20個位的密碼也被HACK!?!

Rank: 1

2^#

發表於 2013-6-9 10:37 | 只看該作者

謝謝告知, 在log上如何顯示?

角色

註冊會員

Rank: 2

3^#

發表於 2013-6-9 11:46 | 只看該作者

回復 1# 電腦超人

你什么时候改用Elastix呢？

Rank: 9 Rank: 9 Rank: 9

4^#

發表於 2013-6-9 14:57 | 只看該作者

謝謝告知, 在log上如何顯示?
SuiYan 發表於 2013-6-9 10:37

因為我會長開著console來mon著幾台asterisk...(幾台是因為在VM中有些是在測試的

)
今早發現那台有撥出的記錄...看看user應該是沒有用過的...
所以便去查了......

順帶一提...他們是會致電那些長途電話的...
這次是想致電到英國......

Rank: 9 Rank: 9 Rank: 9

5^#

發表於 2013-6-9 15:00 | 只看該作者

回復電腦超人

你什么时候改用Elastix呢？
角色發表於 2013-6-9 11:46

應該是最近半年左右吧...
不過也有用asterisk的...

elastix是在測試及調試中...
想試試會否在有GUI設定介面(web)下作設定會否比改config file的asterisk容易...(例如設定IVR/Fax......等等...)

ckleea

Rank: 1

6^#

發表於 2013-6-9 16:51 | 只看該作者

How about your console login password? Something wrong

SuiYan

Rank: 1

7^#

發表於 2013-6-9 17:45 | 只看該作者

其實. 我都想知asterisk隻個user內那個MAC設定有何作用.

遇到相同的MAC才assign那個6001內線給他, 不用密碼登入, 還是有其他作用. ??

Asterisk_MAC.jpg (130.53 KB)

Qnewbie

Rank: 1

8^#

發表於 2013-6-9 18:00 | 只看該作者

回復 7# SuiYan

http://www.elastix.org/dokuwiki/doku.php?id=phone_mac_address

RB750G, RB2011UAS-2HnD
IP01, A580IP, AT-610

SuiYan

Rank: 1

9^#

發表於 2013-6-9 18:46 | 只看該作者

即係實際係沒有用途.

Rank: 9 Rank: 9 Rank: 9

10^#

發表於 2013-6-9 20:06 | 只看該作者

另一台的Elastix好像也被改了admin密碼...
google了一下網上好像也有類似的事件出現...

用elastix的用家不要將web admin page暴露在外...
(Disable HTTP(80)/HTTPS(443)/SSH(22)...)

另外好像hack進後會在dialplan中加上"4."的outbound...
換句話說...只要拿到了user的密碼...再以4+號碼便能撥出...

PS:我是懶設定所以才放了80/443...只不過後面的trunk不能撥出IDD就是了...

alang

Rank: 1

11^#

發表於 2013-6-10 13:20 | 只看該作者

不管是 Asterisk-GUI, Elastix 或其他 Asterisk Distro. 只要有附帶 Web 管理介面的，都不建議直接開放給公眾網路存取，即使密碼強度很高也是一樣。

我之前有公佈一個 Elastix 內含某個模組的漏洞，儘管這個模組一般人不會去用，但這個漏洞卻會曝露許多系統的重要資訊。

OSSLab Blog :: VoIP & IT Consultant

浮雲1965

Rank: 1

12^#

發表於 2013-6-10 14:12 | 只看該作者

如果我在Elastix的iptable上限制了登入的ip呢？因為我還是需要遠端登入Elastix的Web page去做設置啊。

Rank: 9 Rank: 9 Rank: 9

13^#

發表於 2013-6-10 17:55 | 只看該作者

不管是 Asterisk-GUI, Elastix 或其他 Asterisk Distro. 只要有附帶 Web 管理介面的，都不建議直接開放給公 ...
alang 發表於 2013-6-10 13:20

正確來說這類控制到系統的也不應開放的...(是我懶罷了

)
要安全的話應該好像雯雯那樣全部也要VPN進去......(對嗎?)

alang兄你早前提過的漏洞不是2.2或以下嗎?
2.3或以上的也有影響?(難道是我記錯?)

浮雲1965

Rank: 1

14^#

發表於 2013-6-10 18:11 | 只看該作者

能不能加一个网卡，然后配置成内网的网段，用来做web管理？因为我内网网段，在外面是可以经openvpn进入的。

alang

Rank: 1

15^#

發表於 2013-6-10 18:16 | 只看該作者

VPN 是其中一種方式，還有 SSH tunel, 或 Elastix 的 SSL 私有憑證都可以作到有效的防護。

那個漏洞雖然是 v2.2，不過這突顯的是 Web 是一個非常不安全的存取方式，如果你有關注網路上的各種漏洞發佈消息，你會驚訝，大部份的網站程式如沒有定時作更新，其實有許多漏洞的。

還有許多 Elastix 的漏洞並非與 Elastix 核心有關，問題多數出在那些外掛的模組，而這些模組並不是由 Elastix 所開發維護的，希望網友們不要誤以為 Elastix 是個不安全的套件。

OSSLab Blog :: VoIP & IT Consultant