新年第一弹：无线打印机攻击第一篇！！

longas

Wireless Printer Attack
9 g6 H; c7 j& |, Y: F  H
# O, k. g  R6 y( n6 L1 z新年第一弹!!     无线打印机攻击

作者：杨 哲 / Christopher Yang [ZerOne]
（本文完整内容已发表在《黑客防线》杂志2008年11月期，封面即可见，也可以查看已出版的《无线网络安全攻防实战》一书，欢迎用于交流目的转载，转载时请注明作者及来源，谢谢）

写在前面的话：
    最近遇到了很多琐事，耽误了一下，现在我又回来了。闲话少说，先给大家送上一篇无线攻击的新内容--无线打印机攻击，祝大家新年快乐！！在传统的网络安全架构及理念中，提及企业资产中的网络设备时，绝大多数管理员及网络安全人员都会想到诸如服务器、客户端计算机、路由及交换设备、无线网络设备等常被提及的网络设备，客户端计算机、路由及交换设备、无线网络设备等常被提及的网络设备，但是除此之外，还有一些网络设备时常会被安全人员所忽视。这些被忽视的设备上可能出现的安全隐患在某些程度上并不亚于存在严重级别漏洞，比如在办公室里无处不在的打印设备。由于身为无线安全版主，所以本文将以无线打印设备为主。
7 m2 R9 Y3 A9 m$ [
) x" H) r) X/ v+ {& [# \- `: r1．扫描及识别无线打印机/打印服务器
- h3 p2 |) I6 Z) I    很多提供打印服务的高级打印服务器，都会根据其支持性开放不同的服务，即开启不同类型的端口。那么，在通过破解WEP或者WPA密码进入到内部网络后，攻击者可以使用nmap对内网进行端口扫描来判定。如下为对内网打印服务器进行端口扫描，可以看到识别为D-Link的产品。
, U1 a* u' r8 [7 g2 b------------------------------------------------------------
C:\nmap-4.76>nmap -vv -sS 192.168.1.200

- a3 W5 @$ _/ c, I; t4 wStarting Nmap4.76 ( http://nmap.org ) at 2008-09-20 12:31 中国标准时间
) X: Z+ Z$ o( }  {& GInitiating ARPPing Scan at 12:31
Scanning192.168.1.200 [1 port]
, L4 `# t+ a: B( O- V  }! p- wCompleted ARPPing Scan at 12:31, 0.16s elapsed (1 total hosts)
InitiatingParallel DNS resolution of 1 host. at 12:31
  H7 O9 L9 V2 j7 f* ^$ Q/ OCompletedParallel DNS resolution of 1 host. at 12:31, 0.00s elapsed
Initiating SYNStealth Scan at 12:31
+ J5 o  V" c: V* BScanning192.168.1.200 [1000 ports]
Discovered openport 80/tcp on 192.168.1.200
Discovered openport 21/tcp on 192.168.1.200
Discovered openport 23/tcp on 192.168.1.200
* q% k& h0 g" _2 E$ r4 QDiscovered openport 139/tcp on 192.168.1.200
Increasing senddelay for 192.168.1.200 from 0 to 5 due to 48 out of 158 dropped
probes since last increase.
  R+ ^( l) d* n9 t' \; ADiscovered openport 515/tcp on 192.168.1.200
3 C9 h9 ]2 Z4 j. R* _Discovered openport 9102/tcp on 192.168.1.200
8 L7 u4 x; s3 w& @Completed SYNStealth Scan at 12:31, 15.95s elapsed (1000 total ports)
Host192.168.1.200 appears to be up ... good.
; l* R9 k3 a$ M# JScanned at2008-09-20 12:31:33 中国标准时间 for 16s
Interestingports on 192.168.1.200:
3 t+ L) u. K% Y. o+ [Not shown: 994closed ports
PORT STATE SERVICE
. b# [( o# A5 @% ^. u0 @* P3 l1 |21/tcp     open ftp
23/tcp     open telnet
80/tcp     open http
139/tcp   open netbios-ssn
: o5 n" b" d. N, H7 V" i4 N515/tcp   open printer
0 [* X; f2 ]  Z9102/tcp open jetdirect
MAC Address: 00:15:E9:6D:8C:76 (D-Link)

/ j0 {& q5 V2 I$ s% zRead data filesfrom: C:\nmap-4.76
2 ^0 {1 o3 h' k. W5 i/ ^0 zNmap done: 1 IPaddress (1 host up) scanned in 16.70 seconds

% A# u* K3 m" \8 `Raw packets sent: 1088 (47.870KB) | Rcvd:1288 (51.858KB)
, ], I$ e) l9 P4 V---------------------------------------------------------------------
    如果对扫描结果不满意，可以再次进行深入地操作系统版本或者详细服务版本探测，比如对于打印服务器而言，为了设置方便，一般都会提供WEB方式进行全面管理，也就是说，往往还会开放80端口。通过对80端口的扫描来获取WEB Banner，也是一种判断打印机/打印服务器的方法。如下图显示的为使用Nmap的GUI版Zenmap来进行探测的结果，可以看到，已经清晰地识别出目标为D-Link DP-G310 Wireless Print Server即D-Link无线打印服务器。

下图为Linksys小型无线打印服务器WPSM54G

9 }& m) S8 s) j# g$ h
7 c: a/ D( |% W7 ~; ]8 ^- ^    而由于不同厂商及不同系列打印服务器开放的端口并不完全一致，所以在扫描其它打印服务器时，最终的扫描结果也将会呈现出不同的结论。如下即为对内网指定目标的探测结果，可以看到BackTrack3下的nmap识别出该目标为HP LaserJet 打印机或打印服务器。（注：为方便显示，这里我将显示内容进行了删减）
-------------------------------------------------------
Zerone:~# nmap -A 192.168.0.23
/ i1 |3 x4 d3 L+ `* N0 L* _. b- _
Starting nmap 3.81 ( http://www.insecure.org/nmap/ ) at 2007-10-28 12:54 中国标准时间
Interesting ports on testprinter (192.168.0.23):
6 F4 P! x3 w9 Y6 h5 d5 r(The 1656 ports scanned but not shown below are in state: closed)
% ~5 Y' r) c% ^( e9 C8 U3 kPORT STATE SERVICE VERSION
21/tcp open ftp HP JetDirect ftpd
23/tcp open telnet?
80/tcp open http HP Jetdirect httpd
280/tcp open http HP Jetdirect httpd
515/tcp open sdmsvc LANDesk Software Distribution (sdmsvc.exe)
( y4 K1 I8 H' X3 y631/tcp open http HP Jetdirect httpd
# b) A2 X* x, Q9100/tcp open jetdirect?
Device type: printer|print server
Running: HP embedded
1 O' T( T2 c: u# F0 hOS details: HP LaserJet printer/print server

Nmap finished: 1 IP address (1 host up) scanned in 118.673 seconds
-------------------------------------------------------
9 j) Q9 j( e; ^: g2．攻击打印机设备
- p9 [  ?" |( O( H+ B     一旦确定目标，恶意的攻击者可以采用多种方式对内部打印机进行破坏或者对正常业务干扰，比如针对打印机的D.O.S攻击、特殊病毒攻击等等。轻则导致内部打印机打印出错，严重则会导致打印机崩溃死机，从而使得内部办公环境陷入混乱。此时，一些心怀恶意的攻击者甚至商业间谍就可以乘虚直入，窃取内部文档、磁碟、光盘等内部资料。对于公司里一些经常需要打印支持的外贸、行政、人力资源部门，应特别引起注意。
2．1 缓冲区溢出及D.O.S攻击
+ q" J: {$ T; }9 w) Q$ N. j# g     关于缓冲区溢出的原理这里不再阐述，作为关注论坛的朋友应该都已经较为熟悉，大家可以查询一下去年我发的BackTrack下的溢出工具使用，即通过无线从外网到内网渗透系列文章。下表1为近年来爆出的较出名的打印机/打印机服务/打印服务器相关漏洞合集列表，涉及到多款目前依旧在被广泛使用的打印机型号，还包括了个别操作系统自身的打印服务出现的安全漏洞。作为以前忽视此方面安全防护的机构及管理员应引起重视，并及时到厂商下载及更新补丁。其具体信息及测试代码有兴趣的读者可以到SecurityFocus.com等网络漏洞公告栏查看。
! z  O9 H; H+ }* a) A6 M; f表 1 较出名的打印机/打印机服务/打印服务器相关漏洞合集列表（全表请参考黑防杂志）

发布时间	: a! y* n5 n7 \ 漏洞名称	3 w7 \6 V3 E4 z& Y 受影响系统
2008-05-16 ( r9 G1 [$ a0 Y6 |) [( u	Microsoft IE “打印链接列表”跨区脚本注入漏洞	IE 7.0 2 W9 p' H: v& {% {) k  IE 8.0b
2008-03-03	佳能多功能打印机存FTP跳转攻击漏洞	imageRUNNER 7086/7095/7105 5 Q+ j' Y/ e" G' F4 I( v, e/ u  imageRUNNER C5058/5068 4 J7 R' E1 P, u3 ^9 Q  Color imageRUNNER C3220/2620   等46款佳能打印机
2007-03-29 " [( `  M* s- }9 ^	HP JetDirect打印程序 RERT命令远程拒绝服务漏洞	HP FTP Print  Server 2.4
2006-12-21	HP LaserJet FTP打印服务器LIST命令缓冲溢出漏洞	HP LaserJet  5100 Series , f: ?1 D) a: {% Y) L5 V: X& _, F  HP LaserJet  5000 Series   HP FTP Print  Server 2.4.5   HP FTP Print  Server 2.4

2．2 MITM攻击截获打印服务器登录密码

      对于少许有着良好安全意识的管理员，会在无线打印机/打印服务器上启用密码验证，这样，任何试图修改无线打印机/打印服务器配置甚至仅仅是使用无线打印机的用户都将看到如下图般的登录提示。
4 \+ ~2 D/ n, J; P, x
    在这样的情况下，对于内部员工或者渗透至内网的恶意攻击者来说，可以使用MITM攻击来将目标与打印服务器之间的通信数据进行中转、拦截、破坏等。换句话说，由于一般的打印服务器并不会启用类似SSL、SSH之类的强化措施对通讯过程加密，所以通过MITM攻击是能够截获到管理员登录打印服务器的管理密码。一般来说，先对打印服务器发动简单的D.O.S攻击使其无法正常接受打印作业，以此来诱使管理员登录查看，这样便可以使用ARP欺骗之类的手法来截获密码了。如下图框内所示为截获到的打印服务器登录帐户及密码。


. r7 Y; [2 i3 S/ G3 ~% T% C* d3．截获打印数据流

    这里我们从以下几个角度来简单讨论下打印数据的截获。
3．1 从网络角度进行截获

    一般来说，对于使用无线打印服务器或者多功能打印机的环境，作为客户端与打印服务器之间的数据是比较容易监听的。如下图
8 c( ^/ K3 _6 C1 e- X; z  H为在进行正常的打印作业时，截获的客户端与打印服务器之间的交互数据报文。

    在对截取的打印数据报文进行深入分析，比如跟踪数据流后，我们可以轻松地识别出当前正在或者刚刚打印的文档名称，如下图
* e/ l$ e+ q3 M4 C& d% ~- J, l中黑框处所示正在打印的为Microsoft  Word文档，文档全名是“mianshi.doc”，打印机名称为EPSON。
7 w  F, ^& r6 N
# o7 k" L5 n" j+ J, Y# b; v: [
: \7 I0 B9 J3 ^3 w4 t/ t后续内容，且听下回分解。。。。
: N! U8 Z5 K8 \+ k
. T" `1 P' v9 W; {& @8 ]    最后， 我是ZerOne安全团队无线安全组组长 Christopher Yang，希望此文可加深大家体会无线安全领域发展形势，如文中有不明或表述有误的地方，恭请指正。更多内容，近期即将全面推出！！感谢各位一直以来的支持与鼓励。

神谕RY

你想把打印机的油墨和纸用光不成

tange

呵呵，好贴留名。

longas

哈哈，Tange你似乎无时无刻都在啊，感觉帅哥支持！！

apero110

支持！谢谢分享

ColinLU

感谢分享，这个方法很好在现在一些大公司里面只要能进入内网，漏洞还是多的让人吃惊

fuller0512

先顶起来，然后再学习，谢谢。

szlodge

强烈支持，看的我都想研究一番咯

caijian0714

杨老师的大作，要顶的！

caijian0714

杨老师的大作，要顶的！

jun2008

强烈支持，留 下脚印以后慢慢看

jun2008

强烈支持，留 下脚印以后慢慢看