bin/IHCFile controller usikkerhed

[Mikkel Skovgaard]

Vil nogen der har den nye controller lige se hvad der sker hvis i smider bin/IHCFile ind i browseren efter jeres controllers ip - f.eks: 192.168.1.20/bin/IHCFile

Min den gamle controller spytter gladeligt hele projekt filen ud uden at spørge efter brugernavn eller adgangskode - mon LK har løst det i den nye version

[Allan Nissen]

Får en 404 Not Found hos mig

[EjvindHald]

Virker fint hos mig på hw7 uden krav om brugernavn eller kode.

 

[Henning Pedersen]

Jeg fik først samme besked som Allan.

Efter rettelse til store bogstaver "IHCFile" så var der ingen problemer.

[Kandersen]

Hmm testede lige på min 6.2 controller. Der får jeg adgang nægtet. 

 

Der kan ikke oprettes forbindelse til dette website

10.4.28.6 nægtede at oprette forbindelse.

 

• Søg efter bin INCFile på Google

ERR_CONNECTION_REFUSED

[Peder]

Ja, der er hul igennem både på min Visual 2 - HW 6.2 og Visual 3,  er det noget som man skal være glad for 

Vandt du ikke den nye Controller i en konkurrence ved LK (Mikkel)

[Kandersen]

9 minutter siden, Kandersen skrev:

Hmm testede lige på min 6.2 controller. Der får jeg adgang nægtet. 

 

Der kan ikke oprettes forbindelse til dette website

10.4.28.6 nægtede at oprette forbindelse.

 

• Søg efter bin INCFile på Google

ERR_CONNECTION_REFUSED

Det slog mig lige. Det er sikkert fordi jeg ikke bruger standard porte. 

 

EDIT - Yep, det var fordi jeg ikke bruger standard porte. Den smider det hele ud på Web porten. Ikk! smart LK! 

[Kandersen]

4 minutter siden, Peder skrev:

Ja, der er hul igennem både på min Visual 2 - HW 6.2 og Visual 3,  er det noget som man skal være glad for 

Det er lidt skidt at man kan hente programmet via web porten på den måde, selvom det heldigvis ikke er konfigurationen. Men det er ikke umiddelbart noget jeg falder på halen over. I værste fald får en evt ubuden gæst adgang til lidt personfølsomme oplysninger såsom adresse, navn og telefonnummer.  

[Lars1]

13 timer siden, Kandersen skrev:

Det er lidt skidt at man kan hente programmet via web porten på den måde, selvom det heldigvis ikke er konfigurationen. Men det er ikke umiddelbart noget jeg falder på halen over. I værste fald får en evt ubuden gæst adgang til lidt personfølsomme oplysninger såsom adresse, navn og telefonnummer.  

De personfølsomme data er i min optik i dette tilfælde det mindste problem. Langt større er problemet at med adgang til programmet er det relativt nemt at se hvordan man f.eks. kan slå alarmen fra. Specielt fordi at såvidt jeg husker, så har Mikkel også fundet en metode til at sende beskeder til controlleren uden at logge ind.

Men LK og sikker systemer har aldrig været noget man kunne sige i samme sætning.

[Kandersen]

2 minutter siden, Lars1 skrev:

Specielt fordi at såvidt jeg husker, så har Mikkel også fundet en metode til at sende beskeder til controlleren uden at logge ind.

Det er klart, at det er straks værre, hvis du også kan styre det den vej. Men det er jeg ikke sikker på man får lov til. 

[Lars1]

1 minut siden, Kandersen skrev:

Det er klart, at det er straks værre, hvis du også kan styre det den vej. Men det er jeg ikke sikker på man får lov til. 

Eftersom LK IHC baser sig på simpelt bruger ID og PW, vil det tage en gennemsnit hacker under 1 time at skaffe sig adgang. Sandsynligvis vil controlleren crashe et par gange undervejs, grundet det elendige design af netværks interfacet, så det tager måske 3 timer, men at knække bruger ID og PW via brutforce er ikke særligt svært på LK IHC.

[Kandersen]

4 minutter siden, Lars1 skrev:

Eftersom LK IHC baser sig på simpelt bruger ID og PW, vil det tage en gennemsnit hacker under 1 time at skaffe sig adgang.

Jaja, men nu skal den gennemsnitlige hacker også lige "finde" controlleren først. 

[Lars1]

34 minutter siden, Kandersen skrev:

Jaja, men nu skal den gennemsnitlige hacker også lige "finde" controlleren først. 

Tager 5 min. men en standard network scanning, også selvom du bruger none standard ports. Det er desværre de færreste ISP'er som bloker for port scanning på private ADSL forbindelser.

[Kandersen]

7 minutter siden, Lars1 skrev:

Tager 5 min. men en standard network scanning, også selvom du bruger none standard ports. Det er desværre de færreste ISP'er som bloker for port scanning på private ADSL forbindelser.

Altså - portscanning (WAN) fortæller INTET om, hvad der sidder i den anden ende (LAN). 

Network scanning formoder jeg du mener på det interne net (LAN). En hacker skal altså lige in på LAN førend en netværksscanning er brugbar. De fleste routere har heldigvis pr default lukket for portene.

Bemærk, jeg siger ikke det ikke kan lade sig gøre. Men det er ikke bare lige noget man gør i løbet af 5 minutter. Og slet ikke for en "gennemsnitlig" hacker. Så er vi ude i noget rigtig seriøst, og/eller hackeren har fået brugeren til at starte et program (trojan) på indersiden først. Det vil i øvrigt være sådan det sker i langt langt de fleste tilfælde. Eller at brugeren har hentet noget suspect software som allerede har trojan. 

Jeg er enig i, at det er uheldigt at man kan hive visual programmet ud af controlleren uden brugernavn/password. Og ja, der er en potentiel fare i det. Men jeg tror ikke det er noget jeg ville gå i panik over, heller ikke selvom jeg har åbent til controlleren "udefra". Specielt fordi jeg ikke bruger standard porte.  

[Lars1]

Hackeren bruger den portforwarding du har lavet i din router til din IHC controller. Din router og IHC controler kan ikke se forskel på om det er en webbrowser, en LK IHC app, eller en hacker, som forsøger at nå din controller.

Der findes masser af hacker værktøjer på nettet til at lave network scanning med. Flere af disse værktøjer kan på under 5 min. scanne 100 IP addresser for åbne porte og fortælle dig rimeligt præcist hvilke applikationer der svare på hvilke porte på de addresser.

Jeg har et par kollegaer som arbejder med IT sikkerhed. Fra tid til anden sætter de en honeypot server op. Den bliver somregl hacket inden for 1 døgn.

[Kandersen]

8 minutter siden, Lars1 skrev:

Hackeren bruger den portforwarding du har lavet i din router til din IHC controller. Din router og IHC controler kan ikke se forskel på om det er en webbrowser, en LK IHC app, eller en hacker, som forsøger at nå din controller.

En portscanner viser kun om portene der scannes er åbne eller lukket.

8 minutter siden, Lars1 skrev:

fortælle dig rimeligt præcist hvilke applikationer der svare på hvilke porte på de addresser.

Hvis jeg smider en webserver op på port 9000, så kan hackeren med en portscanner se port 9000 er åben. Og så kan man forsøge lave request på allerede kendte protokoller, fx http. Men selve scanneren kan ikke fortælle dig, hvad der ligger bag. 
Rammer en hacker porten på min controller, ja så er det klart, at ved en http request vil den svare. Og derfor ved hackeren at der er en eller anden form for http server bag. Men umiddelbart finder de ikke ud af, hvilken type server. Jeg kan ihvertfald ikke se, at der sendes en http header ud med type/produkt. 

14 minutter siden, Lars1 skrev:

Fra tid til anden sætter de en honeypot server op. Den bliver somregl hacket inden for 1 døgn.

Det er det der er ideen med den, samtidig med man monitorere trafikken. 

[Kim carlsen]

Det er derfor man ikke bør åbne noget som helst mod internettet. Lav en VPN i stedet for. Det er desværre ikke for alle.

Når man portscanner og finder et hul, sender man forskelligt mod den, hvor man ud fra svaret kan finde ud af om det er en windows, linux eller en IoT, herefter slå man op i kataloget over hvad der er af svagheder og bruger den til at komme ind.

Her er produktet så ukendt, så der er ingen der gider at prøve.

Alternativt er DDos

[Lars1]

@Kandersen. Du er tydeligvis ikke opdateret på hvordan hacking forgår idag, samt hvor avancerede portscanner tools m.m. er idag. Prøv "telnet <IHC controller IP> 80" og tryk på enter når du får forbindelse. LK's IHC controller er temmelig glad for at fortælle hvordan man kan hacke den.

[Kim carlsen]

eks. exploits på jws: https://www.exploit-db.com/exploits/12114

[Lars Jacobsen]

Mener at kunne huske at selv en simpel Google søgning med de rette paramtre vil give en liste af "hits" på IHC controllere de har "fundet på nettet" i tidens løb. 

Herefter er det bare at kalde den fundne ip (port) med de rette parametre. 

[Lars Jacobsen]

Fandt lige den 4 år gamle tråd hvori Mikkel selv viser hvordan:

 

 

[Mikkel Skovgaard]

Beklager jeg ikke har været med i den spændende tråd - men ja helt ærligt den ligger pivåben filen - ved godt hvorfor - så er det nemmere at lave dokumentation filen  (det var sådan jeg fandt hullet)

Hold jeres controllere bag LAN og ikke ud på WAN - af samme grund anbefaler jeg heller ikke man smider IHC Captain på public web endnu - jeg arbejder på en automatisk LetsEncrypt løsning og meget mere sikkerehed og(/eller) en løsning med at IHC Captain ringer hjem via en secure socket også kan styre via den - som f.eks. Ubiquiti gør det.

Men det jeg ville tjekke var reelt set om V3 havde fået bedre sikkerhed (min egen ligger i en kasse fordi jeg er bange for hvis den først ryger op så ryger ALT mit fritid)

[Kandersen]

17 timer siden, Lars1 skrev:

@Kandersen. Du er tydeligvis ikke opdateret på hvordan hacking forgår idag, samt hvor avancerede portscanner tools m.m. er idag. Prøv "telnet <IHC controller IP> 80" og tryk på enter når du får forbindelse. LK's IHC controller er temmelig glad for at fortælle hvordan man kan hacke den.

Lars, jeg er udmærket klar over hvordan det foregår. Men du negligere det jeg skriver. 

 

[Lars1]

1 time siden, Kandersen skrev:

Lars, jeg er udmærket klar over hvordan det foregår. Men du negligere det jeg skriver.

Jeg negligere ingen ting. Der findes i dag hacker tools på nettet, som kan hacke en server med kendte exploites som dem Kim Carlsen referer til. De kræver intet andet end at du angiver hvilken IP range du ønsker at skanne, så klare toolet resten, og outputtet er en liste med server, med præcis angivelse af hvordan man kommer ind på de usikre server.

Hvis du har prøvet den telnet jeg skrev om, så vil du nu også vide hvilke web server incl. patch level der ligger i din IHC controller, og dermed er det bare at slå op på nettet hvilke exploits der findes på den, samt hvordan man bruger dem.

[Kandersen]

1 time siden, Lars1 skrev:

Jeg negligere ingen ting.

Så kan jeg fortælle dig, at dit eksempel ikke vil virke hos mig.. Gæt selv hvorfor!

 

[Lars1]

1 time siden, Kandersen skrev:

Så kan jeg fortælle dig, at dit eksempel ikke vil virke hos mig.. Gæt selv hvorfor!

Hvis det er fordi du du ikke bruger standard porte, så skal du selvfølgelig ændre port nr'et i telnet kommandoen til den port du bruger, men det gik jeg egentlig ud fra at alle selv kunne tænke sig til.

Hvis det er fordi at der ikke er adgang til din controller fra internettet, så ændre det ikke noget. Telnet komandoen var for at dokumenter at webserver etc. er temmelige glade for at fortælle hvem de er og hvilke muligheder de tilbyder. Det har intet at gøre med om din controller er tilgængelig fra internettet eller ej.