思科智能安装及其非“信息级”风险分析
作者：Jordan Drysdale
发布于2018年11月12日
tl;dr
思科智能安装（默认开启）对黑客极其有利，但对系统管理员却是隐患。
通常扫描工具（如Nessus）仅关注“严重”或“高危”漏洞，但此类风险常被忽略。
攻击利用方式
- 下载配置文件
- 上传配置文件
- 执行任意命令
检测方法
|
|
注意：此操作可能违反法律，请谨慎使用！
实际攻击示例
使用工具SIET（https://github.com/Sab0tag3d/SIET）获取配置：
|
|
成功下载配置文件后，攻击者可进一步利用：
- 思科Type 7密码可逆向破解
- 思科Type 5（MD5）密码可暴力破解
- 其他配置参数可能泄露敏感信息
- 攻击者甚至可上传恶意配置
风险规模
截至2018年11月7日，Shodan显示全球存在约78,377个开放此服务的设备。
防御建议
- 维护资产清单：全面掌握网络设备状态
- 禁用智能安装：执行命令
no vstack - 参考官方资源：
- 智能安装概念说明：https://www.cisco.com/c/en/us/td/docs/switches/lan/smart_install/configuration/guide/smart_install/concepts.html
- 安全风险公告：https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180409-smi
扩展学习
想深入了解此类技术？可关注作者Jordan与Kent的相关课程：
- 《企业防御实战》
- 《假设 compromised：基于Microsoft Sentinel的检测方法》
支持直播/点播学习！
本文涉及工具与方法仅限安全研究使用，请遵守法律法规。