Even You, Brutus?

Even You, Brutus? ist ein einfaches Proof-of-Concept-Wörterbuch-Brute-Force-Tool, das auf die Web-Oberfläche von MikroTik RouterOS 6.x abzielt. RouterOS fehlen bekanntermaßen Brute-Force-Schutzmaßnahmen auf den Web- und Winbox-Oberflächen. Sie haben sich weitgehend darauf verlassen, dass ihre benutzerdefinierten Authentifizierungs-/Verschlüsselungsschemata diese Angriffe verhindern. Zuvor hatte ich andere solche Tools entwickelt, aber MikroTik änderte die Algorithmen und ich hatte mich anderen Dingen zugewandt. Glücklicherweise veröffentlichte Margin Research eine Python-Bibliothek, die die Authentifizierung von 6.34 bis 6.49.8 (aktuelle Version) bewältigen kann.

Dies wurde in etwa 10 Minuten geschrieben, nur um zu beweisen, dass MikroTik keine Schutzmaßnahmen auf der Web-Oberfläche implementiert hat. Die Ergebnisse können variieren.

Beispielverwendung

albinolobster@mournland:~/even-you-brutus$ python3 evenyoubrutus.py --rhost 10.9.49.1 --username admin --dictionary dictionary.txt
Attempt 201
Success! Valid credentials:
admin:labpass1

Danksagung

• Margin Research - webfig.py ist vollständig ihre Arbeit (mit einer kleinen Anpassung). Das Original findet sich hier.
• Red Hot Chili Peppers