基于智能手机的近源渗透测试案例分享（二）——“点到为止”的测试成都某消防部门-安全客

作者：Duncan SecTeam

0x00、引言

自从Team转向IoT安全后，我们确实发现了一些有趣的现象以及让人揪心的网络安全隐患，本以为这些问题只存在于中小微企业或者说非网络安全企业，直到发表上一篇文章【1】之后，我们才开始反思之前的假设或者基于已有经验得出的推定。随着互联网的飞速发展以及智能化设备（手机，平板，智能家电，智能机器人以及智能查询终端），传统的企业信息化不可避免的要向物联网过渡，一是节约企业建设和运营成本（比如，部署WiFi/IP摄像头可以减少传统网络布线的人财物消耗），二是智能设备的引入的确可以进一步压缩人力成本支出（HR和财务部门最喜欢这个吧）。中小微企业出于成本考虑，往往会在安全与效益这个两难抉择中，“莫名其妙”地选择后者（或许，这也是国内网络安全企业生存压力始终没能缓解的原因之一吧）。当然，Team前一篇文章【1】中的某网络安全公司应该不能算作此例之中，他们内网的曝露的确是公司IoT建设中的一个绝对偶然。

然而，小白最近因为家中遭受灾害的原因，意外发现了成都市某消防部门IoT设备所导致的一系列安全隐患。出于小白天生的“呆萌”与“自保”心理，小白第一时间把详细情况和关键截图全部提交到该消防部门的2家主管单位（由于该消防部门的主管衙门上报渠道实在太少了，费了很大力气终于成功提交了相关内容，好不容易得到了所上报事件的处理流水单号）。本想上报了就完了，没想到今天因为同样的原因，小白又去了一趟该消防部门，相关漏洞还没有被堵上，想了想还是写点东西吧，万一成都市政府信息部门的技术大牛看到了，咱好歹也算为消防工作做了点贡献吧，再不济还有几百大洋的稿费啊（毕竟，快过年了嘛）。

0x01、背景介绍

前些日子，小白因为自己家里的事情去消防部门配合工作。出于职业习惯，小白通过某WiFi共享软件在该消防部门的大门口（确切地说，还在围墙外面），发现了一个名为“cd****”的WiFi，并查看到WiFi密码为“xfdd119”（**是该消防部门管辖区域的拼音缩写），该WiFi信号强度不算强，没有达到满格信号。由于这个消防部门周围没有任何商业设施（不要说咖啡厅，就连麻将馆或者茶馆都没有啊），小白心想这应该就是这个消防大队的WiFi了吧。

向站岗的消防队员出示证件并报备后（还用84消毒液喷了鞋底，但没消毒手部，WHY？），小白进入了该消防部门，此时的WiFi信号强度已经明显变强，最终WiFi信号满格。此外，WiFi信号在大院里头（因为旁边全是消防车，小白不敢拍照，不能犯原则性错误），一楼以及三楼等不同地理位置信号强度都是满格，当然只是基于一加6手机检测到的信号，至于iPhone是否能够如此，不得而知（毕竟，iPhone烂的掉渣站的WiFi芯片早已臭名昭著）。由此可见，这个部门应该部署了一个很专业的无线路由器并且应该配备了很多无线中继，或许是因为消防部门内部需要部署的很多专业设备必须入网吧。整个测试的背景大概就是这样个情况。

以下是近源渗透过程中的软硬件及网络资源：

硬件：
——一加（OnePlus） 6，8G+128G
——型号：ONEPLUS A6000

软件：
——Android：10
——H2OS：A6000_22_201022
——文件管理器：X-plore （Android）
——Linux模拟器：Andrax v5

——Linux模拟器：Kali NetHunter

0x02、接入网络

小白此次整个测试过程的起点，也算是整个网络的接入点，就是这个名为“cd****”的WiFi。手机接入的是该WiFi的4G频段，后来发现该WiFi还有一个5G频段。

0x03、基于Android手机的近源测试

如前文所说，因为家里遭受了灾害损失，小白需要到该消防部门报告情况并申领相关表格，因此没有带笔记本电脑，身边可用计算设备就只有一台快停更的OP6（一加6）手机。

按照常规的测试套路，小白分别在andrax和nethunter上做了一些简单的内部网络探测操作。下面是andrax是执行nmap扫描的操作结果和转换为xls格式的扫描结果。内网里面有不少开放telnet的设备，好奇。。。。。。

如team之前发布的文章所说【1】，andrax默认没有安装traceroute，懒惰的小白选择了使用Nethunter来查看路由，但是忘了保存截屏。小白很清楚的记得，traceroute的第二条是一个公网地址，所以认为这个部门的网络建设还是不错的，至少WiFi网络没有通过别的内部网络再接入互联网。WiFi网络直接进互联网的话，最起码可以少暴露一些不必要的信息，加大内网发现难度，尤其在近源测试的时候，测试人员几乎是没有足够的时间进行A段，B段网络的扫描的（即便带了一个2万毫安的充电宝）。

从扫描结果看得出来，192.168.*.0/24网段网关应该是192.168.*.1，毕竟开放的端口还是很典型的网关端口。于是，小白试了试，确实看到了一个H3C路由器的管理登录口，发现admin账户（H3C默认的管理员账户，默认密码与用户名相同）的密码居然与WiFi密码相同！！！恕小白直言，这样的低级错误真不应该出现在这么重要的职能部门，毕竟这个错误完全赖不着别人，全是网管人员自己给自己挖的坑。