Взломали пароль от Mikrotik. Как?

Question

[Roc27]

Всем привет.
Странная вещь произошла.
На Miktorik установлен логин Admin, пароль к примеру qwertbhm
Коллега по работе попросил доступ к Mikrotik, я поменял пароль на qwert и дал ему.
После того как он полазил в нем я восстановил с бекапа предыдущую версию настроек со старым паролем.
Сегодня он ко мне подходит и спрашивает о моих настройках Mikrotika, о которых он знать не мог.
Захожу в логи микротика и вижу, что он залогинился не через IP адрес, а по mac-адресу (микротик в neighbors светился, видимо оттуда и заходил). Причем до его удачного входа были 4 неудачные попытки входа с интервалом 3-5 минут.
Как он зашел не зная пароль? Он не сознается.
Версия прошивки 6.46.4 (stable).

Comments

[Wexter]

и других пользователей нету? заходил он так-же под админом?

[Roc27]

Wexter, других пользователей нет. Да, зашел под админом.

[Roc27]

poisons, до его первого подключения к микротику, я сам все настраивал и не делал авторизации по ключам.
Перед его подключением я сделал Бэкап и поменял пароль, на тот который выдал ему.
После того как он там лазил я восстановил из резервной копии. Соответственно его настроек там не осталось. И привязка к ключу должна была пропасть, но на всякий случай проверю позже.

[Dimonchik]

падпишусь

в аутентификации обычно "как" заканчивается профонарением одной из сторон

[Wexter]

poisons, ключи же только по ssh, а он подключался по маку через winbox

[CityCat4]

Roc27, А пароли тоже сбрасываются при восстановлении бэкапа? А то может быть банально пароль остался прежний.

[Roc27]

CityCat4, нет, пароль не остался прежним. После восстановления бэкапа проверил несколько раз.

[CityCat4]

Roc27, А старый пароль не мог быть записан где-то, где он мог прочитать его? Например, совпадать с ключом wifi (если он есть), записан где-нибудь в комментах... Это конечно глупое предположение, но обычно большая часть проблем с безопасностью - банальное "на старуху бывает проруха".

[ThunderCat]

Проблема с микротиками имеет место быть, это известный дуршлаг, https://techsoftcenter.com/how-to-hack-mikrotik-ro... прочитайте, там правда такое себе ломание, знаю точно что есть более продвинутые уязвимости, у знакомого не так давно хакнули ип-телефонию через микротиковский шлюз, наговорили кучу денег за бугор...

[Wexter]

ThunderCat,

у знакомого не так давно хакнули ип-телефонию через микротиковский шлюз, наговорили кучу денег за бугор...

это знакомый так сказал?

[ThunderCat]

Wexter, представьте себе, да, сказал, прям ртом. И счет некислый за телефонию показал. При том что его точно не было в этот период в стране. И логи мы с ним смотрели, где подключения видны...

[Wexter]

ThunderCat, а пруфы у друга есть что виновен именно микротик, а не он рукожоп не настроил правильную авторизацию на телефонии?

[ThunderCat]

Wexter, нет, ибо не он настраивал, а контора которая предоставила услуги. По факту - из коробки у нормальной железки нужно только поменять пароль и подкрутить конфиг под собственные нужды, в итоге у мтк куча настроек, которые "обязательно нужно сделать", но почему то "искаропки" так не сделано... Кроме того, есть десяток "правильных" настроек, вызывающих холивары похлеще винь вс линь. И все адепты утверждают что все 9 остальных настроек - от криворуких идиотов. Когда стали копаться в теме - очень прониклись этим моментом. То есть за приемлемое время понять и настроить этот девайс "правильно" почти нереально, без профильного образования. Например курсов от микротика )

На тот момент по быстрому гуглежу вышла статья про взлом дохрениллиона микротиков через какую-то свежую дырку (ну или не очень свежую, но не пропатченную вовремя).

[Wexter]

ThunderCat, ну так какбэ это вам не длинк/тплинк. само собой с головой настраивать надо. но мне всё-же непонятно каким боком микротик может быть виноват во взломе телефонии

[ThunderCat]

Wexter, сори, подробностей не помню, либо железка была с встроенной войп, либо просниффили траффик на роутере... Буду в гостях обязательно спрошу, так как вижу что тема со взломами еще не остыла. Помню что на тот момент было предпринято масса танцев с бубном чтобы закрыть дыры и прикрыть доступ хацкерам, так как прям в онлайне наблюдали подключения и звонки через панель управления. Так как я в этой железке колупаться особого желания не имел, при наличии сервиса который все должен был настроить, в итоге тупо отключали из сети.

Answer 1

[Roc27]

Всем спасибо за ответы.
Коллега все таки рассказал как это получилось у него.
Я сам виноват, оставил дыру, а дело вот в чем:
В этот день я настраивал тестовый вайфай на другом микротике, сразу не запаролил его. На этом микротике сделал пароль от вайфая qwertbhm (такой же пароль от админа на первом микротике).
Он в Neighbors увидел второй микротик с вайфаем, попробовал тыкнуться в него без пароля, у него получилось. В нем он просмотрел пароль от вайфая и использовал для входа в первый микротик.
Ну что ж, будет мне уроком, в следующий раз буду умнее.

Comments

[Egor]

Заподозрили высшего колену в компетентности, а оказалась хитрость :-))

[Roc27]

Теперь всегда буду отключать Neighbor, удалять Админа и создавать своего пользователя с паролем, который вообще нигде не используется :)
Мелочь, а неприятно. Урок усвоен.

[Dimonchik]

в аутентификации обычно "как" заканчивается профонарением одной из сторон

(с)

[#]

отмечайте ответы - ответами. кроме вас, кто то еще может искать решение проблемы. пометка что вопрос решен будет сигналом

Answer 2

[the_vitas]

Открою вам небольшой секрет, микротик хранит в себе все логины пароли когда либо создававшиеся, только вам не показывает. И если слить прошивку без шифрования и залить на какой нибудь ресурс инета, который вам все пароли из нее выдернет, то вы малость удивитесь. Ваш приятель так и сделал, а потом как вы пишете было несколько неудачных попыток, эти логины пароли и перебрал до подходящего, который Вы из бэкапа и восстановили. Так что если хотите после кого то закрыть доступ как Вы, то только смена пароля на новый.

Comments

[Wexter]

poisons, вообще на просторах гитхаба есть софтина mtpass, но как показала практика она ломает бекапы (файлы .backup) только от версий 5.х.
Однако, учитывая что с 6.46 у них новый формат хранения паролей, скорее всего рабочих ломалок пока ещё нет

[the_vitas]

poisons, описался, бэкап. Думал одно, написал другое.

Answer 3

[Олег]

Ради интереса linux+aircrack
4Гб оперативы qwertbhm подобрал за 24 минуты ;)

Comments

[Wexter]

наверняка не за 4 попытки

[ParamPamPamPam]

С библиотекой или без?

Answer 4

[Muh_timur]

Если включен Web интерфейс то пароль легко можно дёрнуть.

Comments

[Ev Gen]

Как именно? Там пароль в JS где-то светится?

[Антон Тихомиров]

Евгений Глебов, я не помню на чем у Микротика написана морда, если на чистом JS - то он даже в исходном коде (Ctrl + U) светится. Поищи поиском по коду. Либо скрипты может на лету генерить, тогда он будет там.

[Рональд Макдональд]

Если включен Web интерфейс то пароль легко можно дёрнуть.

[Дмитрий Свиридов]

Антон Тихомиров, пароль, захардкоженный в js? Это какая-то жесть

[Антон Тихомиров]

Либо скрипт может на лету генерить.

Я не писал что он захардкожен там

[sirota]

Антон Тихомиров, ты бред написал.

[Александр Карабанов]

Нет нельзя.

Answer 5

[Vladimir Zp]

Если пароль был сохранен у тебя в winbox, то мог через него забрать с твоего компа, если у него есть доступ. Если на winbox не стоит пароль, то все сохраненные пароли хранятся в открытом виде.