Encontrando e Acessando Câmeras e Roteadores abertos a Internet

Para utilizar essa 'trick' iremos utilizar um scanner de IP's muito bacana chamado Angry IP Scanner ou o próprio Nmap se preferirem. Ele foi baseado em um post muito foda do Hacoder, blog que eu acompanho e particularmente acho demais. Vale muito a pena passar um tempo revirando as páginas do site. Basicamente nós iremos varrer um determinado range de IP's para buscar as portas das câmera que estejam abertas e tentar brute forces de senhas default neles. Podemos também utilizar Google Dorks e Shodan Dorks para buscar determinados modelos de câmeras.

:: Instalando o Angry IP Scan

 Slackware 14,1  
 # sbopkg -i ipscan  
   
 Debian Distros  
 # wget http://github.com/angryziber/ipscan/releases/download/3.4.1/ipscan_3.4.1_amd64.deb  
 # dpkg -i ipscan_3.4.1_amd64.deb  

Para mais versões de instalação: http://angryip.org/download/

Introdução :: Considerações Iniciais

1. Atenção!!
Primeiramente, todo o conteúdo apresentado aqui tem o objetivo de mostrar vulnerabilidade e riscos corridos por senhas fracas em dispositivos e sistemas abertos a internet. Nós não nos responsabilizamos pelo mau uso do conteúdo apresentado, pois o mesmo se baseia apenas em educar profissionais e entusiastas no ramo da segurança da informação.

2. Tipos de Busca
Alguns resultados interessantes que podemos encontrar e nos atentar no caminho:

• RomPager/4.07 UPnP/1.0 —– router
• uc-httpd 1.0.0 —– CCTV camera
• DVRDVS-Webs —– CCTV camera
• microhttpd —– router
• Webs —– CCTV camera
• Hikvision-Webs —– CCTV camera
• iBall-Baton —– CCTV camera

3. Default Passwords 

Como sempre, o sistema mais vulnerável é o humano. E sempre podemos contar com senhas fracas em sistemas ou até mesmo senhas default. Antes de tentar qualquer Brute Force, devemos tentar alguns passwords de fábrica:

Username : admin | password : admin
Username : admin | password : (blank password)
Username : admin | password : 12345
Username : admin | password : 9999

Esse site possui vários passwords Default de equipamentos: http://www.defaultpassword.com/

Método 1 :: Varrendo Ranges de IP com Angry IP Scan

Primeiramente precisamos escolher um range específico de IP's para varrer e encontrar possíveis alvos de câmeras vulneráveis. Vamos supor que você já tenha um range de ips públicos válidos. No caso, estarei utilizando a mais óbvia das aleatoriedades. Vou pegar um host da tor e varrer seu range.

Neste caso, peguei um range aleatório, como 197.231.xxx.xxx, ou como exemplo: 197.231.231.231, logo meu range de IP's vai de 197.231.231.1 até 197.231.231.255. Vamos configurar o Angry IP Scanner para levantar somente informações das portas 80,8080 para fazer um teste mais rápido. Aqui você customiza como quiser, mas o ideal é deixar com as portas mais específicas possíveis.

Obs: DVR's, se não me engano podem rodar nas portas 81 - 85.

Vá eté Tools > Preferences > Ports

Agora vamos adicionar a operação de Scan a opção 'Web Detect' para que seja possível levantar mais algumas informações sobre o host, como modelo, versão, fabricante e etc. Nesse caso devemos ficar atentos a nomes de câmeras ou DVR's. Vamos até Tools > Fetchers > e adicione a opção Web Detect. Depois é só iniciar o Scan.

Após o inicio do Scan, o software irá varrer todos os hosts do range de IP's e tentar buscar os headers  do servidor que está rodando atrás das portas que especificamos anteriormente. Devemos nos atentar a nomes de cam, mini_http, DVR e etc.

Método 2 :: Varrendo Ranges de IP com NMAP

Também podemos utilizar o NMAP para levantar informações de um certo range de IP's. O Nmap é a opção mais poderosa de Port Scanning que existe atualmente, na minha opinião, e podemos otimizar sua sintaxe para scannear um range e apenas determinadas portas, levantando informações sobre os serviços rodando nas mesmas:

 # nmap -sS -sC -sV 192.168.0.1-255 -p 80,8080,8000  

Método 3 :: ShodanHQ e CenSys Search

O Shodan é um site muito sinistro, que junto com o CenSys tem deixado muitos SysAdmins com a orelha em pé. Basicamente esses são serviços que varrem a internet diariamente, capturando banners, portas e todo o tipo de informação possível sobre os mesmos. Para efetuar uma busca realmente foda com o mesmo, é necessário realizar o cadastro no site. Basicamente isso nos gera uma API de desenvolvimento e também nos permite colocar filtros de local, serviço, país, cidade, porta sobre as buscas. A busca 'non-register' é bem limitada.

O serviço também te permite buscar por meio de dorks, então junto com uma API te permite realizar search bem bacanas em scripts próprios. Estou pensando em codar um buscador que realiza brute force básico em todos os resultados da busca :).

Brute Force :: Quebrando senhas de câmeras com Hydra

Podemos testar os resultados da busca com wordlists contendo senhas bobas com o Hydra. Já falamos bastante do Hydra aqui no blog, um dos primeiros posts na verdade :). Fiquem ligados, pode ser útil:

Auditando Servidores SSH com Hydra e Metasploit
Brute Force em Serviços SSH com Hydra
Realizando Brute Force em formulários de Login com Hydra

 # hydra -s 80 -l admin -P /caminho/para/wordlist e ns -t 192.168.0.1 http -v -vV  

Bruteforce :: Kill Router - Python Tool Bruteforce

Eu desenhei o Kill router justamente pra situações desse tipo. Fizemos um post pra explicar a instalação e o funcionamento da ferramenta.

Kill-Router :: Brute Force em senhas de Roteadores e Painéis utilizando Python

 # python kill-router.py -t 192.168.0.1 -p 80 -u admin -l /caminho/para/passwords.txt   

Git da ferramenta: https://github.com/msfidelis/Kill-Router-

Nenhuma Informação Confidencial foi exposta e nenhum alvo foi prejudicado na elaboração deste lab. Este post tem intuito educativo para profissionais e estudantes de segurança da informação, e não deve ser utilizado para atividades ilícitas. O Nanoshots não se responsabiliza pelo mau uso dos métodos apresentados aqui.