CVE-2020-28148

الطرق الشائعة لمهاجمة شبكات WIFI، لا تنطبق فقط على منتجات WIFI من شركة Sangfor (الشركة التابعة لـ深信服)، وقد اكتشفت من خلال العديد من عمليات الهجوم والدفاع الفعلية أن هذه الطريقة في استغلال الثغرة يمكنها تجاوز العديد من مصنّعي أجهزة AC.

تُستخدم هذه المقالة للإفصاح عن طريقة استغلال الثغرة، يُرجى عدم استخدام الثغرة في الهجمات غير القانونية، وأي تصرفات يقوم بها الآخرون لا علاقة لها بي.

English: https://github.com/fengchenzxc/CVE-2020-28148/blob/main/CVE-2020-28148(English).md

ثغرة تجاوز التحقق من هوية WIFI في Sangfor 0day

مقدمة

هذا السيناريو هو Sangfor (الشركة المملوكة بالكامل لـ深信服) AP3600 مع AC6600، ونظام بوابة التحقق (portal) ونظام إدارة AC عبر الويب كلاهما بأحدث إصدار. لم يتم اختبار المنتجات الأخرى.

توزيع شبكات WIFI كما في الشكل، الشبكات التي تبدأ بـ office هي شبكات WIFI للمكاتب، حيث:

• xxxx هي WIFI للاستخدام من قبل الموظفين الداخليين، حيث يحتاج الموظفون إلى المصادقة بكلمة مرور WPA/WPA2 ثم إجراء التحقق عبر البوابة (portal) في صفحة تسجيل الدخول؛
• guest هي WIFI مفتوحة للزوار، حيث يحتاج الزوار إلى إدخال الاسم ورقم الهاتف لإنشاء رمز QR، وبعدها يقوم الموظفون الداخليون بمسح الرمز لاستخدام WIFI؛
• partner هي WIFI للشركاء التجاريين، حيث يتطلب إدخال كلمة مرور WPA ثم مصادقة ثانوية.

تفاصيل الثغرة:

استخدم كلمة المرور للاتصال بشبكة WIFI "office-xxxx"، والعنوان IP الحالي هو 10.3.163.121، وعنوان MAC هو 3C-22-FB-07-A4-CA

في هذه الحالة، أي زيارة لأي صفحة ستعيد التوجيه إلى واجهة مصادقة الموظفين الداخلية:

بمسح النطاق الحالي للشبكة، تم العثور على جهاز كما يلي:

قم بتعديل عنوان MAC لهذا الجهاز: sudo ifconfig en0 ether A4:C3:F0:C3:9C:B8

عرض العنوان الحالي، وتجد أن الـ IP تم توزيعه تلقائيًا إلى 10.3.163.210

في هذه الحالة، عند زيارة واجهة مصادقة WIFI، نجد أنه تم تجاوز التحقق عبر البوابة (portal) وتم تسجيل الدخول بنجاح، والدخول إلى الشبكة الداخلية!

الأكثر خطورة هو أنه عند الاتصال بشبكة WIFI المفتوحة office-guest للزوار، فيمكن الاتصال بدون كلمة مرور، ويستطيع المهاجم إجراء مسح للنطاق ثم تعديل عنوان MAC، وبالتالي تجاوز التحقق.

تعديل عنوان MAC

sudo ifconfig en0 ether 38:BA:F8:32:5C:F8