CVE-2020-28148

Forma común de atacar WiFi, no solo aplicable a productos WiFi de Sunrui (subsidiaria de Sangfor). Tras múltiples prácticas de ataque y defensa, se ha descubierto que este método de explotación puede eludir a varios fabricantes de AC.

Este artículo se utiliza para divulgar el método de explotación de la vulnerabilidad. No utilice la vulnerabilidad para ataques ilegales. Cualquier acción de otros no tiene relación conmigo.

English：https://github.com/fengchenzxc/CVE-2020-28148/blob/main/CVE-2020-28148(English).md

Vulnerabilidad 0day de omisión de autenticación de identidad WiFi de Sunrui

Introducción

Este escenario es AP3600 y AC6600 de Sunrui (subsidiaria al 100% de Sangfor), tanto el sistema de autenticación portal como el sistema web de administración de AC son los más recientes. No se probaron otros productos.

La distribución de WiFi se muestra en la figura. Los que comienzan con "office" son WiFi de oficina, donde:

• xxxx es para uso interno de empleados, que requieren autenticación con contraseña WPA/WPA2 antes de realizar la autenticación portal en la página de inicio de sesión;
• guest es un WiFi abierto para visitantes, que requiere que el visitante ingrese su nombre y número de teléfono para generar un código QR, y un empleado interno escanea el código QR para usar el WiFi;
• partner es WiFi para socios, que requiere ingresar la contraseña WPA y luego una segunda autenticación.

Detalles de la vulnerabilidad:

Conéctese al WiFi "office-xxxx" usando una contraseña. La IP actual es 10.3.163.121, la dirección MAC es 3C-22-FB-07-A4-CA.

En este momento, al acceder a cualquier página se redirige a la interfaz de autenticación de empleados internos:

Escanee el segmento de red actual y encuentre un host de la siguiente manera:

Modifique la dirección MAC local: sudo ifconfig en0 ether A4:C3:F0:C3:9C:B8

Verifique la dirección actual y descubra que la IP se asigna automáticamente a 10.3.163.210.

En este momento, acceda a la interfaz de autenticación WiFi y descubra que se ha omitido la autenticación portal, el inicio de sesión es exitoso y se ha ingresado a la red interna.

Lo que es más grave es que, cuando se conecta al WiFi abierto para visitantes office-guest, no se requiere contraseña para conectarse, y el atacante aún puede escanear el segmento de red y luego modificar la dirección MAC para omitir la autenticación.

Modifique la dirección MAC:

sudo ifconfig en0 ether 38:BA:F8:32:5C:F8