rdquo使10万台服务器面临强大攻击的风险

2018-06-19 9

研究人员说,戴尔、惠普和其他大型制造商销售的至少10万台互联网连接服务器包含易受强效远程黑客攻击的硬件,这些攻击窃取密码并在主机系统上安装恶意软件。

威胁来自嵌入大多数服务器主板的主板管理控制器。众所周知的BMCs,微控制器允许管理员监控大型服务器群的物理状态,包括它们的温度、磁盘和内存性能以及风扇速度。但本周在Usenix攻击性技术研讨会上发表的一篇论文指出,底层智能平台管理界面( IPMI )存在严重的设计缺陷,使得BMC极易受到网络中可能级联的黑客攻击。

更高的风险是,最近的一次互联网扫描发现,至少有10万台启用IPMI的服务器运行在公众可访问的地址上,尽管安全专业人士长期警告不要这样做。密歇根大学的科学家在论文中写道:“

IPMI可以是一个方便的管理工具,但在攻击者的控制下,它也可以成为一个强大的后门。”论文的标题是阐明有关停电服务器管理的安全问题。控制BMC的攻击者可以使用它以各种方式攻击主机系统和网络。

「寄生伺服器」一种可能是安装BMC常驻间谍程式,当操作员远端存取主机伺服器时,它会撷取管理密码。另一种情况:攻击者可以通过远程引导服务器进入恢复模式来不受约束地 root 访问主机。更糟的是,攻击者可能会滥用易受攻击的BMCs,在主机上运行未经授权的操作系统,从而对服务器磁盘进行原始访问。

研究人员并不是第一个警告广泛使用的IPMI和BMC技术所构成的威胁的人。上个月,备受推崇的白帽子黑客丹·法默发表了自己的宣言,用更强烈的语言来描述潜在的危险。有一次,他写道:

想象一下,在一台主板上安装了一个小型但功能强大的寄生服务器的计算机上,如何保护它的安全;吸血水蛭无法关闭且无文件记录;您无法登录、修补或修复其上的问题;基于服务器的防御、审核或防恶意软件软件不能用于保护;其设计秘密,实现陈旧,能完全控制计算机的硬件和软件;它与其他一些重要服务器共享密码,以明文形式存储,供攻击者访问。

HD Moore是安全公司rapid 7的首席研究官,也是渗透测试人员和黑客使用的Metasploit项目的总设计师,他在这里对IPMI和BMC进行了同样暗淡的安全评估。

BMCs包含不同的名称和规格,这取决于它们捆绑的服务器,而且很少有公开资料记录它们的内部工作。但是因为每个都运行相同的IMPI协议,所以它们都被认为容易受到相同的威胁。密歇根大学的研究人员通过选择嵌入Supermicro SYS - 5010c - LF 1U机架式服务器的Supermicro X9SCL - F主板上的一个这样的控制器来验证这一假设。在对设备进行彻底分析后,科学家发现其固件(由一家名为ATEN Technology的公司设计)包含大量教科书安全漏洞,包括可利用的特权升级、外壳注入和缓冲区溢出漏洞。研究人员开发了概念验证攻击代码,利用漏洞远程获取BMC上的根访问权限。( Supermicro此后发布了修复部分或全部漏洞的BMC固件更新。)

他们接着列出恶意黑客在利用漏洞时可能发动的攻击场景列表。它们包括:

破坏管理网络上的主机系统或其他机器安装窃听远程管理会话以嗅探密码的BMC间谍软件,甚至安装物理服务器控制台为攻击者提供后门访问的持久BMC rootkit,这些后门访问仍然隐藏在IPMI日志中。为了充分利用IPMI僵尸网络的大量网络带宽,科学家们检测到了10多万个暴露在互联网上的IMPI设备,其中4万个使用了他们详细测试的超微型BMC。

据他们报道,我们保守地估计,对我们在公共IP地址上观察到的所有4万台基于ATEN的超微型IPMI设备进行成功的并行攻击需要不到一个小时的时间。

不管是无能还是无能,这份文件都列出了一系列的辩护理由任何地方管理服务器的人都需要阅读。建议包括更新IPMI固件,更改默认密码,永远不要在公共IP地址上运行IPMI设备。这最后一个警告被广泛重复——通常是受到漏洞威胁的服务器制造商。科学家 Internet扫描提供了令人信服的证据,证明这个建议经常被忽视,所以不幸的是,它值得经常重复。

但是研究人员也让原始设备制造商( OEMs )的工程师承担任务,除其他外,建造默认开启IPMI功能的设备。研究人员接着对开发IPMI设备的人和他们进入的服务器说了一些尖刻的话。

鉴于IPMI所提供的功能,我们在广泛使用的实施中发现的教科书漏洞表明我们要么无能,要么对客户漠不关心安全,该文件指出。虽然一些原始设备制造商建议了一些有用的预防措施,例如专用管理网络,但这不应成为将责任转移到因IPMI固件漏洞而不听从此建议并遭受损害的用户身上的借口。我们认为,妥善保护IPMI将需要原始设备制造商采取深入防御的方法,将强化实施与鼓励用户妥善隔离设备结合起来。