运营商收回公网 IP 的原因之一

[hicdn]

一个藏在我们身边的巨型僵尸网络 Pink https://blog.netlab.360.com/pinkbot/

国内某厂商的光猫被僵尸网络控制 160 万设备

厂商名字可以通过搜关键词 “光猫 TCP 17998” 获得

几个要点

• Pinkbot 是我们六年以来观测到最大的僵尸网络，其攻击目标主要是 mips 光猫设备，在 360Netlab 的独立测量中，总感染量超过 160 万，其中 96% 位于中国。
• 受感染的 IP 主要集中在中国 (96%)，遍及全国 33 个省。受影响的运营商主要涉及中国联通（>80%）和中国电信（>15%）。
• 受攻击的漏洞源于一个 TCP-17998 的管控服务，该服务是对运营商提供的一个管理家用光猫的接口。由于服务配置和实现的失误，向公网开放了访问权限，攻击者通过它获取了相关光猫的控制权。

[lockiee]

主动开通公网 ip 的都是会使用的吧,这样感染了之后关闭对外的访问渠道,使用者不是知道了么

[InDom]

@lockiee 是关闭了特定服务 特定端口的对外访问渠道，并不会影响绝大多数用户的正常使用。

从文章末尾看，关闭了三个服务，都是普通用户没权限做到的。

TCP-17998 管控服务、tr069 升级通道、LAN 侧的 TCP-80 HTTP 服务（光猫的 Web 管理界面）

[mxT52CRuqR6o5]

好可怕

[VxJiahua]

以前看的有人通过入侵光猫宽带来刷钻的，俗称肉鸡

[feitxue]

我只知道之前有人通过 tr069 通道可以实现同城高速局域网连接.

[geekvcn]

让我解惑的不是回收 IPv4 的原因，而是为什么去年开始裸连 raw github 网页访问多刷几次还能正常一次，命令行访问一直不正常。

[jiezhi]

[运营商收回公网 IP 的原因之一] 这是楼主自己的猜测吧？

今天还打电话给电信客服要求分配公网 IP ，不知后续如何。

[wwbfred]

如何避免老公出轨？答：把老公 JB 剁了。

[Tink]

如果开通公网 ip ，然后光猫只做光转换的话是不是就不会有这个问题了，相当于 17998 端口开到了软路由上

[ochatokori]

@InDom #2 关闭 LAN 侧的 web 管理界面应该很容易被用户发现吧

[cyrbuzz]

@wwbfred

已笑死。

[InDom]

@ochatokori 就算被用户发现，作为用户也没有任何办法，只能维修或更换，估计很少有人会在没使用问题的情况下得到运营商的支持。

其次，绝大多数用户并不会访问光猫，包括你，想一下你有多久没有访问过光猫了，你的猫可能也是 160 万之一。

甚至还是 最后那是万分之一。

[azuis]

问题是管理端口本来就不应该开到 WAN 侧....

[leavic]

根本目的是：你们不再有独立向世界广播的权利了。

[xu2060]

真可怕

[CallMeReznov]

感觉这是一个综合原因决定的.不光是这个原因.
一方面管控加强, 安全因素, 加上 4 退 6 进.等等综合原因导致的.

当然了,回收珍贵的 IPV4 拿来创造更好的经济效益我感觉才是主要原因.


另外光猫都是 PON 口上联,tr069 管理,讲道理应该不会出现公网管理端口的操作啊

[acbot]

这个解释太牵强很难成立，感觉就是当初封家宽 80 443 端口的一个翻版。第一，既然都知道公网了，很大一部分都是桥接路由拨号上网了，根本就没有光猫 WAN 口开放问题。 第二，这么大的漏洞光猫厂家不升级？就算厂家不升级运营商防火墙直接就可以统一 reject 。目前我个人认为回收 v4 公网最正能量的解释是提高 v6 流量变相促进 v6 网络部署，其他的解释都是扯蛋。比如：说啥 v4 地址枯竭使用完啥的，v4 地址少不假，但 v4 地址在各运营商，各地区之间分配上也不能说没有问题，国内 v4 地址总数 3.44 亿 按运营商划分 电信一家就分了 1.25 亿，按地域划分 北京地区就占了 25% 广东 9% 其他大部分省份就只有 1-3%，目前国内宽带总用户 4.97 亿 绝大多数是 NAT

[ZRS]

这不是运营商及其供应商自己傻逼的问题吗

[cathedrel]

又是该死的蛙为

[ochatokori]

@InDom #12 我光猫是桥接的不用担心…，不经常访问光猫管理页倒是