Kasper Dupont <kasperd@daimi.au.dk> wrote in
news:3E476603.D68032FC@daimi.au.dk:
> Tidligere er det blevet nævnt her i gruppen, at nogle modems
> har en svaghed som gør at forbindelsen afbrydes hvis de sender
> sekvensen +++ATH0. Og dette kan f.eks. udnyttes af en
> ondskabsfuld webside med et link til en url hvor denne streng
> indgår eller blot et billede.
Mig bekendt skal strengen komme 'indefra og ud', så et billede ville ikke
hjælpe meget i denne sammenhæng.
> Jeg har sidenhen testet dette på et enkelt modem, og det led
> faktisk af fejlen. Jeg fandt også ud af, at man kan undgå
> problemet ved at tilføge + tegnet til async map i ppp
> opsætningen. Godt nok siger alle dokumenter jeg har fundet om
> async map, at + er et af de tegn man ikke kan angive i async
> map. Men da jeg ikke kunne finde bedre løsninger valgte jeg,
> at prøve alligevel.
Præcis hvad du roder med her aner jeg ikke, men jeg kan fortælle at den
rigtige[tm] måde at beskytte sig på er ved at ændre værdien af S2
registeret. Ifølge v90atcom.pdf (table 3) der skriver en masse om sjov
med disse modems, er default værdien for "AT escape character" 43,
hvilket svarer til føromtalte +. Hvis denne værdi sættes til noget højere
end 127 bliver escape character command sequencen disabled.
> Sidenhen har jeg overvejet, på hvilke andre måder dette kunne
> misbruges. En ICMP echo request udefra kunne indeholde
> sekvensen. Men er det faktisk nok at tænke på payloaden?
Det kan den sandelig også. Man kan faktisk kontrollere modemmet ved at
sende de 'rigtige' ting efter det, f.eks vil +++ATL2M3ATO efterfulgt af
CRLF sætte modemmets indbyggede speaker til at være 'always on' og 'max
volume', hvorefter det returnerer til data mode. Min bekendte lavede et
lille værktøj til det efter vores anvisninger, og det burde stadig
fungere hvis du kan finde et villigt offer. Det kan hentes på
http://drunken.fi.st/rockhell.exe.
> Jeg har også overvejet, om andet end blot serielle modems til
> telefonlinien har den slags svagheder. Motorola kabelmodems
> har en indbygget webserver, der kan bruges til at foretage
> forskellig konfiguration af modemet. Kunne man ikke nemt
> forestille sig, at nogen lavede en ondskabsfuld webside med
> et link eller en form, der sender en kommando til at
> rekonfigurere kabelmodemet?
Dette vil så vidt jeg kan tænke mig til kun være muligt hvis du er logget
ind i dit kabelmodem allerede.
> Jeg har sikret mit eget kabelmodem ved at sætte en regel i
> min iptables configuration til at forhindre udgående pakker
> til kabelmodemet for alle andre end root. Men uden denne
> kunne jeg nemt forestille mig et problem.
Så længe du ikke surfer som root burde du være ganske sikker :D
--
Knud, det er tidligt, måske sludrer jeg.