Gián điệp có tổ chức đối với những người không biết: các máy quét HP

Thứ ba - 14/09/2010 06:06

Corporateespionage for dummies: HP scanners

by Michael Sutton -Zscaler- Wednesday, 1 September 2010.

Theo:http://www.net-security.org/article.php?id=1484

Bài được đưa lênInternet ngày: 01/09/2010

Lờingười dịch: Bạn hãy cẩn thận khi sử dụng máy quétvì nó có thể để lộ các thông tin trên Web đấy.

Các máy chủ web đãtrở nên thông dụng trong mọi thiết bị phần cứng từnhững máy in cho tới các bộ chuyển mạch switch. Một sựbổ sung như vậy có ý nghĩa khi tất cả các thiết bịđòi hỏi một giao diện quản lý và làm cho giao diện đótruy cập được web chắc chắn là thân thiện hơn vớingười sử dụng so với yêu cầu cài đặt một ứng dụngmới. Mặc dù thường thì không an ninh hoàn toàn, như cácmáy chủ web trong các máy in/máy quét thường tạo ra ítsự quan tâm hơn từ viễn cảnh an ninh, thậm chí chúng cóthể là truy cập được qua web, nhờ những cấu hìnhkhông đúng của mạng. Vâng, bạn có thể thấy ai đó đãquên thay thế băng mực màu xanh da trời mà cái đó khôngcó nhiều giá trị đối với một tin tặc. Tuy nhiên,trường hợp này không luôn luôn đúng.

Webservers have become commonplace on just about every hardware devicef-rom printers to switches. Such an addition makes sense as alldevices require a management interface and making that interface webaccessible is certainly more user friendly than requiring theinstallation of a new application. Despite typically being completelyinsecure, such web servers on printers/scanners are generally oflittle interest f-rom a security perspective, even though they may beaccessible over the web, due to network misconfigurations. Yes, youcan see that someone neglected to replace the cyan ink cartridge butthat's not of much value to an attacker. However, that's not alwaysthe case.

Một phiên bản củagiao diện WebScan trên một máy quét của HP

Gần đây tôi đã xemmột mẫu mới hơn của máy in/máy quét của HP đa chứcnăng và đôi khi rất bắt mắt tôi. HP đôi khi, nhúng cáckhả năng quét từ xa vào nhiều máy quét biết nhận ramạng của chúng, một chức năng thường được đưa ranhư là Webscan. Webscan cho phép bạn không chỉ tắt bật từxa chức năng quét, mà còn tìm mang ảnh được quét, tấtcả thông qua một trình duyệt web. Để làm cho mọi thứthậm chí thú vị hơn, tính năng này thường bật mộtcách mặc định sự không an ninh một cách tuyệt đốibất kỳ thứ gì.

OneVersion of the WebScan interface on an HP scanner

Iwas recently looking at a newer model of an HP printer/scanner comboand something caught my eye. HP has for some time, embedded remotescanning capabilities into many of their network aware scanners, afunctionality often referred to as Webscan. Webscan allows you to notonly remotely trigger the scanning functionality, but also retrievethe scanned image, all via a web browser. To make things even moreinteresting, the feature is generally turned on by default withabsolutely no security whatsoever.

Mối đe dọa bêntrong

Với hơn 1 tỷ USD bánmáy in chỉ trong quý III/2010, và với nhiều thiết bị nhưvậy là các máy in tất cả trong một, việc chạy qua mộtmáy in HP trong doanh nghiệp chắc chắn là rất phổ biến.Những gì mà các doanh nghiệp không nhận thức được, làviệc các máy quét của họ có thể mặc định cho phépbất kỳ ai trong mạng LAN kết nối từ xa tới máy quétvà nếu một tài liệu được để lại đằng sau, thìviệc quét và tìm mang nó sử dụng không gì hơn là mộttrình duyệt web. Bất kỳ khi nào để lại một tài liệubí mật trên máy quét và được in ngược lại để tìmmang nó khi bạn nhận thức được chăng? Đúng như vậy.

Theinsider threat

Withover $1B in printer sales in Q3 2010 alone, and with many of thosedevices being all-in-one printers, running across an HP scanner inthe enterprise is certainly very common. What many enterprises don'trealize, is that their scanners may by default allow anyone on theLAN to remotely connect to the scanner and if a document was leftbehind, scan and retrieve it using nothing more than a web browser.Ever left a confidential document on the scanner and sprinted back toretrieve it when you realized? Thought so.

Wantto know if your office LAN has any wide open HP scanners running? Runthis simple Perlscript to to determine if there are any devices on the localnetwork running HP web servers.
As everything is web based, anenterprising but disgruntled employee could simply write a script toregularly run the scanner in the hopes of capturing an abandoneddocument. The URL used to send the web scanned documents to a remotebrowser is also completely predictable as shown:

Muốn biết liệu mạngLAN trong văn phòng của bạn có bất kỳ máy quét HP mởrộng nào đang chạy không? Hãy chạy scriptPerl đơn giản này để xác định xem liệu có bất kỳthiết bị nào trên mạng cục bộ chạy các máy chủ webHP không. Khi mọi thứ là dựa trên web, thì một doanhnghiệp mà nhân viên bất mãn có thể đơn giản viết mộtscript để thường xuyên chạy máy quét trong hy vọng chụpđược một tài liệu để quên nào đó. URL được sửdụng để gửi đi các tài liệu được quét qua web tớimột trình duyệt ở xa cũng hoàn toàn có thể được biếttrước như được chỉ ra ở đây:

Một script có thể vìthế cũng được viết để chạy một lần trong một giâyđể chụp bất kỳ tài liệu nào được quét có sử dụngtính năng Webscan.

Ascript could therefore also be written to run once per second tocapture any documents scanned using the Webscan feature.

Theexternal threat

It'sbad enough that many enterprises are running scanners that areremotely accessible by rogue employees, but what if those samescanners were accessible to anyone on the Internet? Whetherintentionally set up as such or more likely accidentally exposed viaa misconfigured network, there are numerous scanners exposed on theInternet, the majority of which are not password protected. In fact,HP kindly lets you know on the home page if sensitive functionalityis password protected, by displaying the Admin Password statusalongside other status information such as printer ink levels and thecurrent firmware version. Interestingly, based on the sample setexamined, there was a greater likelihood that HP Photosmart scannerswere not locked down as opposed to Officejet scanners. This findingactually makes sense, given that Officejet scanners tend to bemarketed to corporate users, a group that is hopefully more likely toimplement security protections on hardware/software.

Mối đe dọa từbên ngoài

Đủ tệ rằng nhiềudoanh nghiệp đang chạy các máy quét mà truy cập đượctừ xa bởi những nhân viên dỏm, mà điều gì xảy ra nếucùng những máy quét này bỗng nhiên phơi ra qua một mạngđược cấu hình không đúng, có hàng đống các máy quétđược phơi ra trên Internet, chủ yếu trong đó không đượcbảo vệ bởi các mật khẩu. Trên thực tế, HP tử tếđể cho bạn biết trên trang chủ nếu chức năng nhạycảm được bảo vệ bằng mật khẩu, bằng việc hiểnthị tình trạng mật khẩu của người quản trị cùngvới những thông tin tình trạng khác như các mức in củamáy in và phiên bản của phần sụn hiện hành. Thật thúvị, dựa trên tập hợp đơn giản được xem xét, có mộtsự có thể lớn hơn rằng các máy quét HP Photosmart đãkhông được khóa khi đối nghịch với các máy quétOfficejet. Sự phát hiện này thực sự có nghĩa, biết rằngcác máy quét Officejet có xu hướng được marketing chonhững người tiêu dùng của các công ty, một nhóm mà hyvọng có thể triển khai bảo vệ an ninh nhiều hơn trênphần cứng/phần mềm.

Ví dụ các yêu cầucủa Google/Bing được sử dụng để xác định các máyquét mở:

Chỉ đánh giá. Các mức về mực có thể khác nhau
inanchor:"page=printerInfo"
“Đánh giá các mức” “Máy chụp ảnh thông minh của HP” “Các khái niệm cần sự chú ý”
Tình trạng của máy ảnh thông minh của HP “sản sinh ra số liên tiếp của sản phẩm” “số lượng mẫu sản phẩm”.
inurl:index.htm?cat=info&page=printerInfo
inbody:"Estimated Black Ink Level".

Nhiều phương án củagiao diện web của HP đảm bảo rằng không một yêu cầuduy nhất nào sẽ xác định được tất cả các máy quétbị phơi lộ, mà như có thể thấy, với một sự sángtạo nhỏ, quá dễ dàng để thấy các máy quét bị phơilộ.

ExampleGoogle/Bing queries used to identify open scanners:

Themany variations of the HP web interface ensures that no single querywill identify all exposed scanners, but as can be seen, with a littlecreativity, it is trivially easy to find exposed scanners.

Thewall of shame

Whatsort of things do people leave on their scanners? In researching thisarticle, I saw checks, legal documents, completed ballot forms, phonenumbers... and my personal favorite, Jim's diploma informing theworld that he's now a Certified Mold Inspector - congratulationsJim!
Here are samples of documents remotely retrieved due tocorporations using HP scanners that were not password protected, onmisconfigured networks that exposed their scanners to the Web.

Bức tường xấuhổ

Dạng đồ nào mà mọingười để lại trên các máy quét nhỉ? Theo nghiên cứubài viết này, tôi đã thấy những kiểm soát, các tàiliệu pháp lý, các mẫu bỏ phiếu hoàn chỉnh, các sốđiện thoại... và sở thích cá nhân của tôi, bằngdiplom của Jim nói với thế giới rằng anh ta bây giờ làmột điều tra viên được Mold cấp chứng chỉ - chúcmừng Jim!

Đây là những ví dụcác tài liệu được tìm mang từ xa nhờ vào việc cáccông ty sử dụng các máy quét HP mà đã không được bảovệ bằng mật khẩu, trên các mạng được thiết lậpcấu hình không đúng mà đã để lộ ra các máy quét củahọ trên Web.