# 3299/tcp - Pentesting SAProuter

Reading time: 8 minutes

PORT     STATE SERVICE    VERSION
3299/tcp open  saprouter?

यह https://blog.rapid7.com/2014/01/09/piercing-saprouter-with-metasploit/ से पोस्ट का सारांश है।

Metasploit के साथ SAProuter पैठ की समझ

SAProuter SAP सिस्टम के लिए एक रिवर्स प्रॉक्सी के रूप में कार्य करता है, मुख्य रूप से इंटरनेट और आंतरिक SAP नेटवर्क के बीच पहुंच को नियंत्रित करने के लिए। इसे आमतौर पर संगठनात्मक फ़ायरवॉल के माध्यम से TCP पोर्ट 3299 को अनुमति देकर इंटरनेट पर उजागर किया जाता है। यह सेटअप SAProuter को पैठ परीक्षण के लिए एक आकर्षक लक्ष्य बनाता है क्योंकि यह उच्च-मूल्य वाले आंतरिक नेटवर्क के लिए एक गेटवे के रूप में कार्य कर सकता है।

स्कैनिंग और जानकारी एकत्र करना

शुरुआत में, यह पहचानने के लिए एक स्कैन किया जाता है कि क्या दिए गए IP पर SAP राउटर चल रहा है, sap_service_discovery मॉड्यूल का उपयोग करके। यह कदम SAP राउटर की उपस्थिति और इसके खुले पोर्ट की स्थापना के लिए महत्वपूर्ण है।

msf> use auxiliary/scanner/sap/sap_service_discovery
msf auxiliary(sap_service_discovery) > set RHOSTS 1.2.3.101
msf auxiliary(sap_service_discovery) > run

खोज के बाद, sap_router_info_request मॉड्यूल के साथ SAP राउटर की कॉन्फ़िगरेशन में आगे की जांच की जाती है ताकि आंतरिक नेटवर्क विवरण को संभावित रूप से उजागर किया जा सके।

msf auxiliary(sap_router_info_request) > use auxiliary/scanner/sap/sap_router_info_request
msf auxiliary(sap_router_info_request) > set RHOSTS 1.2.3.101
msf auxiliary(sap_router_info_request) > run

आंतरिक सेवाओं की गणना

प्राप्त आंतरिक नेटवर्क अंतर्दृष्टियों के साथ, sap_router_portscanner मॉड्यूल का उपयोग आंतरिक होस्ट और सेवाओं की जांच करने के लिए SAProuter के माध्यम से किया जाता है, जिससे आंतरिक नेटवर्क और सेवा कॉन्फ़िगरेशन की गहरी समझ प्राप्त होती है।

msf auxiliary(sap_router_portscanner) > set INSTANCES 00-50
msf auxiliary(sap_router_portscanner) > set PORTS 32NN

इस मॉड्यूल की विशिष्ट SAP उदाहरणों और पोर्ट्स को लक्षित करने में लचीलापन इसे विस्तृत आंतरिक नेटवर्क अन्वेषण के लिए एक प्रभावी उपकरण बनाता है।

उन्नत एन्यूमरेशन और ACL मैपिंग

अधिक स्कैनिंग यह प्रकट कर सकती है कि SAProuter पर एक्सेस कंट्रोल सूचियाँ (ACLs) कैसे कॉन्फ़िगर की गई हैं, यह विवरण देते हुए कि कौन सी कनेक्शन अनुमत या अवरुद्ध हैं। यह जानकारी सुरक्षा नीतियों और संभावित कमजोरियों को समझने में महत्वपूर्ण है।

msf auxiliary(sap_router_portscanner) > set MODE TCP
msf auxiliary(sap_router_portscanner) > set PORTS 80,32NN

आंतरिक होस्ट की ब्लाइंड एन्यूमरेशन

उन परिदृश्यों में जहां SAProuter से सीधे जानकारी सीमित है, ब्लाइंड एन्यूमरेशन जैसी तकनीकों का उपयोग किया जा सकता है। यह दृष्टिकोण आंतरिक होस्टनामों के अस्तित्व का अनुमान लगाने और सत्यापित करने का प्रयास करता है, संभावित लक्ष्यों को सीधे IP पते के बिना प्रकट करता है।

पेनिट्रेशन टेस्टिंग के लिए जानकारी का लाभ उठाना

नेटवर्क का मानचित्रण करने और सुलभ सेवाओं की पहचान करने के बाद, पेनिट्रेशन टेस्टर्स Metasploit की प्रॉक्सी क्षमताओं का उपयोग SAProuter के माध्यम से आगे की खोज और आंतरिक SAP सेवाओं के शोषण के लिए कर सकते हैं।

msf auxiliary(sap_hostctrl_getcomputersystem) > set Proxies sapni:1.2.3.101:3299
msf auxiliary(sap_hostctrl_getcomputersystem) > set RHOSTS 192.168.1.18
msf auxiliary(sap_hostctrl_getcomputersystem) > run

निष्कर्ष

यह दृष्टिकोण सुरक्षित SAProuter कॉन्फ़िगरेशन के महत्व को रेखांकित करता है और लक्षित पेनटेस्टिंग के माध्यम से आंतरिक नेटवर्क तक पहुँचने की संभावनाओं को उजागर करता है। SAP राउटर को सही तरीके से सुरक्षित करना और नेटवर्क सुरक्षा आर्किटेक्चर में उनकी भूमिका को समझना अनधिकृत पहुँच के खिलाफ सुरक्षा के लिए महत्वपूर्ण है।

Metasploit मॉड्यूल और उनके उपयोग के बारे में अधिक विस्तृत जानकारी के लिए, Rapid7's database पर जाएं।

हाल की कमजोरियाँ (2022-2025)

CVE-2022-27668 – अनुचित पहुँच नियंत्रण ➜ दूरस्थ प्रशासनिक कमांड निष्पादन

जून 2022 में SAP ने सुरक्षा नोट 3158375 जारी किया, जो SAProuter (सभी कर्नेल ≥ 7.22) में एक महत्वपूर्ण दोष (CVSS 9.8) को संबोधित करता है। एक अनधिकृत हमलावर अनुमति देने वाले saprouttab प्रविष्टियों का दुरुपयोग करके प्रशासनिक पैकेट (जैसे shutdown, trace-level, connection-kill) को दूरस्थ होस्ट से भेज सकता है, भले ही राउटर को -X दूरस्थ-प्रशासन विकल्प के बिना शुरू किया गया हो।

यह समस्या इस संभावना के कारण उत्पन्न होती है कि राउटर के अपने लूपबैक इंटरफेस के लिए एक सुरंग बनाई जा सकती है, जो निर्दिष्ट पते 0.0.0.0 को लक्षित करती है। एक बार सुरंग स्थापित हो जाने पर, हमलावर स्थानीय-होस्ट विशेषाधिकार प्राप्त कर लेता है और कोई भी प्रशासनिक कमांड चला सकता है।

व्यावहारिक शोषण को pysap ढांचे के साथ पुन: उत्पन्न किया जा सकता है:

# 1. Build a loopback tunnel through the vulnerable SAProuter
python router_portfw.py -d <ROUTER_IP> -p 3299 \
-t 0.0.0.0    -r 3299 \
-a 127.0.0.1  -l 3299 -v

# 2. Send an admin packet (here: stop the remote router)
python router_admin.py -s -d 127.0.0.1 -p 3299

प्रभावित संस्करण

• स्टैंड-अलोन SAProuter 7.22 / 7.53
• कर्नेल 7.49, 7.77, 7.81, 7.85–7.88 (शामिल KRNL64NUC/UC)

फिक्स / शमन

1. SAP नोट 3158375 के साथ प्रदान किए गए पैच को लागू करें।
2. saprouttab में P और S लाइनों से वाइल्डकार्ड (*) लक्ष्यों को हटा दें।
3. सुनिश्चित करें कि राउटर बिना -X विकल्प के शुरू किया गया है और प्रत्यक्ष रूप से इंटरनेट के लिए उजागर नहीं है।

अपडेटेड टूलिंग & ट्रिक्स

• pysap – सक्रिय रूप से बनाए रखा जाता है और कस्टम NI/Router पैकेट बनाने, ACLs को फज़ करने या CVE-2022-27668 शोषण को स्वचालित करने के लिए router_portfw.py, router_admin.py & router_trace.py प्रदान करता है।
• Nmap – कस्टम SAProuter प्रॉब जोड़कर सेवा पहचान का विस्तार करें:

Probe TCP SAProuter q|\x00\x00\x00\x00|
ports 3299
match saprouter m|SAProuter ([\d.]+)| p/SAProuter/ v/$1/

NSE स्क्रिप्टों के साथ या --script=banner के साथ मिलाकर बैनर स्ट्रिंग (SAProuter <ver> on '<host>') लीक करने वाले संस्करणों की तेजी से पहचान करें।

• Metasploit – ऊपर दिखाए गए सहायक मॉड्यूल pysap के साथ बनाए गए SOCKS या NI प्रॉक्सी के माध्यम से अभी भी काम करते हैं, जिससे पूर्ण फ्रेमवर्क एकीकरण सक्षम होता है जब राउटर प्रत्यक्ष पहुंच को ब्लॉक करता है।

हार्डनिंग & डिटेक्शन चेकलिस्ट

• परिधीय फ़ायरवॉल पर पोर्ट 3299/TCP को फ़िल्टर करें – केवल विश्वसनीय SAP समर्थन नेटवर्क से ट्रैफ़िक की अनुमति दें।
• SAProuter को पूर्ण रूप से पैच रखें; saprouter -v के साथ सत्यापित करें और नवीनतम कर्नेल पैच स्तर की तुलना करें।
• saprouttab में कठोर, होस्ट-विशिष्ट प्रविष्टियों का उपयोग करें; * वाइल्डकार्ड से बचें और मनमाने होस्ट या पोर्ट को लक्षित करने वाले P/S नियमों को अस्वीकार करें।
• सेवा को -S <secudir> + SNC के साथ शुरू करें ताकि एन्क्रिप्शन और आपसी प्रमाणीकरण को लागू किया जा सके।
• दूरस्थ प्रशासन (-X) को अक्षम करें और, यदि संभव हो, तो आवश्यक ट्रैफ़िक के लिए बाहरी रिवर्स प्रॉक्सी का उपयोग करते हुए श्रोता को 127.0.0.1 पर बाइंड करें।
• संदिग्ध ROUTER_ADM पैकेट या 0.0.0.0 के लिए अप्रत्याशित NI_ROUTE अनुरोधों के लिए dev_rout लॉग की निगरानी करें।

संदर्भ

• https://www.rapid7.com/blog/post/2014/01/09/piercing-saprouter-with-metasploit/
• https://sec-consult.com/vulnerability-lab/advisory/improper-access-control-in-sap-saprouter/

Shodan

• port:3299 !HTTP Network packet too big