WooYun.org

本是无意间发现一台无线AP设备存在默认口令，后来挖掘了一下（信息搜集），
发现应该是广东省电信全省采购的这几种型号的AP设备（且这几种AP型号设备的默认口令居然都是一致的...，貌似都是国产XX货...），
随机挑了一些进行测试，发现存在弱口令的设备不少，但并不是所有AP设备都存在
这里简单说一下测试过程中发现的几个主要问题：
1.无线AP管理后台弱口令：
三元达WPB-5000： 目前测试的99%都存在弱口令
智达康ZDC ZG-5000：目前测试的%80都存在弱口令
国人通信SRG-W5000：一小部分存在弱口令
中兴ZTE W860A： 设备数量较少，暂未发现
2.SNMP Public默认口令：
基本上目前测试的80%无线AP设备默认都开了SNMP端口，就算管理后台弱口令无法登陆，但依然可以通过SNMP获取设备的详细配置信息
3.登陆页面没有验证码校验和失败次数限制：
可以进行暴力破解
通过以上几个方面，对广东省电信的外网IP进行扫描，然后使用工具或脚本批量进行爆破和弱口令登陆。应该会有不少收获...
下面开始进入正题：
默认用户名：admin
默认密码：password
目前已经测试的漏洞地址：（实际存在漏洞的数量远大于这些，因广东省电信IP段太广，只测试小部分IP段，其他自行排查吧...测试这些还浪费了我大半天功夫...）
广东省汕头市电信：
https://121.10.200.39/cgi-bin/webproc
https://121.10.200.40/cgi-bin/webproc
https://121.10.200.144/cgi-bin/webproc
https://121.10.200.145/cgi-bin/webproc
https://121.10.200.146/cgi-bin/webproc
https://121.10.200.148/cgi-bin/webproc
https://121.10.200.149/cgi-bin/webproc
https://121.10.200.151/cgi-bin/webproc
https://121.10.200.153/cgi-bin/webproc
https://121.10.200.155/cgi-bin/webproc
https://121.10.200.157/cgi-bin/webproc
https://121.10.200.159/cgi-bin/webproc
https://121.10.200.161/cgi-bin/webproc
https://121.10.200.162/cgi-bin/webproc
https://121.10.200.163/cgi-bin/webproc
广东省汕头市电信：
https://59.35.31.239/cgi-bin/webproc
广东省湛江市电信：
https://113.86.163.35/login_zdc.htm
https://113.86.163.46/login_zdc.htm
https://113.86.163.55/login_zdc.htm
https://113.86.163.183/login_zdc.htm
广东省湛江市电信：
https://113.86.184.106/login1.htm
https://113.86.184.112/login1.htm
广东省云浮市电信：
https://113.107.192.45/login_zdc.htm
https://113.107.192.131/login_zdc.htm
https://113.107.192.6/login1.htm
https://113.107.192.81/login1.htm
https://113.107.192.138/login1.htm
https://113.107.192.205/login1.htm
广东省深圳市电信：（SNMP Public弱口令）
119.146.17.46
119.146.17.90
下面说一下测试思路：
可以对广东省电信IP段进行443端口扫描，这些AP默认全是开放443端口，
开放的443端口的一般即为无线AP管理后台，然后使用通用用户名密码进行测试，
嫌手动测试麻烦的，其实可以写个脚本或使用工具进行批量测试
用户名：admin
密码：password
广东省电信部分IP段443端口扫描：

可以看到上面我使用工具已经查询了几个广东省电信的IP段。
121.10.190.0-121.10.231.255 广东省汕头市电信
113.86.128.0-113.86.255.255 广东省湛江市电信
119.146.14.0-119.146.27.255 广东省深州市电信
113.107.189.0-119.107.194.255 广东省潮州市电信
获得到了开放443端口的IP地址之后，下一步就是测试默认口令了，
我这里没有写工具，是手动测试的，本来以为不多就手动上去测试了...结果悲剧了。
测试发现有一些默认口令是无法登陆的，但是默认依然开了SNMP端口，我们可以利用工具搜集一些网络信息和设备配置信息

仔细看其实上面搜集到的信息还是不少的，最后一张图里获取的信息是最多的，基本设备的所有配置信息都在里面可以看到，包括设备的用户名
有人可能觉得光知道用户名有什么用...这些信息虽然不能直接进行利用，但是为APT攻击提供了很多便利。例如知道了用户名，就只需要对密码进行爆破了，爆破的排列组合少了不少自然成功率和速度就增加了不少...
下面就要说到，这些国产AP的安全做得确实不到位，应该都有年头了吧...都没有验证码校验，且没有失败尝试次数限制，我想对于有字典的大牛们，爆破这种应该不难吧...