Motorola SBG900, una revisión general

[Preth00nker]

Enseguida mostraré como tomar ventaja de algunas "Características" interesantes de este cable-modem:

Declaraciones:
sugerimos la siguiente regexpr:
A[+]=[0-9][0-9][0-9]+ (Tres dígitos decimales y el tercero con cerradura positiva).
lo que significa que el lenguaje generado por dicha expresión regular (A[+]) cumple con el lenguaje ocupado por el parámetro sessionid, este, a su vez, usado por el portal web del router entre cada petición del cliente autenticado y el portal.
Si nos emos autenticado en el portal, basta con ver el Source Font del archivo principal "frames.asp" para hallar el sessionid de la sesión actual.

Descubriendo el WEP-key
Accediendo a la dirección http://192.168.0.1/wireless/wirelessSecurity.asp?sessionId=A[+] o directamente el la sección Wireless/security, si ponemos atención en el textbox Key 1 puede verse como texto plano.

Descubriendo Login de administrador
Accediendo a la dirección http://192.168.0.1/admin/adminGateway.asp?sessionId=10390 haremos uso del JASILDBG; una vez cargada la página pegamos el siguiente fragmento de código en la barra de direcciones y presionamos [ENTER]
javascript:alert(document.getElementById('Gateway.BasicAdminSetting.oldPassword').value);
veremos un alert con el password del administrador.


Evitando el acceso a MAC address desconocidos
Iremos hacia Wireless/security/advanced o directamente desde  http://192.168.0.1/wireless/wirelessSecurityAdvanced.asp?sessionId=A[+]
y agregamos todas las macs que deseamos accedan a nuestra subred y a la WAN a través de nuestro AP

-->Nota: Solo mencionar que las restricciones de MAC address + WEP no son lo suficientemente fuertes para evitar que intrusos accedan a nuestro router, una idea inicial para burlar esta protección (tomando en cuenta que el atacante posee la WEP-key) es la dupla MAC-Spoofing + airodump, así, un atacante puede poner su tarjeta red en modo promiscuo y escuchar algunas conexiones establecidas entre Clientes -> AP para saber la MAC de alguna máquina conectada de forma "legal", posteriormente hacer el macspoofing con la mac y conectarse a la red.
Esta nota es por experiencia, he visto algunos AP que caen fácilmente ante el mac-spoofing.

Espero tener tiempo para actualizar esta revisión, un saludo y espero se tomen en tiempo para revisar el post (http://foro.elhacker.net/bugs_y_exploits/multiple_vulnerabilities_on_cablemodem_motorola_sbg900-t292258.0.html) sobre Hijacking Session del mismo modelo de cable-modem.

Código (cadlisp) [Seleccionar] Expandir