ADSL帐号密码远程盗取.docx

ADSL帐号密码远程盗取.docx

《ADSL帐号密码远程盗取.docx》由会员分享，可在线阅读，更多相关《ADSL帐号密码远程盗取.docx（12页珍藏版）》请在冰点文库上搜索。

ADSL帐号密码远程盗取

ADSL帐号密码远程盗取

20080105

本文中揭露了黑客攻击ADSL用户，窃取用户名密码的常见方法，读者请勿将其用于不法用途，并提醒所有与此漏洞相关的用户尽快采取措施进行防范。

ADSL作为一种宽带接入方式已经被广大用户接受，现在一些用户家里有很多台电脑，通过一台ADSL路由器拨号上网，这样充分利用了带宽，对于家中有多台电脑需共享上网的用户来说，一般可通过建立和配置代理服务器来实现共享上网，缺点是主机必须开着才能实现共享；另外一种有效的方法是使用路由器来实现共享，这样每个客户端都能独立上网，不足之处是要添置昂贵的路由设备。

其实有些ADSLMODEM本身就带有路由功能，只要用户能够正确配置相关参数就可以路由共享，根本不需要外添设备。

国内ADSL服务提供商所提供的调制解调器大部分都内置了路由功能，不过由于技术上的原因，少量ADSL调制解调器虽然在硬件上设计了路由功能，但调制解调器随机软件并不能支持在PPPoE虚拟拨号接入方式下使用该功能，只有拥有固定IP地址的专线用户才可以使用路由功能，或者需要服务商局端设备同为该品牌的产品才能够支持在PPPoE接入方式下使用，这时需要升级调制解调器的软件后才可以使用内置的路由功能。

不同路由器的配置方法不同，这类主题的帖子网上有很多，我们在这里主要介绍那些使用路由拨号上网的用户，需要注意的安全问题。

最常见的安全问题就是用户没有修改路由器的配置密码，一般的路由器在出场的时候都会有一个默认的配置密码。

只有知道这个密码，用户才能对路由器的进行配置。

很多用户在配置自己的路由器之后，并没有修改这个密码。

导致网上一些不法之徒可以控制路由器，从而盗窃用户的ADSL账号。

这些不法之徒是如何做的呢，我们下面来把他们的手法一一曝光。

扫描ADSL在线用户寻找攻击目标

扫描ADSL上网用户的IP段，获取开放80端口的主机列表

这些用户首先拨通自己家的ADSL，然后用ipconfig命令查看自己的Ip，如下图所示：

在开始－>运行－>输入cmd，在出现的dos窗口中输入ipconfig即可看到：

一般北京的ADSL上网的用户多为61.49.*.*。

获得了自己的IP段之后，就可以找一个好的端口扫描工具了。

新在端口扫描工具有很多，其中支持多线程、体积小、速度快的首推superscan。

我们这里就使用它作为示范工具。

Superscan的界面如下：

一般我们在开始地址处输入自己的IP段首地址，即61.49.*.1，结束IP地址会自动显示出61.49.*.254，这里需要说明的是，旁边那个ping,以及connect数据需要根据自己的情况输入，对于本网段的IP，即IP地址前3部分与自己的IP地址相同的IP，在扫描的时候可以把这些数据设置的短小一些，而对于其他网段的地址，一般需要设置的大一点。

具体情况根据扫描结果而定，如果输入的数据太小，扫描之后会找不到计算机。

 下面需要设置一下扫描端口，我们在探测路由器的时候只需要扫描80端口即可。

所以单击窗体右上的配置列表，会出现如下窗体：

修改selectports如图所示，去掉所有其他端口前的绿钩，（单击该端口即可）最终只保留80端口，然后单击save，把端口配置表保存到硬盘上，以后每次使用superscan的时候就不再需要从新配置，只需要load即可。

 全部设置好之后，单击start进行扫描。

扫描结束之后，如图所示：

我们可以看到这个网段有两台机器打开了80端口，单击这两台机器左边的小＋号图标，可以显示这两台机器所开发的端口信息。

61.49.150.68这台机器开放的是一个IIS的服务器，61.49.150.85这台机器开的是一个302标志，根据经验，我们可以知道这里开放的是一个中兴系列的路由器配置接口。

本篇文章我们主要介绍ADSL路由器的安全隐患，IIS的安全性问题我们在后面的文章再介绍，这里我们只需在61.49.150.85上单击右键，选择web方式浏览即可。

点击鼠标轻松破解密码防范意识需加强

 单击之后会出现一个连接配置对话框，如图所示：

点击OK，就可以连接了。

连接之后弹出的提示框如图所示：

 通过刚才连接页上的标志，我们可以肯定这是一台中兴831路由器，输入出厂默认的用户名、密码：

ZXDSL、ZXDSL，就进入了配置界面：

点击导航栏上的“quickconfiguration”就进入了快速配置界面，如图所示：

用户名已经看到了，密码却显示为小黑点，这怎么办呢，其实也难不倒大家，单击右键，选择查看源代码：

至此一个ADSL账户就被轻易盗取了。

 其实补上这个漏洞的方法非常简单，只要用户在安装路由器的时候修改自己默认的密码即可了，但是很多人都没有去做这一步，为黑客留下了很多“靶子”。

我们把一些常见的路由器配置口令和IP地址公布一下，希望大家根据自己的路由器品牌进行甄别，修改默认的口令。

需要说明的是，这些数据都不是什么机密，它们就印在产品的说明书上面，所以我们强烈建议路由方式上网的ADSL用户赶快修改你们的密码，不要为不法之徒留下犯罪的空间

ADSL的不安全因素：

要盗取他人的ADSL账号密码，或者恶意破坏别人的设备配置参数，就必须获得攻击对象的ADSLModem登录口令，这样才能够登录ADSLModem的Web管理页面。

通过物理地址能够轻松计算出本地区ADSL上网IP地址段。

启用ADSL路由功能默认打开Web和FTP服务。

ADSL默认简单用户名和密码。

1．确定攻击范围

电信为每个地区的上网用户都分配了几个IP地址段，每次在上网时都会获得不同的IP地址，这个IP地址位于被分配的IP地址段中，整个C段IP地址的用户都是处于同一地区的。

大家可以根据自己地区的情况，适当地调节IP地址中的第二位数字，找到同一地区的上网用户IP。

2．寻找漏洞

要寻找有登录漏洞的ADSLModem，需要用一些专业的扫描工具如X-Scan等，扫描指定的这个IP地址范围内满足如下条件的IP：

a.同时开放了Web和FTP服务的主机；

b.该IP主机存在着FTP弱口令漏洞。

扫描的主机要满足这两个条件的原因是：

我们指定的IP地址段都是宽带拨号上网的个人用户，对于个人用户来说，在电脑上同时开放Web和FTP服务的很少，很少有人利用动态的IP地址来建立网站或FTP站点的。

但是我们在扫描时，可以发现存在着大量满足这两个条件的主机，这主要是由于启用ADSLModem的路由功能后，默认会自动打开ADSLModem的Web和FTP服务功能，以方便用户对ADSLModem进行设置。

用X-Scan扫描器扫描同时满足上面两个条件的IP地址，扫描结束后自动弹出扫描结果页面，从扫描结果中可以迅速获得大量存在登录口令漏洞的ADSLModem的IP地址（图1）。

可以看到用户名与弱口令均为“root”，在后面登录该IP地址时，可以看到扫到的全是“GlobespanVirata”型号的ADSLModem。

图1

进入ADSLModem的管理页面后，可以找到设置拨号连接的配置页面。

在管理页面中点击“主页”标签，接着点击其中的“快速设置”项，就可以看到PPPoE拨号连接设置了。

在“PPP”下就可以看到ADSL宽带账号（用户名）和以“*”号表示的密码了（图2），可以看到有7位密码。

但由于是“*”号显示，我们怎么能够知道是哪7位密码呢？

图2

巧取法：

查看网页源代码

在浏览器的菜单中点击“查看→源文件”，会打开一个记事本文件，其中包含了我们正在远程查看的ADSLModem配置页面的源代码。

接下来，在记事本的菜单中点击“编辑→查找”，输入关键词“密码”进行查找。

在源文件中可以找到如下语句:

”，其中“value="2227974"”中的数值“2227974”就是用户的ADSL密码。

豪夺法：

数据嗅探

刚才所介绍的方法对于大部分的ADSLModem来说是有效的，但是面对那些不能查看网页源代码的ADSLModem，我们该怎么办？

此时应该采用比较强硬的办法夺取账号、密码。

我们可以通过嗅探法，从ADSLModem与本机传输的数据中揪出密码。

嗅探数据的工具很多，可以使用Commview、Snifferpro等嗅探工具，但由于我们只要嗅探通过网页发送的数据，因此可以使用一些比较简单的工具，如“WSockExpert.exe”等。

我们可在WSockExpert窗口中间的嗅探窗口中找到第二行数据，点击这一行数据后会在下方的窗口中显示详细的数据信息。

可以找到以下语句“MacWanUsrName=0852DSL2227974&MacWanPasswd=2227974”，其中UsrName后的值就是用户名，而Passwd后的值就是密码（图3）。

图3

上面介绍了两个获取ADSL上网账号和密码的方法，第一个方法比较简单，但是对某些ADSLModem不一定适用；而第二个方法由于采用数据嗅探的方法，截获配置网页与ADSLModem交换的数据，因此成功率是百分之百，对于各种类型的ADSLModem，嗅探密码的方法都同样适用。

要防范别人盗取自己的ADSL宽带上网账号密码，可以在ADSLModem的配置页面中禁止远程IP的访问。

具体的配置方法在下面将作介绍：

首先我们要修改ADSL猫的默认登录用户名和密码，将它们设置得尽可能地复杂一些，避免入侵者使用扫描器之类的软件轻易破解出ADSL配置页面的登录密码。

另外，入侵者要想盗取ADSL上网账号，必须进入ADSL猫的设置页面，而想要打开ADSL猫配置页面，就必须通过ADSL猫的80端口进行访问。

因此，如果修改了ADSL猫默认的Web服务端口，或者禁止从Internet上访问ADSL猫，那么入侵者手段再高明，也无法盗取到你的上网账号。

以笔者使用的Conexant的GRT1500C为例，进入配置页面后可以点击“高级管理”中的“协议配置”项（如图4），在这里将“HTTP服务器”设置为“限制”和“LAN”，表示只允许从局域网中访问ADSL猫。

这样任何人都无法从Internet上访问此ADSL了。

图4

如果非要从Internet上远程管理ADSL猫，可以选择“WAN”，指定一个固定的IP地址。

经过设置以后，在Internet上只有指定的这个IP才可以访问这台ADSL猫。

入侵者在扫描和访问ADSL猫时，一般都是通过80端口进行的。

可将“HTTP服务器端口”中默认的80端口改为81端口，这样也可以让ADSL猫躲过搜索，避免成为入侵者的攻击目标。

此外“FTP服务器”和“TFTP服务器”选项一定要选择为“禁用”，因为这两个功能对一般用户来说没有什么用，只是在升级ADSL猫时才用得上。

对配置ADSL猫感到头疼的用户，也有一个一劳永逸的最简单的方法，那就是关闭ADSLModem的路由自动拨号功能，在Windows系统中建立PPPoE虚拟拨号连接上网。

那样除非黑客入侵你的电脑，否则别想轻易拿到你的上网账号！