¿Tú también, Brutus?

¿Tú también, Brutus? es una sencilla herramienta de prueba de concepto para forzar por diccionario la interfaz web de MikroTik RouterOS 6.x. RouterOS carece notablemente de protecciones contra fuerza bruta en las interfaces web y winbox. En gran medida se han apoyado en sus esquemas personalizados de autenticación/cifrado para prevenir estos ataques. Anteriormente, había desarrollado otras herramientas similares, pero MikroTik cambió los algoritmos y yo había seguido adelante. Afortunadamente Margin Research publicó una librería de python que puede manejar la autenticación desde 6.34 - 6.49.8 (versión actual).

Esto fue escrito en unos 10 minutos, y solo para demostrar que MikroTik no ha implementado ninguna protección en la interfaz web. Los resultados pueden variar.

Ejemplo de uso

albinolobster@mournland:~/even-you-brutus$ python3 evenyoubrutus.py --rhost 10.9.49.1 --username admin --dictionary dictionary.txt
Attempt 201
Success! Valid credentials:
admin:labpass1

Créditos

• Margin Research - webfig.py es enteramente su trabajo (con un pequeño ajuste). El original se puede encontrar aquí.
• Red Hot Chili Peppers