• Публичный IP-адрес вашего маршрутизатора: 194.67.210.45 и его имя ih813280.dedic.myihor.ru
• Посмотрите, что Shodan знает об этом IP-адресе здесь: shodan.io/host/194.67.210.45. Not Found - это хорошо, открытые порты - это плохо. Подробнее об этом см. На странице Shodan.
• Посмотрите, что Censys.io знает о вашем общедоступном IP-адресе, здесь: censys.io/ipv4/194.67.210.45. Лучший ответ - «нет общедоступных услуг»
• Щиты Стива Гибсона ВВЕРХ! - старомодный, но вкусный. Скрытность - лучший статус.Закрыто нормально. Открыть - плохие новости. Начните с теста «Общие порты», который проверяет порты: 0, 21, 22, 23, 25, 79, 80, 110, 113, 119, 135, 139, 143, 389, 443, 445 1002, 1024, 1025, 1026. , 1027, 1028, 1029, 1030, 1720 и 5000. Затем перейдите к «Все порты обслуживания», который проверяет все порты от нуля до 1055 и запускается примерно за 70 секунд. Если все в порядке, зеленым цветом будет указано «Пройдено», а статус каждого порта будет «скрытный». Проходной балл также означает, что маршрутизатор не отвечает на команды Ping через порт WAN.Идеальный отчет выглядит так. (Альтернативный URL)
• Speed ​​Guide Security Scan проверяет 85 портов, но не сообщает, какие именно порты проверяет. Если вы зарегистрируетесь и создадите аккаунт, то он сканирует 359 портов. Нажмите маленькую синюю кнопку «ПУСК», чтобы запустить сканирование. Предоставляется только сводный отчет, что-то вроде «Все 85 просканированных портов на вашем адресе отфильтрованы (54) или открыты | отфильтрованы (31)» В общем, практически бесполезен.
• Сканер TCP-портов на ipvoid.com сканирует любые общедоступные IP-адреса.Если вы выберете общие порты, он сканирует: 21, 22, 23, 25, 53, 80, 110, 111, 135, 139, 143, 389, 443, 445, 587, 1025, 1080, 1433, 3306, 3389, 5900, 6001, 6379 и 8080. Он использует терминологию nmap, поэтому фильтрация означает скрытность.
Средство проверки и сканирования сетевых портов
• на сайте ipfingerprints.com позволяет тестировать произвольный диапазон портов как для TCP, так и для UDP. И вы можете протестировать любое онлайн-устройство, а не только маршрутизатор, к которому вы подключены. Он также имеет некоторые дополнительные функции. Он основан на nmap и использует терминологию nmap, а не простой английский язык.Предлагают переводчик с nmap на английский.
• Онлайн-сканер портов Nmap на сайте HackerTarget.com - это бесплатная демонстрация платного сервиса. Дайте ему IP-адрес или доменное имя, и он сканирует 10 портов: 21 (FTP), 22 (SSH), 23 Telnet, 25 Mail (SMTP), 80 Web (HTTP), 110 Mail (POP3), 143 Mail (IMAP). , 443 SSL / TLS (HTTPS), 445 Microsoft (SMB) и 3389 Remote (RDP). Он использует nmap с включенным определением версии. Платная услуга составляет 120 долларов в год.
• Сайт pentest-tools.com предлагает два сканера портов на базе nmap.Один для UDP, другой для TCP. Он сканирует 100 общих портов, но не говорит, что они являются. У меня это никогда не срабатывало, потому что он всегда пытается пинговать цель, а мой маршрутизатор блокирует пинги. Вы должны ввести IP-адрес для сканирования и сайт не сообщает ваш текущий IP-адрес. Это бесплатная демоверсия для платной услуги, которая стоит 45 долларов в месяц. Трудно оправдать цену, когда демка плохая.
• Страница сканеров портов на WhatsMyIP.org может сканировать один порт или четыре разные группы общих портов.Они не говорят, будет ли сканирование TCP, UDP или и то, и другое. Считается, что у порта, который не отвечает, истекло время ожидания. Это не делает различия между закрытыми и скрытыми портами, что делает его относительно бесполезным.
• Охранная компания Incapsula предложила использовать www.yougetsignal.com/ tools / open-ports / от Krk Ouimet. Но он сканирует только один порт на время, ничего не говорит о TCP и UDP и не делает различий между закрытыми и скрытыми портами.
• Опция Speed ​​Guide Security Scan позволяет сканировать любой порт на наличие TCP, UDP или оба.Или можно сделать ссылку типа
  speedguide.net/ portscan.php? port = 999 & tcp = 1 & udp = 1, который сканирует порт 999 как на TCP, так и на UDP.
• Щиты ВВЕРХ! также можно протестировать отдельный порт, функция называется portprobe. Однако графического интерфейса нет, вы должны сделать свой собственный URL. В этом примере grc.com/x/portprobe=999 тестируется порт 999, и его изменение для тестирования другого порта не требует пояснений. Многие примеры в следующем разделе делают именно это. Гибсон не рассматривает TCP против UDP, поэтому я должен предположить, что тест проводится только по TCP.
• Mullvad VPN Port Checker сканирует один порт на вашем маршрутизаторе за раз. Результатом будет либо «Порт доступен», либо «Порт недоступен».

Порты TCP для тестирования сверху

• Январь 2020 г .: Хакер утекает пароли для более чем 500 000 серверов, маршрутизаторов и устройств IoT. Утечка паролей касалась Telnet на TCP-порту 23. Тестовый TCP-порт 23.
• В августе 2019 года Netlab 360 обнаружил Маршрутизаторы Fibrehome на Филиппинах и в Таиланде заражены вредоносным ПО, установившим на маршрутизатор SSH-сервер.Сервер SSH прослушивает TCP-порт 23455. Протестируйте TCP-порт 23455.
• Если UPnP предоставил Интернету доступ к Chromecast, Smart TV или Google Home, будьте осторожны. Плохие парни захватывают эти незащищенные устройства, чтобы воспроизвести видео, призывающее жертв подписаться на канал YouTube. По словам Каталина Чимпану, злоумышленники используют порты TCP 8008, 8009 и 8443, которые обычно используются для функций управления. Контрольная работа TCP-порт 8008 и TCP-порт 8009 и TCP-порт 8443.
• В описании ошибки в некоторых маршрутизаторах Cisco, проведенной RedTeam Pentesting в январе 2019 года, отмечается, что маршрутизаторы «открывают веб-сервер для WAN через TCP-порт 8007."Если у вас есть маршрутизатор Cisco, проверьте порт TCP 8007.
• В январском отчете Trend Micro за январь 2019 года отмечалось, что вариант Mirai Yowai прослушивает порт 6 на предмет команд с сервера управления и контроля. Yowai заражает маршрутизаторы и другие устройства несколькими способами: уязвимость ThinkPHP, CVE-2014-8361, ошибка Linksys, CVE-2018-10561 и ошибка CCTV-DVR. Проверить TCP-порт 6.
• По данным охранной фирмы SEC Consult, видеоустройства Xiongmai предлагают высокопривилегированный доступ к оболочке через TCP-порты 23 (Telnet) и 9527 (консольный интерфейс, подобный Telnet) с использованием жестко заданных учетных данных.Многие из вышеперечисленных тестеров брандмауэра включают порт 23, но 9527 вообще не используется. Контрольная работа TCP-порт 9527.
• Удаленный рабочий стол Windows использует порт 3389, и злоумышленники часто его проверяют. В сентябре 2018 года об этом предупредило ФБР: ФБР предупреждает компании о том, что хакеры все чаще злоупотребляют RDP-соединениями. В марте 2018 года Rendition Infosec сообщила, что в городе Атланта есть компьютеры с открытым портом 3389 в Интернете. Правительство Атланты было скомпрометировано в апреле 2017 года - задолго до атаки вымогателей на прошлой неделе.Контрольная работа TCP-порт 3389.
• Взлом роутеров MikroTik повсюду на странице Router News. Многие атаки нацелены на Winbox, приложение Windows, которое управляет маршрутизатором. Winbox общается с маршрутизатором через порт 8291. Любой, у кого есть маршрутизатор MikroTik, должен убедиться, что порт 8291 не открыт для Интернета. TCP-порт 8291. В сентябре 2018 года одна атака на маршрутизаторы MikroTik превратила их в прокси-серверы SOCKS 4 с использованием нестандартного TCP-порта 4153. Протестируйте TCP-порт 4153.
• В октябре и ноябре 2018 года мы узнали, что публично открытые (что подразумевает неправильную настройку) Docker Services были атакованы с целью криптовалюта.Точкой входа являются порты TCP 2375 или 2376, каждый из которых по умолчанию обеспечивает незашифрованную и неаутентифицированную связь. Ой. Протестируйте TCP-порт 2375 и Проверить TCP-порт 2376.
• В июле 2018 года недостаток в конструкции FTP в маршрутизаторах Netgear привел к утечке военных документов. Никакого взлома не потребовалось, владельцы многих роутеров Netgear не меняют пароли по умолчанию. Статьи Netgear KB о настройке FTP постыдно игнорируют проблемы безопасности. Информация о взломе находится на странице Router News под июлем 2018 года.Тестовый TCP-порт 21.
• Ботнет Satori постоянно меняется. Мы уже видели (ниже), что он атакует порты 37215 и 52869. В июне 2018 года Netlab 360 обнаружил новый вариант, который сканирует порты 80 и 8000. Протестируйте TCP-порт 80 и проверьте TCP-порт 8000.
• Вредоносная программа / ботнет VPNFilter атакует маршрутизаторы Mikrotik через TCP-порт 2000 (май 2018 г.). Даже если у вас нет маршрутизатора Mikrotik, ботнет огромен и опасен, поэтому проверьте TCP-порт 2000.
• В конце сентября 2018 г. компания Talos опубликовала дополнительную информацию о вредоносной программе маршрутизатора VPNfilter.Он может создать прокси-сервер SOCKS5 VPN на TCP-порту 5380. Итак, тестовый порт 5380
• В мае 2018 года FortiGuard Labs сообщила, что ботнет WICKED пытается подключиться к порту 8080 и, в случае успеха, пытается использовать уязвимость в маршрутизаторах Netgear DGN1000 и DGN2200 v1 с октября 2017 года. Протестируйте TCP-порт 8080.
• Ботнет WICKED также пытается подключиться к порту 8443 и в случае успеха пытается использовать уязвимость в маршрутизаторах Netgear R7000 и R6400 от марта 2017 года. Протестируйте порт TCP 8443.
• Март 2018 г .: На устройствах с клиентом Cisco Smart Install по умолчанию открыт TCP-порт 4786.Он не должен быть доступен для доступа в Интернет, но этот порт открыт более чем на 8 миллионах устройств (подробнее см. В разделе «Ошибки маршрутизатора», раздел март 2018 г. Маршрутизаторы
• MikroTik по умолчанию оставляют TCP-порт 2000 открытым. В январе 2018 года он использовался ботнетами в DDoS-атаках. Порт используется для тестирования пропускной способности, и компания рекомендует отключить его в производственной среде. Протестируйте порт TCP 2000.
• , декабрь 2017 г .: Если у вас есть маршрутизатор / шлюз Huawei, проверьте порт 37215.В ноябре 2015 г. возникла проблема. Кроме того, в марте 2017 года в статье RedPiranha говорилось: «Этот порт был обнаружен как наиболее уязвимый аспект маршрутизатора Huawei, поскольку он вообще не проверяет ни один из отправленных ему пакетов данных». Затем, в декабре 2017 года, сеть 360 предупредила о ботнете Satori, распространяющемся на порты 37215 и 52869. Об этом также писала Fortinet. Чтобы проверить порт 52869, щелкните здесь.
• , сентябрь 2017 г .: Если вашим интернет-провайдером является AT&T, проверьте, является ли порт 49152 открыт в соответствии с Ошибками в модемах Arris Распространяется AT&T Vulnerable to Trivial Attacks со стороны охранной фирмы Nomotion.Также проверьте, есть ли SSH-порт 22 открыт.
• июля 2017 г .: Если вашим интернет-провайдером является AT&T, проверьте, является ли порт 61001 открыто. Согласно Nomotion, в разделе «Знакомство с модемом AT&T U-verse 5268AC DSL» порт открыт только извне сети AT&T U-verse.
• March 2017: Если у вас есть видеокамера, то вы можете прочитать о недостатках тысяч моделей. Что касается маршрутизаторов, один из недостатков позволяет любому смотреть камеру. Всем, кто подключается к TCP-порту 10554 то есть.Тестовый порт 10554. (Подробнее)
• Согласно SANS, некоторые устройства IoT используют порт 2323 в качестве альтернативного порта для Telnet. Ботнет Mirai сканирует устройства IoT на портах 23 и 2323. Протестируйте порт TCP 2323.
• Порт 7547 используется протоколом удаленного управления, известным как TR-069 или CWMP (протокол управления WAN оборудованием в помещении клиента). Некоторые интернет-провайдеры используют этот протокол для перенастройки вашего маршрутизатора / шлюза / модема. В ноябре 2016 года протокол был использован для атаки DSL-модемов.Устройство зараженный в результате этой атаки, вредоносная программа закроет порт 7547, чтобы предотвратить установку новой прошивки. В апреле 2017 года Wordfence сообщил, что тысячи взломанных домашних маршрутизаторов атакуют сайты WordPress, и они объяснил взлом роутера открытым портом 7547. Они сказали, что Shodan сообщает о более чем 41 миллионе устройств, прослушивающих порт 7547. Итак, тестовый порт 7547.
• Некоторые маршрутизаторы D-Link открывают порт 8181 для неизвестной службы, у которой была ошибка переполнения буфера, которая позволяла удаленным неаутентифицированным злоумышленникам запускать команды на маршрутизаторе.D-Link сообщила, что исправила это в прошивке, выпущенной в августе 2016 года. Тем не менее, не помешает протестировать TCP-порт 8181.
• В декабре 2016 года Cybereason обнаружила недостатки во многих IP-камерах. Они сделали онлайн-тестер, чтобы люди проверяли, уязвимы ли их камеры. На тестовой странице указано, что уязвимые камеры используют порт 81. Тест TCP-порт 81.
• Принтеры могут использовать несколько портов. Порт 9100 используется для вывода RAW с TCP, Порт 631 используется для Протокол Интернет-печати (IPP) с TCP и UDP, а также Порт 515 используется для Демон построчного принтера с TCP.В феврале 2017 года хакер, заявивший, что он хочет повысить осведомленность о рисках, связанных с тем, что принтеры остаются открытыми для доступа в Интернет, заставил тысячи принтеров рассылать ложные сообщения. Это не первая подобная атака, и она была основана на исследовании, опубликованном в январе 2017 года. Подробнее здесь, здесь и здесь.
  Тестовый порт 9100
  Тестовый порт 631 для TCP, и Тест 631 для UDP
  Тестовый порт 515
• Порт 5555. Иногда он используется интернет-провайдерами для протокола TR-069. В июле 2018 г. обнаружил новый эксплойт, использующий порт 5555.В работе использовалась утилита командной строки под названием Android Debug Bridge (ADB). См. Статью Использование открытых портов ADB для распространения возможного варианта Satori на устройствах Android. В марте 2017 года компания Trend Micro обнаружила вредоносное ПО для Linux, которое также злоупотребляет этим портом. Тестовый порт 5555.
• Порт 55555. Он используется Центром решений Lenovo и, как выяснилось, иметь безопасность уязвимостей в декабре 2015 года. Подробнее об этом здесь и здесь. Тестовый порт 55555.
• Порт 7779. Используется Dell System Detect, входящим в состав Dell. Foundation Services и в декабре 2015 года была обнаружена проблема безопасности.Подробнее здесь и здесь. Тестовый порт 7779.
• Если вы не используете L2TP VPN, порт 1701 не должен быть открыт. Попробуй это.
• Ошибка в некоторых маршрутизаторах Linksys оставляла порт 8083 открытым, даже если в их веб-интерфейсе было указано, что удаленное управление отключено. Вы можете проверить уязвимый маршрутизатор, перейдя по адресу http://1.2.3.4:8083/, где 1.2.3.4 - ваш общедоступный IP-адрес. Уязвимые маршрутизаторы введут вас в свою консоль администратора, даже не запрашивая пароль.
• Порт 32764 стал печально известным в январе.2014 г., когда Элои Вандербекен обнаружил, что его Linksys WAG 200G использовал его как бэкдор. Другие маршрутизаторы Linksys, Netgear и Cisco сделал то же самое. См. Мой блог на эту тему: Как и зачем проверять порт 32764 на вашем маршрутизаторе. Но потом все стало еще хуже, когда в апреле 2014 года «исправление» просто лучше скрывало бэкдор. Если на вашем маршрутизаторе установлена ​​версия 2 бэкдора, вы не сможете его проверить. Но мы можем протестировать версию 1 внешне с помощью portprobe и внутренне, указав веб-браузер в HTTP://1.2.3.4:32764, где 1.2.3.4 - это IP-адрес маршрутизатора на стороне LAN.
• SNMP обычно использует UDP, но в дикой природе было замечено использование TCP. Так что, черт возьми, тест порт 161 и порт 162.
• Порт 389 LDAP использует как TCP, так и UDP. В разделе UDP ниже приведены ссылки для тестирования каждого из них.

UDP-порты для тестирования сверху

Обратите внимание, что этот список довольно неполный .

• В июне 2019 года было обнаружено, что UDP-порт 3283 используется в DDoS-атаках.См. Раздел «Призыв к ARMS»: DDoS-атаки с отражением / усилением UDP в службе удаленного управления Apple. Проверить порт UDP 3283.
• В марте 2018 года Cisco выпустила исправление для ошибки проверки границ в подсистеме качества обслуживания IOS / IOS XE. Брешь может быть атакована через UDP-порт 18999. Тестовый UDP-порт 18999.
• Согласно данным, злоумышленники теперь злоупотребляют открытыми серверами LDAP для усиления DDoS-атак (Люциан Константин, 26 октября 2016 г.) LDAP без установления соединения (CLDAP), вариант LDAP (облегченный протокол доступа к каталогам), который использует UDP, используется в DDoS-атаках.LDAP используется в корпоративных сетях, и «его использование непосредственно в Интернете считается рискованным и крайне не рекомендуется». Тем не менее, SHODAN сообщает, что его используют более 140 000 систем. Протестируйте порт 389 TCP и порт 389 UDP.
• NAT-PMP, как и UPnP, позволяет устройству, находящемуся в локальной сети, пробить брешь в межсетевом экране маршрутизатора. Он был разработан Apple, который использует его для «Назад к моему Mac». Он прослушивает UDP-порт 5351. В 2014 году было обнаружено, что более миллиона устройств, подключенных к Интернету, открыли этот порт на стороне WAN.Ой. Некоторые компании, выпускающие устройства с этим недостатком, были Belkin, Netgear, Technicolor, Ubiquiti и ZyXEL. Фонд Shadowserver Foundation проверяет это ежедневно. 11 ноября 2016 года они обнаружили 1,2 миллиона устройств, использующих NAT-PMP. Подробнее здесь и здесь. Тестовый порт 5351.
• Служба Asus infosvr прослушивает UDP-порт 9999. У него есть история ошибок (см. Здесь, здесь, здесь и здесь. Предполагается, что это проблема только на стороне локальной сети (см. Раздел ниже о тестировании порта на стороне локальной сети), все равно не повредит чтобы протестировать его и на стороне WAN, если у вас есть маршрутизатор Asus.Тестовый порт 9999.
• Если вы не используете SNMP, а большинство людей не использует, то UDP-порты 161 и 162 должны быть закрыты. Устройство, на котором запущен SNMP, может быть использовано в атаках с усилением SNMP, типе DDoS-атаки. Shadowserver Foundation сканирует Интернет на предмет устройств, которые отвечают на команды SNMP через порт UDP 161. В середине ноября 2016 года они обнаружили 3 490 417 таких устройств. Тестовый порт 161 и Тестовый порт 162.
• Порт 1233. Приложение Toshiba Service Station получает команды через этот порт и в декабре 2015 года было обнаружено, что это проблема безопасности.Подробнее здесь. Протестируйте
• Если вы не используете L2TP VPN, порт 1701 не должен быть открыт. Не уверен, что это использует UDP, лучше перестраховаться. Тестовый порт 1701
• Ошибка в маршрутизаторах Netis и Netcore могла быть использована на порте 53413. Подробнее здесь и здесь. С августа 2014 г. Согласно сканированию, проведенному Shadowserver Foundation в середине ноября 2016 года, имеется 20 320 уязвимых роутеры онлайн, подавляющее большинство которых находится в Китае. Маршрутизаторы Netis продаются в США.Тестовый порт 53413
• В сентябре 2016 года в маршрутизаторе D-Link был обнаружен бэкдор. Отправка «HELODBG» на UDP-порт 39889 заставит маршрутизатор запустить Telnet, позволяя злоумышленнику войти в систему без пароль. Тестовый порт 39889
• Порт 631 используется для протокола Интернет-печати с TCP и UDP. Подробнее об этом в разделе выше, посвященном TCP-портам
.

Тестеры портов UDP

Ссылки выше, которые тестируют отдельные порты UDP, выглядят следующим образом:
www.speedguide.net/ portscan.php? udp = 1 & port = 999
В этом примере будет тестироваться порт 999 (игнорировать пробел в URL-адресе). SpeedGuide также может протестировать отдельные порты на своей странице проверки безопасности, где вы можете ввести любой номер порта и выбрать проверку UDP и / или TCP.

Другой веб-сайт, предлагающий тесты UDP-портов, - это страница UDP Port Scan with Nmap на PentTest-Tools.com. Он может тестировать диапазон портов UDP, список портов UDP или отдельные порты.

Еще один сайт - сканер портов UDP на ipvoid.com. Он может сканировать любой общедоступный IP-адрес, но вам необходимо решить CAPTCH для каждого запроса. Если вы выберете общие порты, он сканирует: 53, 68, 69, 123, 137, 161, 389, 636, 1900, 5353 и 11211. Он использует терминологию nmap.

Тестеры UPnP (основные изменения: 30 ноября 2018 г.) верх

У UPnP есть две основные проблемы безопасности: то, что он делает в локальной сети по своей задумке, и не допускает доступа к Интернету.

На стороне LAN UPnP опасен, потому что он позволяет вычислительным устройствам (обычно устройствам IoT) пробить брешь в брандмауэре маршрутизатора.Это подвергает устройства доступу в Интернет, где может быть нарушена их низкая безопасность, например пароли по умолчанию. Устройства на стороне локальной сети могут делать гораздо больше с точки зрения настройки маршрутизатора, за которым они находятся, но пробивание брандмауэра является классической проблемой.

UPnP на стороне WAN / Internet маршрутизатора - совсем другая проблема. UPnP никогда не предназначался для публикации в Интернете. У протокола вообще нет безопасности. Ни паролей, ни шифрования, ни проверки личности, ничего. Он был разработан для использования между доверенными устройствами.Еще в январе 2013 года Rapid7 обнаружил более 80 миллионов устройств, использующих UPnP в Интернете. Такого не должно было быть. Я писал об этом в то время: проверьте свой маршрутизатор сейчас, прежде чем это сделает Лекс Лютор.

И многие из этих 80 миллионов устройств использовали программное обеспечение UPnP с ошибками при загрузке. Вы не можете придумать это.

Так что просто отключить UPnP? Не так быстро. Хотя, безусловно, безопаснее отключить UPnP, это не может быть идеальным решением. Во-первых, есть вероятность, что маршрутизатор может отключить UPnP только на стороне LAN, поскольку изначально он не должен был быть доступен для Интернета.Кроме того, у маршрутизаторов есть свои ошибки, и отключение UPnP может вообще ничего не сделать. Еще в 2013 году, когда Стив Гибсон создал свой тест UPnP (см. Ниже), он обнаружил примеры обеих проблем, сказав: «Мы подтвердили, что есть некоторые маршрутизаторы, которые оставляют его снаружи, даже если он выключен внутри, а некоторые не работают. на самом деле не выключаю его внутри ". Очевидно, нам нужно протестировать UPnP.

UPnP относительно сложно протестировать, так как протокол состоит из двух компонентов. Первый компонент позволяет устройству с поддержкой UPnP обнаруживать другие устройства с поддержкой UPnP.Второй - это продолжающийся диалог между устройствами с поддержкой UPnP. Первоначальное обнаружение устройств с поддержкой UPnP выполняется с помощью протокола SSDP, который прослушивает порт UDP 1900. Фактическая связь между устройствами UPnP осуществляется через HTTP на различных портах TCP. Первоначально SSDP сообщает клиентам, какой TCP-порт использовать для последующих HTTP-разговоров. Согласно Rapid7, номер порта HTTP TCP зависит от производителя и часто выбирается случайным образом. Тьфу. Что касается неслучайных портов, они говорят, что некоторые маршрутизаторы Broadcom, D-Link и TP-Link используют TCP-порт 5431, некоторые устройства используют порт 80, а третьи используют 2869.

В апреле 2018 года Akamai обнаружила, что более 4,8 миллиона устройств уязвимы для запросов UDP SSDP (часть UDP в UPnP). Из них примерно 765 000 также раскрыли свои уязвимые реализации TCP.

ОНЛАЙН-ТЕСТЕРЫ UPnP

• В июне 2017 года Марек Майковски и Бен Кокс из Cloudflare описали обнаруженную им амплификационную атаку, в которой использовался SSDP-компонент UDP: Stupidly Simple DDoS Protocol (SSDP) генерирует DDoS-атаки со скоростью 100 Гбит / с. В ответ Кокс создал онлайн-тестер UPnP на сайте badupnp.benjojo.co.uk. Хороший результат: «Все хорошо! Похоже, вы не слушаете UPnP в глобальной сети»
• Стив Гибсон добавил тестирование UPnP в свой ShieldsUP! в январе 2013 года. На первой странице нажмите серую кнопку «Продолжить». На следующей странице нажмите желто-оранжевую кнопку для «Теста мгновенного воздействия UPnP GRC». Хороший результат - когда ваш роутер не отвечает.
• Нажмите здесь, чтобы проверить, открыт ли UDP-порт 1900 на вашем маршрутизаторе. Хороший результат - это статус "отфильтровано?" и сообщение: «Наше сканирование безопасности не обнаружило открытых портов.«
• По данным команды Netlab в Qihoo 360, ботнет BCMUPnP_Hunter, который впервые появился в сентябре 2018 года, постоянно сканирует маршрутизаторы с открытым интерфейсом UPnP на порту 5431. По состоянию на 7 ноября 2018 года ботнет состоит из 100 000 маршрутизаторов. Rapid7 сообщил, что некоторые маршрутизаторы Broadcom, D-Link и TP-Link используют TCP-порт 5431 для UPnP. Протестируйте TCP-порт 5431. Хороший результат - "Stealth"
.
• В ноябре 2018 года Akamai сообщил об атаке на маршрутизатор, которую они назвали EternalSilence, которая является одной из многих атак на маршрутизаторы, которые открывают доступ к UPnP в Интернете.Частично злоумышленники нацелены на устройства, использующие TCP-порт 2048 для UPnP. Протестируйте TCP-порт 2048. Хороший результат - "Stealth"
.
• Rapid7 сообщил, что некоторые маршрутизаторы используют TCP-порт 2869 для UPnP. Протестируйте TCP-порт 2869. Хороший результат - "Stealth"
.
• Похоже, что Huawei использует порт 37215 для UPnP, и они выставили его в Интернет. Протестируйте TCP-порт 37215. Хороший результат - "Stealth"
.
• UPnP должен использовать UDP только на порту 1900, но, учитывая массовые ошибки, сделанные с UPnP, также может повредить тестовый порт TCP 1900.Хороший результат - «Стелс»
.

Я все еще ищу тестер UPnP на стороне LAN. Одна из возможностей - это универсальный тестер Plug-and-Play для Windows от Ноэля Данжу.

Прекращено: Rapid7 раньше предлагал онлайн-проверку UPnP, но они прекратили ее. Rapid7 также прекратил выпуск своей устанавливаемой программы ScanNow, которая сканировала локальную сеть на предмет наличия устройств с поддержкой UPnP и сообщала, работают ли на устройствах версии программного обеспечения UPnP с ошибками. Это было полезно, чтобы убедиться, что ваш маршрутизатор также не отвечает на UPnP. на стороне LAN.Программа работала только в Windows и требовала 32-битных версий Java 6 или Java 7. Что касается того, почему они отказались от ScanNow, см. Уязвимость и устаревание ScanNow DLL Search Order.

Верхняя часть тестирования бокового порта LAN

TELNET: Отдельные боковые порты LAN можно протестировать с компьютера в LAN с помощью Telnet. Пользователи Windows 7 и 8.1 должны сначала установить клиент Telnet, используя: Панель управления -> Программы и компоненты -> нажмите «Включить или отключить функции Windows» в левом столбце -> Установите флажок для клиента Telnet -> Щелкните ОК.В OS X ....

Чтобы использовать telnet в Windows, откройте окно командной строки, введите "telnet ipaddress номер порта". Например: «telnet 192.168.1.1 80». С обеих сторон IP-адреса должны быть пробелы. Если порт закрыт, Windows будет жаловаться, что «не может открыть соединение с хостом через порт 80: соединение не удалось». Если порт открыт, ответы различаются, вы можете просто увидеть пустой экран. Вы также можете подключиться к компьютеру по Telnet по имени, например "telnetwhere.com 8080"

ID Serve: ID Serve - это небольшая портативная утилита идентификации сервера в Интернете для Windows, созданная Стивом Гибсоном.Он был написан в 2003 году и с тех пор не обновлялся. На начальном экране объясняется его назначение, а вкладка Server Query - это то место, где он выполняет свою работу. Вы можете запросить компьютер по имени (www.amazon.com) или по IP-адресу. По умолчанию используется порт 80, но вы можете указать другой порт, добавив двоеточие и номер порта после имени компьютера или IP-адреса (без пробелов). Если данные возвращаются из запроса, ID Serve отображает их все. Эти данные могут идентифицировать серверное программное обеспечение. Если данные не возвращаются, сообщение, по моему опыту, будет либо «Порт закрыт, поэтому наша попытка подключения была отклонена», либо «От машины и порта с этого IP-адреса не получено ответа.Устройство может быть в автономном режиме или порт подключения может быть скрыт ». ID Serve ограничен TCP (без UDP) и не поддерживает HTTPS.

ClientTest: ClientTest - еще одна небольшая портативная программа для Windows. Он от Джо из joeware.net и последний раз обновлялся в 2005 году. Вы указываете его на IP-адрес своего маршрутизатора, указываете номер порта и пытаетесь подключиться.

БРАУЗЕР: Вы также можете протестировать порт с помощью веб-браузера. Например, http://192.168.1.1:999 проверит TCP-порт 999 (конечно, изменит IP-адрес по мере необходимости для вашего роутера).Я не думаю, что браузер может тестировать порт UDP, он ограничен TCP.

NMAP: Эта команда проверяет порты UDP с 11 по 13 на устройстве с IP-адресом 1.2.3.4
nmap -sU -p 11-13 1.2.3.4

Информация о порте TCP / IP вверху

• Наиболее часто открытые порты для TCP и UDP от SpeedGuide.net
• Список номеров портов TCP и UDP в WikiPedia
• Мастер-файл назначения портов от Яны. Это огромный список, используйте функцию поиска, а не листайте его.
• Если у вас есть Synology NAS, см. Какие сетевые порты используются службами Synology?
• Пользователи Windows: сетевые порты, используемые ключевыми серверными продуктами Microsoft без даты
• Также от Microsoft, назначение портов для часто используемых служб, начиная с Windows 2000
• Порты, заблокированные Comcast: список заблокированных интернет-портов. По состоянию на сентябрь 2017 года они блокируют: TCP 0 отключен, TCP 25 в обоих направлениях, UDP 67 отключен, 135–139 в обоих направлениях для TCP и UDP, UDP 161 в обоих направлениях, TCP 445 вверх и вниз, UDP 520 вверх и вниз, UDP 547 вниз, TCP 1080 вниз и UDP 1900 в обоих направлениях.

HNAP Testing top

Протокол администрирования домашней сети - это протокол управления сетевым устройством, созданный еще в 2007 году. С HNAP возникают четыре проблемы. Во-первых, он имеет долгую историю реализации с ошибками. Он также может сообщить злоумышленникам технические подробности о маршрутизаторе, что облегчит им поиск подходящей уязвимости для атаки. Тот факт, что маршрутизатор поддерживает HNAP, может не отображаться в его административном интерфейсе. Хуже всего то, что HNAP часто нельзя отключить.Четыре удара, ты в аут.

Вы можете проверить, поддерживает ли маршрутизатор HNAP, набрав

http://1.2.3.4/HNAP1/

где 1.2.3.4 - IP-адрес вашего маршрутизатора. Конечно, у каждого маршрутизатора есть два IP-адреса: один на общедоступной стороне, а другой - на частной. Предлагаю протестировать на HNAP по каждому.

Вы можете узнать свой общедоступный IP-адрес на многих веб-сайтах, таких как ipchicken.com и checkip.dyndns.com. Информацию о LAN-стороне маршрутизатора см. В моем блоге за сентябрь 2013 г. Найдите IP-адрес вашего домашнего маршрутизатора.

Если HNAP включен, этот тест отображает основную информацию об устройстве вашего маршрутизатора в XML-файле. См. Образец вывода. Если это не удастся, будет ошибка определенного типа о том, что веб-страница не может быть отображена, возможно, ошибка 404 Not Found.

Если HNAP включен, попробуйте отключить его в административном интерфейсе маршрутизатора, а затем повторите попытку. Возможно, вы не сможете его выключить. Для получения дополнительной информации см. Страницу HNAP.

26 октября 2018 г .: в октябре 2018 г. компания Talos обнаружила несколько ошибок в маршрутизаторах Linksys серии E.Что не было раскрыто, так это простой способ для владельцев Linksys проверить, уязвимы ли их маршрутизаторы. По словам Джареда Риттла, обнаружившего недостатки, HNAP может помочь. Владельцы могут перейти по официальному URL-адресу HNAP (http://1.2.3.4/HNAP1/), чтобы увидеть текущую установленную версию прошивки (1.2.3.4 - это IP-адрес маршрутизатора на стороне LAN). Это имеет то преимущество, что не нужно знать пароль маршрутизатора. Для E1200, если версия микропрограммы 2.0.09 или ниже, маршрутизатор уязвим. Для E2500, если версия микропрограммы 3 или ниже.0,04, уязвима. Владельцы других маршрутизаторов Linksys серии E сами по себе.

URL-адреса, которые можно попробовать из вашей локальной сети

В этих примерах 1.2.3.4 представляет IP-адрес маршрутизатора на стороне LAN.

В июне 2020 года мы узнали, что 79 различных устройств Netgear имеют один и тот же недостаток. Плохой парень может узнать точную модель и прошивку маршрутизатора Netgear, используя URL-адрес вроде
. http://1.2.3.4/currentsetting.htm
и настройте эксплойт специально для этого маршрутизатора.Если у вас есть маршрутизатор Netgear, попробуйте этот URL. Если он возвращает информацию о вашем маршрутизаторе, поищите самую последнюю версию прошивки. Надеюсь, он будет выпущен после июня 2020 года. В то время, когда ошибка была обнародована (15 июня 2020 года), Netgear ничего не предпринял для исправления.

В октябре 2019 года мы узнали о 10 маршрутизаторах D-Link с критическими недостатками, которые не будут исправлены. Если у вас есть какой-либо из этих маршрутизаторов D-Link, не беспокойтесь о тестировании, просто приобретите новый маршрутизатор: DIR-655, DIR-866L, DIR-652, DHP-1565, DIR-855L, DAP-1533, DIR-862L. , DIR-615, DIR-835 и DIR-825.Для подтверждения у CERT есть веб-страница Proof of Concept, которая на минуту отключает уязвимый маршрутизатор D-Link от Интернета.

В январе 2019 года мы узнали о двух ошибках раскрытия информации в некоторых маршрутизаторах Cisco. Более подробная информация на странице ошибок. Если приведенный ниже URL-адрес показывает подробную информацию о вашем маршрутизаторе Cisco, это плохо. Его общедоступная / глобальная версия автоматически создается на странице Shodan.
http://1.2.3.4/cgi-in/config.exp
http://1.2.3.4/cgi-bin/export_debug_msg.ехр

Согласно описанию Скотта Хелме своего маршрутизатора BrightBox в 2014 году, попробуйте использовать указанный ниже URL-адрес, где 1.2.3.4 - это IP-адрес вашего маршрутизатора. Хороший результат не возвращает ничего, кроме сообщения об ошибке. Вот пример плохого результата.
http://1.2.3.4/cgi/ cgi_status.js

В декабре 2016 года Педро Рибейро сообщил о недостатках в маршрутизаторе Netgear WNR2000. Если у вас есть маршрутизатор Netgear, не помешает проверить утечку информации по указанному ниже URL. Это может привести к утечке серийного номера устройства.
http://1.2.3.4/ BRS_netgear_success.html

Многие маршрутизаторы Netgear имели бреши в безопасности в декабре 2016 г. (см. здесь и здесь для получения дополнительной информации). Приведенная ниже команда тестирует маршрутизатор Netgear. Если в результате появляется веб-страница со словом «Уязвимый», значит, маршрутизатор уязвим. Netgear выпустил исправления для всех уязвимых маршрутизаторов.
http://www.routerlogin.net / cgi-bin /; echo $ IFS'Vulnerable '

Эта проблема с портом 32764 описана выше в разделе «Порты TCP для тестирования».
http://1.2.3.4:32764

В сентябре 2017 года охранная фирма Embedi обнаружила открытый порт 19541 на многих маршрутизаторах D-Link. Он реагирует на такие команды, как перезагрузка маршрутизатора. Они не нашли способа закрыть порт. IP-адрес по умолчанию - 192.168.0.1, но маршрутизатор также может отвечать на dlinkrouter.local.
http://1.2.3.4:19541

Если в вашей локальной сети есть система видеонаблюдения, то, надеюсь, она не была произведена Xiongmai. В октябре 2018 года SEC Consult опубликовала большое разоблачение того, насколько небезопасны эти системы.Количество недостатков безопасности огромно. Эти устройства имеют ребрендинг по меньшей мере 100 других компаний, поэтому для обнаружения системы Xiongmai они предлагают просмотреть эту страницу из локальной сети.
http: // [cameraipaddress] /err.htm
Если страница существует и на ней есть ссылка на "Xiongmai", а затем прочтите статью SEC Consult. Они также предлагают другие предложения по идентификации оборудования Xiongmai. SEC Consult считает, что безопасность настолько плохая, что ее нельзя исправить, и что оборудование следует выбросить.

Тесты модема наверх

Модем - это компьютер, и в нем тоже могут быть ошибки. Скорее всего, это IP-адрес модема, например 192.168.100.1. Если ничего другого, вы должны попытаться получить доступ модем по его IP-адресу, чтобы вам была доступна техническая информация о вашем подключении к Интернету. Также вы хотите узнать, какая информация доступна без пароля некоторые модемы выставляют слишком много. Если есть пароль, то измените его со значения по умолчанию.

Согласно кабельному модему ARRIS, есть бэкдор в бэкдоре, попробуйте просмотреть страницу ниже.Ошибка при просмотре страницы - хороший результат. Посмотрите видео об этой хитрости.
http://192.168.100.1/cgi-bin/tech_support_cgi

В соответствии с ARRIS DG860A NVRAM Backup Password Disclosure, попробуйте просмотреть URL-адрес ниже. Опять же, ошибка - это хороший результат.
http://192.168.0.1/ router.data

Для большей безопасности маршрутизатор может блокировать доступ к модему путем блокировки его IP-адреса. В феврале 2015 года я писал в блоге о доступе к модему со стороны локальной сети маршрутизатора. Хотя прямой доступ к модему может быть полезным, он также может быть опасным.Видеть Поговорите со своим модемом и Использование маршрутизатора для блокировки модема. Некоторые маршрутизаторы могут это сделать, некоторые - нет. Облегченные маршрутизаторы, такие как потребительские ячеистые системы (eero, Google Wifi, Ubiquiti AmpliFi и т. Д.), Не могут этого сделать.

Отличный способ узнать, доступен ли модем со стороны локальной сети, - это проверить связь с ним, используя команду ниже. Надеюсь, команда не удалась.
ping 192.168.100.1
Если это возможно, проверьте доступ Telnet к модему с помощью приведенной ниже команды. Неудача - это надежный результат.
telnet 192.168.100.1
Другой хороший тест - это nmap. Самая простая команда -
nmap 192.168.100.1
Для более полного обзора LAN-стороны модема используйте следующую команду:
nmap -v -A -p 1-65535 192.168.100.1

IP Версия 6 Тестеры наверх

Я не знаю причин для включения IPv6 на домашнем маршрутизаторе. Если он включен на вашем, попробуйте отключить его, а затем убедитесь, что он действительно выключен. Все указанные ниже сайты доступны только через HTTP.

• Тест на наличие IP версии 6 на whatismyv6.com. Щелкните «Тест только IPv6» или перейдите непосредственно на ipv6.whatismyv6.com. Это хорошо, если ipv6.whatismyv6.com не загружается в вашем браузере.
• Другой сайт, ipv6leak.com, принадлежит London Trust Media, Inc. Я не знаю, кто они, но на этот сайт ссылается VPN-провайдер PrivateInternetAccess.
• test-ipv6.com принадлежит Джейсону Феслеру. Он предлагает множество технических деталей и имеет открытый исходный код (см. Github). Здесь есть точка зрения, что IP v6 - это хорошо, с чем я не согласен.
• Протестируйте подключение к IPv6 от cz.nic, авторское право принадлежит Джейсону Феслеру.
• Проверить IP-адрес от поставщика VPN. Perfect Privacy сообщает подробности подключения (IP-адрес, DNS-сервер, город и страну) для IPv4 и IPv6. Если он не найдет IPv6, появится сообщение: «Кажется, у вас нет возможности подключения по IPv6».
• С сайта Wireshark.org: Тест подключения IPv4 и IPv6

Android Apps top

• По заявлению компании, RouterCheck »- это первый потребительский инструмент для защиты домашнего маршрутизатора... RouterCheck - это как антивирусная система для вашего роутера. Он защищает ваш роутер от хакеров ... "Это приложение для Android. Я не пробовал.

WebRTC наверху

Технически WebRTC - это не маршрутизатор, а веб-браузер. Этот раздел здесь просто так. Любой, кто использует VPN, должен пройти эти тесты. WebRTC может раскрыть ваш общедоступный IP-адрес, который обычно скрыт VPN. Если вы используете более одного браузера, вам необходимо запустить эти тесты WebRTC в каждом из них.

Объявления He

connect.fm

% PDF-1.4 % 1 0 obj > endobj 9 0 объект > endobj 2 0 obj > endobj 3 0 obj > endobj 4 0 obj > поток Acrobat Distiller 7.0 (Windows) FrameMaker 7.22011-03-17T11: 53: 32Z1999-06-15T14: 05: 19Zapplication / pdf

Как проверить состояние сети повторителя сигнала (новый логотип)?

Данная статья применима к:

RE205 (V1), RE360 (FR) (V1 V2), RE450 (V2 V3), RE365 (FR) (V1), RE190 (V4), RE300 (V1), RE650 (V1), RE455 (V1), RE305 (V1 V3), RE200 (V2 V3 V4), RE365 (V1), RE500 (V1), RE360 (V1 V2), RE220 (V1 V2)

Вы можете просмотреть Интернет-статус вашего повторителя, чтобы проверить, успешно ли вы настроили расширенную сеть (и).

Выполните следующие шаги, здесь в качестве демонстрации используется RE305:

1. Войдите на веб-страницу управления расширителем диапазона. Если вы не знаете, как это сделать, см. Как войти на страницу веб-управления расширителя диапазона (новый логотип)?

2. Перейдите в Настройки > Статус , чтобы просмотреть статус вашего повторителя в Интернете.

Повторитель работает нормально.

Повторителю не удается подключиться к хост-сетям.Перейдите в Settings > Wireless > Connect to Network , чтобы проверить пароли хост-сетей.

Повторитель подключен к хост-сетям, но данные для передачи отсутствуют. Пожалуйста, проверьте интернет-соединение вашего роутера.

Повторитель неправильно подключен к маршрутизатору. Перейдите в Settings > Network и попробуйте настроить ваш повторитель на автоматическое получение IP-адреса.

Щелкните значок Интернет / Маршрутизатор / Повторитель диапазона / Клиенты, чтобы просмотреть соответствующую информацию.

Чтобы узнать больше о каждой функции и конфигурации, перейдите в Центр загрузок , чтобы загрузить руководство для вашего продукта.

, Cisco IOS XE Fuji 16.9.x (коммутаторы Catalyst 9400) - проверка состояния порта и подключения [Поддержка]

Чтобы проверить связь с другим устройством в сети с коммутатора, введите эту команду в обычном исполнительном и привилегированном режиме Режим EXEC:

  Switch #   хост ping    

Проверяет подключение к удаленному хосту.

В этом примере показано, как проверить связь с удаленным хостом из обычного исполнительного режима:

  Switch # ping labsparc Для прерывания введите escape-последовательность.Отправка 5 100-байтовых эхо-сообщений ICMP в 1.1.1.1, время ожидания составляет 2 секунды: !!!!! Уровень успеха составляет 100 процентов (5/5), мин. / Сред. / Макс. Туда и обратно = 1/1/1 мс Switch #  

  Switch # ping 72.16.10.3 Для прерывания введите escape-последовательность. Отправка 5 100-байтовых эхо-сообщений ICMP на 72.16.10.3, время ожидания составляет 2 секунды: !!!!! Уровень успеха составляет 100 процентов (5/5), мин. / Сред. / Макс. Туда и обратно = 1/1/1 мс Коммутатор №  

В этом примере показано, как использовать команду ping в привилегированном режиме EXEC, чтобы указать количество пакетов, размер пакета и период ожидания:

  Switch # ping Протокол [ip]: ip Целевой IP-адрес: 1.1.1.1 Количество повторов [5]: 10 Размер дейтаграммы [100]: 100 Тайм-аут в секундах [2]: 10 Расширенные команды [n]: n Диапазон размеров [n]: n Для прерывания введите escape-последовательность. Отправка 10 100-байтовых эхо-сообщений ICMP в 1.1.1.1, время ожидания составляет 10 секунд: !!!!!!!!!! Уровень успеха составляет 100 процентов (10/10), мин. / Сред. / Макс. Туда и обратно = 1/1/1 мс Переключатель № 

Смотрите также

• 
  Как настроить p2p камеру через роутер
• 
  Как узнать тип безопасности wifi
• 
  Как настроить роутер цифра 1
• 
  Как изменить пароль wifi сети
• 
  Как подключить кабель к роутеру
• 
  Как вывести изображение с macbook на телевизор по wifi
• 
  Как вспомнить пароль от wifi на телефоне
• 
  Как поменять пароль на wifi роутере теле 2
• 
  Виртуал роутер плюс как установить
• 
  Как подключить системный блок к интернету через wifi
• 
  Как проверить свой пароль на wifi