Router ZyXel defaultne heslo

[menganito]

Zdravim. Mam router http://www.zyxel.com/products_services/nbg4615.shtml?t=p, zistil som, ze na nom na porte 8123 bezi ssh server Dropbear, nevie niekto, ake by mohlo byt heslo? Bezne kombinacie nezaberaju, menej bezne tiez nie a brute forcom sa mi nechce (a nezabera ani sministratorske heslo do web rozhrania) Takze ak niekto robi ako servisny technik alebo predavac a pozna toto heslo, celkom by sa mi info zislo (chcem z neho urobit drobny jump server a pripadne NFS/print server, hadam na nom bude bezat nejaky OS).

[kapetr]

Web rozhraní bývá jen subsetem nastavení dostupného přes telnet.
Nejde to nastavit (např. změnit heslo) tam ?

[menganito]

Vo web rozhrani sa o ssh nic ani nspomina, skusim sa ale pohrat s nastaveniami Remote management, momentalne sa k nemu nedostanem nijak, skusim vecer.

[RRRadek Neužil]

Podle manuálu to SSH nemá, tak je divné že ho má aktivovaný.
ftp://ftp.zyxel.com/NBG4615/user_guide/NBG4615_3.pdf

Ale u jiných modelů Zyxel co SSH mají tak tam je default admin a 1234 které se po prvním přihlášení hned mění.

[Standa99]

To je divné, jestli by tam byl SSH server, tak by byl na standartním portu 23, pokud bys ho nezměnil na jiný.
Není to nějaký exploit? Máš ho na veřejné IP?

[menganito]

Takže, v remote management je len konfig WebGUI, port na ktorom počúva http (80) a pod.
Manuál som pár krát už čítal, ale staršiu verziu. Viem, že sa tam ssh spomína, rovnako aj Telnet, ale nič bližšie.
Default port ssh je 22, 23 je telnet. To, že beží na takom čude, som zistil len zenmapom, tiež ma to prekvapilo. O exploite je to dobrá poznámka, ale nemám veľmi ako to zistiť. Po resete je tam port stále a dropbear počúva. Kým sa tam nenalogujem, nebudem vedieť, či ho ovláda niekto z vonku. Je na verejnej IP.

[Standa99]

Jo ten port jsem spletl. Nasvědčuje to na nějakou nekalost. Zkusil bych aspoň přeflashovat firmware, jestli tam bude ten dropbear i potom.

[RRRadek Neužil]

Koukám že FW stále ve verzi 1.0
http://www.zyxel.com/support/download_library/product/nbg4615_7.shtml

Docela mě zajímá jak tohle dopadne. Mohu se zeptat, to jsi koupil jako nový nepoužitý?

[menganito]

Fungl nový, dokonca je to už druhý kus, prvý som akosi odfajčil, keď som naň chcel flashnúť OpenWRT, tak mi ho vymenili, každopádne som si ho osobne rozbalil a nikto k nemu fyzicky prístup nemá.
FW je verzia 1.00BWQ3, ja mám 1.00BWQ1, rozmýšľam o upgrade.

Aj mňa zaujíma ako to dopadne, pôvodne som predpokladal, že to SSH je tam otvorené ako "undocumented benevolent feature", tak uvidím.

[menganito]

Update: po preflashovaní stále počúva...SSH-2.0-dropbear_0.51. Fakt by mi to tak nevadilo, keby som heslo mal... Asi napíšem na support zyxelu.

[Standa99]

Zajímavé rozuzlení. Nevím jak to naspat, ale tohle není normální, aby si jen tak otevřeli port a na něm bežela služba, která není zdokumentována. V tomhle případě to vidím jako zneužití, ne využití nějaké fičury navíc.

P.S. Na Zyxel už mám dlouho pifku už jenom proto, že ty jejich strojky jedou na Ralink chipsetech. To je pro mě ve WiFi katastrofa.

[Standa99]

Vzpomněl jsem si a zkusím toto téma vzkřísit. Před rokem bych tomu moc nevěřil, ale dnes to vyloženě nahrává konspiračním teoriím. Podezřelých bude hodně strojků, které se dnes prodávají. Ideálně sice takový koupit, ale (pro jistotu) do něj naroubovat OpenWrt nebo DD-WRT (doufám, že tyto mini-distra taky někomu nelezou na ruku).

Zrovna tady popisujou Zyxely aspol.
http://www.root.cz/clanky/analyza-zranitelnost-rom-0-postihuje-1-5-milionu-domacich-routeru/

http://www.zive.cz/bleskovky/americke-routery-maji-zadni-vratka-od-nsa-tvrdi-snowden/sc-4-a-173636/default.aspx

[ntz_reloaded]

To je divné, jestli by tam byl SSH server, tak by byl na standartním portu 23, pokud bys ho nezměnil na jiný.
Není to nějaký exploit? Máš ho na veřejné IP?

na 23 bezi standardne telnet

viz `grep 23/tcp /etc/services'

[Standa99]

To už jsem taky zmínil.

Jo ten port jsem spletl....

[menganito]

Takze update: tento router na rom-0 netrpel, skusal som ho. po nejakom case uplne prestal fungovat, umierala lanka, vyreklamoval som kus za kus a "novy"predal. Koniec lasky so zyxelom (este mam ich NSA310, ale to tiez idem nahradit).