引言: 網(wǎng)絡(luò)安全日益重要的今天,如何發(fā)現(xiàn)運(yùn)維設(shè)備的安全隱患漏洞,并進(jìn)行治理加固,成為網(wǎng)絡(luò)運(yùn)維人員必須具備的素質(zhì)能力。本文針對辦公常用的網(wǎng)絡(luò)打印機(jī),發(fā)現(xiàn)排查其最常見的弱口令安全漏洞,并對其進(jìn)行治理加固,達(dá)到基本的安全防護(hù)要求。
隨著網(wǎng)絡(luò)信息時代的到來,當(dāng)今生活中我們越來越依賴于各種信息密碼和口令,比如個人電腦密碼、網(wǎng)站后臺管理密碼。對網(wǎng)絡(luò)運(yùn)維來說,口令密碼的泄露有著致命的危害,所以各類運(yùn)維設(shè)備的口令要設(shè)置安全復(fù)雜的密碼,否則將會成為最淺顯也是最嚴(yán)重的安全隱患漏洞。
筆者在網(wǎng)絡(luò)運(yùn)維工作中發(fā)現(xiàn)公司局域網(wǎng)中存在較多FTP服務(wù)弱口令、Telnet登陸弱口令和SNMP協(xié)議弱口令存在。同時,通過掃描發(fā)現(xiàn)該IP地址還開放80或8080端口。通過手工測試發(fā)現(xiàn)該類IP地址對應(yīng)的設(shè)備為網(wǎng)絡(luò)打印機(jī)。一般企事業(yè)單位或公司的局域網(wǎng)中,有大量的網(wǎng)絡(luò)打印機(jī)存在,這類打印機(jī)通過以太網(wǎng)或無線網(wǎng)的形式接入到網(wǎng)絡(luò)中,方便工作開展。
圖1 網(wǎng)絡(luò)打印機(jī)的Telnet弱口令遠(yuǎn)程登陸
但網(wǎng)絡(luò)打印機(jī)同時又是存在大量的弱口令。為方便網(wǎng)絡(luò)管理人員發(fā)現(xiàn)排查并治理該類弱口令漏洞,筆者分享該經(jīng)驗(yàn)。
網(wǎng)絡(luò)打印機(jī)的弱口令主要是其本身口令密碼為空,而網(wǎng)絡(luò)管理人員不知曉,未對其進(jìn)行設(shè)置而造成。通過對這種未授權(quán)即可訪問的網(wǎng)絡(luò)打印機(jī)弱口令漏洞分析,該漏洞可引發(fā)較多風(fēng)險。
1.隨意更改打印機(jī)IP地址:未授權(quán)用戶直接登陸訪問打印機(jī)Web管理界面,在網(wǎng)絡(luò)設(shè)置中更改相應(yīng)網(wǎng)絡(luò)配置,造成網(wǎng)絡(luò)打印機(jī)離線。
2.任意查看、管理打印機(jī)作業(yè)進(jìn)程:未授權(quán)用戶登陸打印機(jī)Web管理界面,查看打印機(jī)歷史作業(yè)情況,并可查看、管理正在進(jìn)行的打印作業(yè),造成某些敏感信息文件的泄露。
3.遠(yuǎn)程打印:惠普系列打印機(jī)的弱口令漏洞,可使未授權(quán)人權(quán)通過 HP ePrint進(jìn)行遠(yuǎn)程打印。ePrint的工作原理之一就是為打印機(jī)分配一個電子郵箱地址。只需要發(fā)送一封包含用戶文檔的電子郵件到打印機(jī)地址即可完成打印。可打印圖像、Word、Excel、PPT格式文檔、PDF以及照片。
4.Telnet遠(yuǎn)程登陸:通過Telnet遠(yuǎn)程登陸該打印機(jī),可以進(jìn)行相關(guān)配置更改,如圖1所示。
5.SNMP讀寫訪問:通過SNMP協(xié)議弱口令,對打印機(jī)進(jìn)行配置讀訪問和寫操作。從而造成信息泄露或影響打印作業(yè)。
一般在企業(yè)中,網(wǎng)絡(luò)打印機(jī)大量存在。在知道了網(wǎng)絡(luò)打印機(jī)都存在默認(rèn)空口令的情況下,如何發(fā)現(xiàn)排查并治理是在日常的運(yùn)維工作中較為困難的問題。下面按弱口令的分類來分析其發(fā)現(xiàn)排查方法,以及如何進(jìn)行治理。
工具掃描:利用XSAN掃描工具中的Telnet弱口令掃描模塊、SNMP弱口令掃描模塊、FTP掃描模塊掃描發(fā)現(xiàn)網(wǎng)絡(luò)打印機(jī)的Telnet、SNMP、FTP弱口令漏洞。利用HSCAN掃描工具可以發(fā)現(xiàn)TELNET、FTP弱口令。
XSAN工具掃描速度較慢,但功能較為強(qiáng)大,能發(fā)現(xiàn)SNMP弱口令;HSCAN掃描速度較快,但精度不高,且不能發(fā)現(xiàn)SNMP弱口令。實(shí)際使用中,可以兩者結(jié)合使用。
手動測試:需要一個簡單的工具進(jìn)行輔助。首先利用IISPutScanner掃描局域網(wǎng)中開放的80、8080端口。掃描結(jié)果如圖2所示。
圖2 iisputscaner掃描發(fā)現(xiàn)打印機(jī)端口
圖3 禁止Telnet配置和FTP打印
然后在瀏覽器中輸入IP地址,進(jìn)入網(wǎng)絡(luò)打印機(jī)的管理點(diǎn)擊管理員欄,從而確定是否為弱口令。
發(fā)現(xiàn)排查出弱口令,只要找到產(chǎn)生弱口令的原因和地方,加上強(qiáng)口令密碼即可完成弱口令漏洞的治理。這里按弱口令類別進(jìn)行講解。
Web管理頁面弱口令治理:
Web管理頁面弱口令即為訪問網(wǎng)絡(luò)打印機(jī)地址,空口令密碼即進(jìn)入管理頁面,修改相關(guān)配置。在此可在產(chǎn)品安全功能欄設(shè)置相應(yīng)的口令密碼。
SNMP弱口令治理:
在“安全-SNMP”中禁用SNMP,或設(shè)為只讀權(quán)限,增強(qiáng)安全性。
Telnet弱口令治理:
依次選擇“網(wǎng)絡(luò)設(shè)置”、“高級設(shè)置”選項(xiàng),去掉Telnet配置,并點(diǎn)擊“確認(rèn)”,禁止掉Telnet功能(因?yàn)榛竞苌儆肨elnet來配置網(wǎng)絡(luò)打印機(jī))。如圖3所示。
FTP弱口令治理:
在高級配置中,勾選掉FTP打?。ň唧w型號不同,可能設(shè)置有所區(qū)別)。
本文通過對網(wǎng)絡(luò)打印機(jī)弱口令的產(chǎn)生原因、危害、發(fā)現(xiàn)排查方法進(jìn)行講解分析,使網(wǎng)絡(luò)運(yùn)維管理人員清晰的了解網(wǎng)絡(luò)打印機(jī)弱口令漏洞排查排查方法。最后通過對弱口令進(jìn)行分類,分別講解了治理加固的方法。為單位的網(wǎng)絡(luò)運(yùn)維管理人員提供了相關(guān)運(yùn)維工作經(jīng)驗(yàn)。