这年头真没有几个路由器是安全的，爱快也上漏洞头条了
关于爱快iKuai路由产品漏洞情况的通报近日，国家信息安全漏洞库（CNNVD）收到北京长亭科技有限公司关于企业级流路由产品“iKuai IK-G20SQL注入漏洞”，“iKuai小白SQL注入漏洞”和“iKuai小白命令注入漏洞”的情况报送。上述漏洞均由于未对用户输入进行有效验证，导致远程攻击者可利用该漏洞对使用受影响产品进行远程攻击。由于该漏洞影响范围较广，危害较为严重，根据CNNVD相关规定，已对此漏洞进行收录，并分配编号CNNVD-201608-553、CNNVD-201608-554、CNNVD-201608-555。一、漏洞简介“iKuai IK-G20”和“iKuai小白”是全讯汇聚网络科技公司的两款企业级流控路由产品。1. 企业级流控路由产品iKuaiIK-G20iKuai8_2.6.5_Build20160815及历史版中存在SQL注入漏洞（漏洞编号：CNNVD-201608-553）。该漏洞源于telnet服务登录验证脚本没有正确过滤用户提交的输入，攻击者可利用该漏洞获取管理员账户和密码，修改任意用户密码，对文件写入任意数据。2. 企业级路由产品iKuai小白1.3.1及历史版本中存在SQL注入漏洞（漏洞编号：CNNVD-201608-554）。攻击者可利用该漏洞注入任意SQL命令。3. 企业级路由产品iKuai小白1.3.1及历史版本中存在命令注入漏洞（漏洞编号：CNNVD-201608-555）。该漏洞源于程序没有充分过滤参数，攻击者可利用该漏洞注入任意命令。二、漏洞危害1、攻击者可通过以下两种方式对上述漏洞进行利用：（1）通过wifi或网线连接到路由器上，利用上述漏洞完全控制路由器。（2）通过一台被攻击者控制的连接到该路由器的计算机作为跳板进行攻击，同样可影响到连接该路由器的所有计算机。2、利用上述漏洞可造成以下危害：（1）可修改路由器访问限制，进行内网漫游攻击。（2）通过“iKuai IK-G20 SQL注入漏洞”，可获取并任意修改管理员账号密码，写入恶意木马文件，造成连接该路由器的其他计算机受到拒绝服务、钓鱼欺骗等攻击。（3）通过“iKuai小白SQL注入漏洞”和“iKuai小白命令注入漏洞”，可在无用户名和口令情况下登录，并可执行任何命令，造成连接该路由器的其他计算机受到拒绝服务、钓鱼欺骗等攻击。三、修复措施1、经CNNVD与厂商沟通确认，“iKuai IK-G20”和“iKuai小白”将于下一版本发布漏洞补丁，请可能受影响的用户及时关注信息。2、在此之前，使用上述设备的用户，经厂商确认可使用如下临时解决方案：（1）针对“iKuaiIK-G20”路由产品，可通过关闭telnet登录消除安全隐患。（2）修改iKuai路由产品密码为复杂口令，避免弱口令。本报告由北京长亭科技有限公司提供支持。CNNVD将继续跟踪上述漏洞的相关情况，及时发布相关信息。如有需要，可与CNNVD及时联系。http://www.cnnvd.org.cn/vulnerability/show/cv_id/2016080553http://www.cnnvd.org.cn/vulnerability/show/cv_id/2016080554http://www.cnnvd.org.cn/vulnerability/show/cv_id/2016080555文章来自：http://www.freebuf.com/news/114047.html
这种信息一般情况下第一个就是上乌云啊,前段时间说挂了,不知道恢复没有... 某论坛的Openwrt UBOOT等都有这情况 你试着在路由wan口前加一级带日志功能的路由拦截一下就知道了 刷了这些固件总会访问几个网址 只是不知道做什么用的 不知道有不有什么危害 反正免费的 周瑜打黄盖 还是用TP 腾达，固件精简， 这年头，没有绝对安全的路由
曝光不一定是坏事
人家曝你的光，至少说明你还有点名气
最怕的是，人家知道了你的漏洞，但是不曝光
页:
[1]