CVE-2020-28148

Wi-Fi 공격의 일반적인 방식으로, 신루이(深信服 자회사) Wi-Fi 제품뿐만 아니라 본인이 여러 차례 공격 실전을 통해 발견한 이 취약점 활용 방식은 여러 AC 제조사의 인증을 우회할 수 있습니다.

본 문서는 취약점 활용 방식을 공개하기 위한 것이며, 취약점을 불법 공격에 사용하지 마십시오. 타인의 모든 행동은 본인과 무관합니다.

영어: https://github.com/fengchenzxc/CVE-2020-28148/blob/main/CVE-2020-28148(English).md

신루이 Wi-Fi 인증 우회 취약점 0day

소개

이 시나리오는 신루이(深信服 전액 출자 자회사) AP3600과 AC6600, portal 인증 시스템과 AC 관리 웹 시스템이 모두 최신 버전입니다. 나머지 제품은 테스트되지 않았습니다.

Wi-Fi 분포는 그림과 같습니다, office로 시작하는 것은 사무용 Wi-Fi이며, 그 중

• xxxx는 내부 직원용 Wi-Fi로, 직원이 WPA/WPA2 비밀번호 인증 후 로그인 페이지에서 portal 인증을 해야 합니다.
• guest는 개방형 방문자 Wi-Fi로, 방문자가 이름과 휴대폰 번호를 입력하여 QR 코드를 생성하면 내부 직원이 QR 코드를 스캔해야 Wi-Fi를 사용할 수 있습니다.
• partner는 협력사용 Wi-Fi로, WPA 비밀번호 입력 후 2차 인증이 필요합니다.

취약점 상세

비밀번호를 사용하여 Wi-Fi "office-xxxx"에 연결, 현재 IP는 10.3.163.121, MAC 주소는 3C-22-FB-07-A4-CA입니다.

이때 어떤 페이지에 접속해도 내부 직원 인증 화면으로 이동합니다:

현재 네트워크 세그먼트를 스캔하여 다음과 같은 호스트를 발견했습니다:

본인 MAC 주소 변경 sudo ifconfig en0 ether A4:C3:F0:C3:9C:B8

현재 주소를 확인해보니 IP가 자동으로 10.3.163.210으로 할당되었습니다:

이때 Wi-Fi 인증 화면에 접속하면 portal 인증이 우회되어 로그인 성공, 내부 네트워크에 진입했습니다!

더 심각한 점은, 연결된 Wi-Fi가 office-guest 방문자 개방형 Wi-Fi일 때, 비밀번호 없이 연결 가능하며, 공격자는 네트워크 세그먼트 스캔 후 MAC 주소를 변경하여 인증을 우회할 수 있습니다.

MAC 주소 변경

sudo ifconfig en0 ether 38:BA:F8:32:5C:F8