゜゜。 因為這台 ASUS A42JA 筆電已購置多年，早就過保固了，因此小弟先上網 GOOGLE 下，發現這類問題 ASUS 原廠通常是換主機板（這是在論壇上討論的內容），且一片要價 $5000 元   ( ⊙ _ ⊙ ) ，所以送回原廠維修的方案小弟就不考慮了（超出了筆電的價值沒有維修的必要），小弟接著再努力的 GOOGLE 幾下，終於發現 BIOS 更新失敗後似乎可以自行使用燒錄器來重刷 BIOS  (¬_¬;) ，於是這便成為小弟唯一可行的解決方案了。 從網路上找到的刷 BIOS 案例中，發現大多是使用 ”CH341A 編程器 （ 燒錄器 ） ” 來進行燒錄作業，其基本作法是用烙鐵將主機板上的 BIOS 晶片（ 芯片 ） 拆下，再用 CH341A 燒錄器將原廠下載的 BIOS 檔案燒入芯片中，最後再將 BIOS 芯片焊接回筆電主機板上。而因為小弟也是...
閱讀完整內容

查理王的電腦部落格-首頁

-
查理王的電腦部落格 之所以成立這個部落格，最主要是要和大家分享自己學習電腦的一些經驗，在學習上往往因為一個指令或是一個觀念，常常我們要上網查幾天的資料才有答案，因此也就有了將自己的電腦學習經驗分享出來的想法，但是個人的經驗往往不足，觀念也不見得完全正確，加上粗心大意，校稿不認真等等因素，文中若有謬誤不對之處尚請大家見諒，還望各位大大能不吝賜教，將錯誤指明並 email 給我 ( taiwankid168@gmail.com ) ，小弟在此萬分感謝您 !! 因為沒有太多時間管理部落格，所以並沒有開放留言區提供給大家留言，尚請大家見諒 !! 小弟一向喜愛美食，所以未來會陸續在本版中加入美食文章，主要原因也是小弟文章的產量一向不高，所以就不另外開美食部落格了。另外，小弟也會在本版中陸續加入宗教相關文章，介紹小弟常拜拜的廟宇，歡迎大家來點閱。   美食文章    宗教相關文章    Juniper 防火牆相關文章   近期發表文章： 屏東 東港東隆宮介紹 （ 溫府千歲 、 王爺公 ） 屏東慈鳳宮 介紹 （ 屏東媽、阿猴媽 ） 花蓮聖地慈惠堂總堂介紹 （ 金母娘娘 ） 台中清水壽天宮介紹 （ 西勢媽 ） 高雄三鳳宮 介紹 （ 太子爺 ） 三峽清水祖師廟介紹 （ 清水祖師 ） 苗栗玉清宮介紹 （ 關聖帝君 ） 後龍山邊媽祖宮 介紹 （ 山邊媽 ） 竹南後厝龍鳳宮介紹 （ 媽祖 ） 新竹普天宮 介紹 （ 關聖帝君 ） 清水慈雲 宮介紹 （ 觀音佛祖 ） 新竹東寧宮介紹 （ 地藏王菩薩 ） 台南南鯤鯓代天府 介紹 （ 五府王爺 ） 台南南鯤鯓萬善堂 介紹 （ 囝仔公小王爺 ） 台南南 鯤鯓代天府 - 凌霄寶殿介紹（玉皇上帝 ） 難得的平民美味 - 甕仔海鮮麵 - 新竹北門雞絲飯 彰化 北斗美食 - 阿美姊高麗菜飯（北斗奠安宮前） 艋舺龍山寺介紹 （ 觀世音菩薩 ） 三峽行修 宮（ 行天宮三峽分宮 ）介紹 （ 關聖帝君 ） 北投行 天宮（ 忠義 廟 ）介紹 （ 關聖帝君 ） 行天宮（ 恩主公廟 ）介紹 （ 關聖帝君 ） 竹北天后宮介紹（竹北媽） 鹿港天后宮（舊祖宮）介紹 （鹿港媽） 苗栗通霄白沙屯拱天宮介紹 （ 白沙屯媽 ） 埔里寶湖宮天地堂地母廟介紹 （ 全台地母至尊總廟 ） 新竹竹蓮寺 介紹（觀世音菩薩） 彰化北斗奠安...
閱讀完整內容