Corporate espionage for dummies: HP scanners
by Michael Sutton - Zscaler - Wednesday, 1 September 2010.
Theo: http://www.net-security.org/article.php?id=1484
Bài được đưa lên Internet ngày: 01/09/2010
Lời người dịch: Bạn hãy cẩn thận khi sử dụng máy quét vì nó có thể để lộ các thông tin trên Web đấy.
Các máy chủ web đã trở nên thông dụng trong mọi thiết bị phần cứng từ những máy in cho tới các bộ chuyển mạch switch. Một sự bổ sung như vậy có ý nghĩa khi tất cả các thiết bị đòi hỏi một giao diện quản lý và làm cho giao diện đó truy cập được web chắc chắn là thân thiện hơn với người sử dụng so với yêu cầu cài đặt một ứng dụng mới. Mặc dù thường thì không an ninh hoàn toàn, như các máy chủ web trong các máy in/máy quét thường tạo ra ít sự quan tâm hơn từ viễn cảnh an ninh, thậm chí chúng có thể là truy cập được qua web, nhờ những cấu hình không đúng của mạng. Vâng, bạn có thể thấy ai đó đã quên thay thế băng mực màu xanh da trời mà cái đó không có nhiều giá trị đối với một tin tặc. Tuy nhiên, trường hợp này không luôn luôn đúng.
Web servers have become commonplace on just about every hardware device from printers to switches. Such an addition makes sense as all devices require a management interface and making that interface web accessible is certainly more user friendly than requiring the installation of a new application. Despite typically being completely insecure, such web servers on printers/scanners are generally of little interest from a security perspective, even though they may be accessible over the web, due to network misconfigurations. Yes, you can see that someone neglected to replace the cyan ink cartridge but that's not of much value to an attacker. However, that's not always the case.
Một phiên bản của giao diện WebScan trên một máy quét của HP
Gần đây tôi đã xem một mẫu mới hơn của máy in/máy quét của HP đa chức năng và đôi khi rất bắt mắt tôi. HP đôi khi, nhúng các khả năng quét từ xa vào nhiều máy quét biết nhận ra mạng của chúng, một chức năng thường được đưa ra như là Webscan. Webscan cho phép bạn không chỉ tắt bật từ xa chức năng quét, mà còn tìm mang ảnh được quét, tất cả thông qua một trình duyệt web. Để làm cho mọi thứ thậm chí thú vị hơn, tính năng này thường bật một cách mặc định sự không an ninh một cách tuyệt đối bất kỳ thứ gì.
One Version of the WebScan interface on an HP scanner
I was recently looking at a newer model of an HP printer/scanner combo and something caught my eye. HP has for some time, embedded remote scanning capabilities into many of their network aware scanners, a functionality often referred to as Webscan. Webscan allows you to not only remotely trigger the scanning functionality, but also retrieve the scanned image, all via a web browser. To make things even more interesting, the feature is generally turned on by default with absolutely no security whatsoever.
Mối đe dọa bên trong
Với hơn 1 tỷ USD bán máy in chỉ trong quý III/2010, và với nhiều thiết bị như vậy là các máy in tất cả trong một, việc chạy qua một máy in HP trong doanh nghiệp chắc chắn là rất phổ biến. Những gì mà các doanh nghiệp không nhận thức được, là việc các máy quét của họ có thể mặc định cho phép bất kỳ ai trong mạng LAN kết nối từ xa tới máy quét và nếu một tài liệu được để lại đằng sau, thì việc quét và tìm mang nó sử dụng không gì hơn là một trình duyệt web. Bất kỳ khi nào để lại một tài liệu bí mật trên máy quét và được in ngược lại để tìm mang nó khi bạn nhận thức được chăng? Đúng như vậy.
The insider threat
With over $1B in printer sales in Q3 2010 alone, and with many of those devices being all-in-one printers, running across an HP scanner in the enterprise is certainly very common. What many enterprises don't realize, is that their scanners may by default allow anyone on the LAN to remotely connect to the scanner and if a document was left behind, scan and retrieve it using nothing more than a web browser. Ever left a confidential document on the scanner and sprinted back to retrieve it when you realized? Thought so.
Want to know if your office LAN has any wide open HP scanners running? Run this simple Perl script to to determine if there are any devices on the local network running HP web servers.
As everything is web based, an enterprising but disgruntled employee could simply write a script to regularly run the scanner in the hopes of capturing an abandoned document. The URL used to send the web scanned documents to a remote browser is also completely predictable as shown:
Muốn biết liệu mạng LAN trong văn phòng của bạn có bất kỳ máy quét HP mở rộng nào đang chạy không? Hãy chạy script Perl đơn giản này để xác định xem liệu có bất kỳ thiết bị nào trên mạng cục bộ chạy các máy chủ web HP không. Khi mọi thứ là dựa trên web, thì một doanh nghiệp mà nhân viên bất mãn có thể đơn giản viết một script để thường xuyên chạy máy quét trong hy vọng chụp được một tài liệu để quên nào đó. URL được sử dụng để gửi đi các tài liệu được quét qua web tới một trình duyệt ở xa cũng hoàn toàn có thể được biết trước như được chỉ ra ở đây:
Một script có thể vì thế cũng được viết để chạy một lần trong một giây để chụp bất kỳ tài liệu nào được quét có sử dụng tính năng Webscan.
A script could therefore also be written to run once per second to capture any documents scanned using the Webscan feature.
The external threat
It's bad enough that many enterprises are running scanners that are remotely accessible by rogue employees, but what if those same scanners were accessible to anyone on the Internet? Whether intentionally set up as such or more likely accidentally exposed via a misconfigured network, there are numerous scanners exposed on the Internet, the majority of which are not password protected. In fact, HP kindly lets you know on the home page if sensitive functionality is password protected, by displaying the Admin Password status alongside other status information such as printer ink levels and the current firmware version. Interestingly, based on the sample set examined, there was a greater likelihood that HP Photosmart scanners were not locked down as opposed to Officejet scanners. This finding actually makes sense, given that Officejet scanners tend to be marketed to corporate users, a group that is hopefully more likely to implement security protections on hardware/software.
Mối đe dọa từ bên ngoài
Đủ tệ rằng nhiều doanh nghiệp đang chạy các máy quét mà truy cập được từ xa bởi những nhân viên dỏm, mà điều gì xảy ra nếu cùng những máy quét này bỗng nhiên phơi ra qua một mạng được cấu hình không đúng, có hàng đống các máy quét được phơi ra trên Internet, chủ yếu trong đó không được bảo vệ bởi các mật khẩu. Trên thực tế, HP tử tế để cho bạn biết trên trang chủ nếu chức năng nhạy cảm được bảo vệ bằng mật khẩu, bằng việc hiển thị tình trạng mật khẩu của người quản trị cùng với những thông tin tình trạng khác như các mức in của máy in và phiên bản của phần sụn hiện hành. Thật thú vị, dựa trên tập hợp đơn giản được xem xét, có một sự có thể lớn hơn rằng các máy quét HP Photosmart đã không được khóa khi đối nghịch với các máy quét Officejet. Sự phát hiện này thực sự có nghĩa, biết rằng các máy quét Officejet có xu hướng được marketing cho những người tiêu dùng của các công ty, một nhóm mà hy vọng có thể triển khai bảo vệ an ninh nhiều hơn trên phần cứng/phần mềm.
Ví dụ các yêu cầu của Google/Bing được sử dụng để xác định các máy quét mở:
Chỉ đánh giá. Các mức về mực có thể khác nhau
“Đánh giá các mức” “Máy chụp ảnh thông minh của HP” “Các khái niệm cần sự chú ý”
Tình trạng của máy ảnh thông minh của HP “sản sinh ra số liên tiếp của sản phẩm” “số lượng mẫu sản phẩm”.
Nhiều phương án của giao diện web của HP đảm bảo rằng không một yêu cầu duy nhất nào sẽ xác định được tất cả các máy quét bị phơi lộ, mà như có thể thấy, với một sự sáng tạo nhỏ, quá dễ dàng để thấy các máy quét bị phơi lộ.
Example Google/Bing queries used to identify open scanners:
"Estimated Ink Levels" "HP Photosmart" "Items Needing Attention"
hp photosmart status "product serial number" "product model number"
The many variations of the HP web interface ensures that no single query will identify all exposed scanners, but as can be seen, with a little creativity, it is trivially easy to find exposed scanners.
The wall of shame
What sort of things do people leave on their scanners? In researching this article, I saw checks, legal documents, completed ballot forms, phone numbers... and my personal favorite, Jim's diploma informing the world that he's now a Certified Mold Inspector - congratulations Jim!
Here are samples of documents remotely retrieved due to corporations using HP scanners that were not password protected, on misconfigured networks that exposed their scanners to the Web.
Bức tường xấu hổ
Dạng đồ nào mà mọi người để lại trên các máy quét nhỉ? Theo nghiên cứu bài viết này, tôi đã thấy những kiểm soát, các tài liệu pháp lý, các mẫu bỏ phiếu hoàn chỉnh, các số điện thoại... và sở thích cá nhân của tôi, bằng diplom của Jim nói với thế giới rằng anh ta bây giờ là một điều tra viên được Mold cấp chứng chỉ - chúc mừng Jim!
Đây là những ví dụ các tài liệu được tìm mang từ xa nhờ vào việc các công ty sử dụng các máy quét HP mà đã không được bảo vệ bằng mật khẩu, trên các mạng được thiết lập cấu hình không đúng mà đã để lộ ra các máy quét của họ trên Web.
Dịch tài liệu: Lê Trung Nghĩa
Không có nhận xét nào:
Đăng nhận xét
Lưu ý: Chỉ thành viên của blog này mới được đăng nhận xét.