运营商收回公网 IP 的原因之一

[hicdn]

一个藏在我们身边的巨型僵尸网络 Pink https://blog.netlab.360.com/pinkbot/

国内某厂商的光猫被僵尸网络控制 160 万设备

厂商名字可以通过搜关键词 “光猫 TCP 17998” 获得

几个要点

• Pinkbot 是我们六年以来观测到最大的僵尸网络，其攻击目标主要是 mips 光猫设备，在 360Netlab 的独立测量中，总感染量超过 160 万，其中 96% 位于中国。
• 受感染的 IP 主要集中在中国 (96%)，遍及全国 33 个省。受影响的运营商主要涉及中国联通（>80%）和中国电信（>15%）。
• 受攻击的漏洞源于一个 TCP-17998 的管控服务，该服务是对运营商提供的一个管理家用光猫的接口。由于服务配置和实现的失误，向公网开放了访问权限，攻击者通过它获取了相关光猫的控制权。

过去几年曝光的几波摄像头僵尸网络、摄像头挖矿等，主要分布在国外，国内很少受影响，因为我国的设备都在 NAT 后面，无法通过公网直接访问、扫描。
等 IPV6 铺开后，NAT 形成的“防火墙”消失，各种联网设备被僵尸网络控制，到时候就是大型养蛊现场。

[lockiee]

主动开通公网 ip 的都是会使用的吧,这样感染了之后关闭对外的访问渠道,使用者不是知道了么

[InDom]

@lockiee 是关闭了特定服务 特定端口的对外访问渠道，并不会影响绝大多数用户的正常使用。

从文章末尾看，关闭了三个服务，都是普通用户没权限做到的。

TCP-17998 管控服务、tr069 升级通道、LAN 侧的 TCP-80 HTTP 服务（光猫的 Web 管理界面）

[mxT52CRuqR6o5]

好可怕

[VxJiahua]

以前看的有人通过入侵光猫宽带来刷钻的，俗称肉鸡

[feitxue]

我只知道之前有人通过 tr069 通道可以实现同城高速局域网连接.

[geekvcn]

让我解惑的不是回收 IPv4 的原因，而是为什么去年开始裸连 raw github 网页访问多刷几次还能正常一次，命令行访问一直不正常。

[jiezhi]

[运营商收回公网 IP 的原因之一] 这是楼主自己的猜测吧？

今天还打电话给电信客服要求分配公网 IP ，不知后续如何。

[wwbfred]

如何避免老公出轨？答：把老公 JB 剁了。

[Tink]

如果开通公网 ip ，然后光猫只做光转换的话是不是就不会有这个问题了，相当于 17998 端口开到了软路由上

[ochatokori]

@InDom #2 关闭 LAN 侧的 web 管理界面应该很容易被用户发现吧

[cyrbuzz]

@wwbfred

已笑死。

[InDom]

@ochatokori 就算被用户发现，作为用户也没有任何办法，只能维修或更换，估计很少有人会在没使用问题的情况下得到运营商的支持。

其次，绝大多数用户并不会访问光猫，包括你，想一下你有多久没有访问过光猫了，你的猫可能也是 160 万之一。

甚至还是 最后那是万分之一。

[azuis]

问题是管理端口本来就不应该开到 WAN 侧....

[leavic]

根本目的是：你们不再有独立向世界广播的权利了。

[xu2060]

真可怕

[CallMeReznov]

感觉这是一个综合原因决定的.不光是这个原因.
一方面管控加强, 安全因素, 加上 4 退 6 进.等等综合原因导致的.

当然了,回收珍贵的 IPV4 拿来创造更好的经济效益我感觉才是主要原因.


另外光猫都是 PON 口上联,tr069 管理,讲道理应该不会出现公网管理端口的操作啊

[acbot]

这个解释太牵强很难成立，感觉就是当初封家宽 80 443 端口的一个翻版。第一，既然都知道公网了，很大一部分都是桥接路由拨号上网了，根本就没有光猫 WAN 口开放问题。 第二，这么大的漏洞光猫厂家不升级？就算厂家不升级运营商防火墙直接就可以统一 reject 。目前我个人认为回收 v4 公网最正能量的解释是提高 v6 流量变相促进 v6 网络部署，其他的解释都是扯蛋。比如：说啥 v4 地址枯竭使用完啥的，v4 地址少不假，但 v4 地址在各运营商，各地区之间分配上也不能说没有问题，国内 v4 地址总数 3.44 亿 按运营商划分 电信一家就分了 1.25 亿，按地域划分 北京地区就占了 25% 广东 9% 其他大部分省份就只有 1-3%，目前国内宽带总用户 4.97 亿 绝大多数是 NAT

[ZRS]

这不是运营商及其供应商自己傻逼的问题吗

[cathedrel]

又是该死的蛙为

[ochatokori]

@InDom #12 我光猫是桥接的不用担心…，不经常访问光猫管理页倒是

[zu1k]

https://blog.netlab.360.com/pinkbot/

当初记录下来了运营商第三次尝试修复的方式，当初还感觉莫名其妙，现在看来就很清晰了

https://gist.github.com/zu1k/7120d1f71797153eb8c867bb09323eae  显示 Gist 代码 

#L9923

因为我早就关闭了各种外部管理和升级接口，所以实际没有受攻击影响。后面运营商发现没办法给我光猫在线更新，专门派人到户更新的

[q197]

@Tink 光猫还有多个拨号例如 iptv 、电话等，这些可能也有漏洞

[HAWCat]

@wwbfred 嘴？

[Bunnyranch]

现在有了 IPV6 是不是等于有公网了呢 至少我现在 bitcomet 是绿灯了..

[life4me]

牵强

[alect]

这个不可能是原因之一

[treo]

厂商名字都不敢提，马上就知道是哪家厂商了
新时代的 He Who Must Not Be Named

[AlexPUBLIC]

另看到一篇文章说：该端口主要是维护人员使用 APP 调试 ONU 使用，此端口在 ONU 上网链接（ internet ）为路由模式时会在 wan 侧打开，桥接模式下则不会打开
那么好了正常设计逻辑应该是 app 向中心发起请求，OLT 通过 tr069 下发，为啥还在 wan 侧开一个端口？可见这家厂商是故意为之，建议先把负责人抓起来，检查是否有境外势力背景

[hicdn]

还有 10 万设备在被僵尸网络控制，不知道有没有人发现自己光猫的 80 端口不能访问了。

[acess]

“厂商又尝试利用设备上 LAN 侧的 TCP-80 HTTP 服务来进行设备修复”

[acess]

于是这类光猫就算不出这档事也有 CSRF 后门呗

[swulling]

ipv6 路由器基本都默认开启防火墙功能，限制传入链接。这个没啥成本 too easy

[77ShiORi]

如果 IPv6 会“助长”这种僵尸网络的话，那这不应该是运营商收回公网 IP 而推行 IPv6 的原因之一。

[flynaj]

所以路由器拨号才是明智的选择。

[pungaagin]

@feitxue 以前刷到过，最近想试一下，教程找不着了

[feitxue]

@pungaagin base64
aHR0cHM6Ly9ub3RlLnZpYml0LmNjLzIwMjAvMDQvdHIwNjktd2lyZWd1YXJkLmh0bWw/bT0x

[czfy]

@treo 这么说来，哇为和肖战是一个性质的东西

[JamesR]

是不是华为的光猫设备？

[a1562619919]

@wwbfred 这样搞老公不出轨了，自己出轨了

[tankren]

光猫桥接就好啦

[glamor]

连这个厂商的名字都没法说出来,相比僵尸网络,我觉得这个厂商更加令人害怕.
这回别人打他,名字都报不出来,要是他利用后门打别人,画面太美我不敢想象😰

[elboble]

应该不是的，某省广电用 hgu ，因为 linux sdk 有 bug 被利用导致出口防火墙被挂了，两个地级市受影响。
众所周知，广电宽带从未有公网 ip

[qingmuhy0]

现在的路由器对于 v6 的防护墙默认都是不允许入站的吧，我记得我之前搞的时候只有 openwrt 对 v6 防火墙设置比较完善。

[LnTrx]

IPV6 铺开后“各种联网设备”也很难被扫描吧，本文提到的光猫倒是相对容易被发现的类型

[geniussoft]

完全的胡说八道。
运营商在乎互联网安全？

家用宽带上搞 HTTP 劫持、加广告，然后装傻不承认，愣说用户电脑有病毒的，就是三大运营商。
更有甚者，直接劫持购物返利，盆满钵满。

[Kowloon]

@elboble
北京歌华的 IP 虽然经过 NAT 三网不通，但是走 IX 直通各大 IDC 是没问题的。

[FlyingShark]

@geniussoft 你说得对，但其实很多小区的最后 500 米，实际上不是电信管的，签了协议帮电信做事

[adfs]

中兴和华为的光猫都中招了？