Spoofing SSDP and UPnP Devices with EvilSSDP
Last updated
Last updated
Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)
Consulta https://www.hackingarticles.in/evil-ssdp-spoofing-the-ssdp-and-upnp-devices/ para más información.
SSDP (Protocolo Simple de Descubrimiento de Servicios) se utiliza para la publicidad y descubrimiento de servicios de red, operando en el puerto UDP 1900 sin necesidad de configuraciones DHCP o DNS. Es fundamental en la arquitectura UPnP (Universal Plug and Play), facilitando la interacción sin problemas entre dispositivos en red como PCs, impresoras y dispositivos móviles. La red de cero configuración de UPnP soporta el descubrimiento de dispositivos, la asignación de direcciones IP y la publicidad de servicios.
La arquitectura UPnP se compone de seis capas: direccionamiento, descubrimiento, descripción, control, eventos y presentación. Inicialmente, los dispositivos intentan obtener una dirección IP o autoasignarse una (AutoIP). La fase de descubrimiento involucra el SSDP, con dispositivos enviando activamente solicitudes M-SEARCH o transmitiendo pasivamente mensajes NOTIFY para anunciar servicios. La capa de control, vital para la interacción cliente-dispositivo, utiliza mensajes SOAP para la ejecución de comandos basados en descripciones de dispositivos en archivos XML.
IGD (Dispositivo de Puerta de Enlace a Internet) facilita mapeos de puertos temporales en configuraciones NAT, permitiendo la aceptación de comandos a través de puntos de control SOAP abiertos a pesar de las restricciones estándar de la interfaz WAN. Herramientas como Miranda ayudan en el descubrimiento de servicios UPnP y la ejecución de comandos. Umap expone comandos UPnP accesibles desde WAN, mientras que repositorios como upnp-arsenal ofrecen una variedad de herramientas UPnP. Evil SSDP se especializa en phishing a través de dispositivos UPnP falsificados, albergando plantillas para imitar servicios legítimos.
Evil SSDP crea efectivamente dispositivos UPnP falsos convincentes, manipulando a los usuarios para que interactúen con servicios aparentemente auténticos. Los usuarios, engañados por la apariencia genuina, pueden proporcionar información sensible como credenciales. La versatilidad de la herramienta se extiende a varias plantillas, imitando servicios como escáneres, Office365 e incluso bóvedas de contraseñas, capitalizando la confianza del usuario y la visibilidad de la red. Después de capturar credenciales, los atacantes pueden redirigir a las víctimas a URL designadas, manteniendo la credibilidad del engaño.
Para combatir estas amenazas, se recomiendan las siguientes medidas:
Deshabilitar UPnP en dispositivos cuando no sea necesario.
Educar a los usuarios sobre phishing y seguridad de la red.
Monitorear el tráfico de la red en busca de datos sensibles no cifrados.
En esencia, aunque UPnP ofrece conveniencia y fluidez en la red, también abre puertas a posibles explotaciones. La conciencia y la defensa proactiva son clave para garantizar la integridad de la red.
Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)
