CVE-2020-28148

Metodo comune per attaccare il Wi-Fi, non limitato ai prodotti Wi-Fi di Sundray (sussidiaria di Sangfor). Dopo molteplici esperienze pratiche in attacchi e difese, ho scoperto che questo metodo di sfruttamento può bypassare diversi produttori di AC.

Questo articolo viene utilizzato per divulgare il metodo di sfruttamento della vulnerabilità. Non utilizzare la vulnerabilità per attacchi illegali. Ogni azione altrui non ha nulla a che fare con me.

Inglese: https://github.com/fengchenzxc/CVE-2020-28148/blob/main/CVE-2020-28148(English).md

Vulnerabilità 0day di bypass dell'autenticazione Wi-Fi Sundray

Introduzione

Questo scenario riguarda i prodotti Sundray (sussidiaria interamente controllata di Sangfor) AP3600 e AC6600, con il sistema di autenticazione portal e il sistema di gestione WEB AC entrambi aggiornati all'ultima versione. Altri prodotti non sono stati testati.

La distribuzione del Wi-Fi è mostrata nella figura; quelli che iniziano con "office" sono Wi-Fi da ufficio, tra cui:

• xxxx è il Wi-Fi per uso interno dei dipendenti, che richiede l'autenticazione con password WPA/WPA2 e successivamente l'autenticazione portal sulla pagina di login;
• guest è il Wi-Fi aperto per gli ospiti, che richiede l'inserimento di nome e numero di telefono per generare un codice QR, che verrà scansionato dai dipendenti interni per l'utilizzo del Wi-Fi;
• partner è il Wi-Fi per i partner commerciali, che richiede l'inserimento della password WPA e una seconda autenticazione.

Dettagli della vulnerabilità:

Connettiti al Wi-Fi "office-xxxx" con password. L'IP corrente è 10.3.163.121, l'indirizzo MAC è 3C-22-FB-07-A4-CA.

A questo punto, l'accesso a qualsiasi pagina viene reindirizzato all'interfaccia di autenticazione per i dipendenti interni:

Scansionando la sottorete corrente, viene individuato un host come segue:

Modifica l'indirizzo MAC locale: sudo ifconfig en0 ether A4:C3:F0:C3:9C:B8

Controlla l'indirizzo corrente: l'IP viene assegnato automaticamente a 10.3.163.210

A questo punto, accedi all'interfaccia di autenticazione Wi-Fi: il bypass dell'autenticazione portal è riuscito, accesso effettuato nella rete interna!

Ancora più grave, quando si connette al Wi-Fi aperto per gli ospiti "office-guest", che non richiede password, l'attaccante può comunque scansionare la sottorete e modificare l'indirizzo MAC, bypassando l'autenticazione.

Modifica l'indirizzo MAC:

sudo ifconfig en0 ether 38:BA:F8:32:5C:F8