周二，美國著名的上市互聯(lián)網(wǎng)安全公司FireEye(火眼)旗下的Mandiant services team(麥迪安服務(wù)團隊)發(fā)布了一份針對思科路由器前所未有的超級后門入侵事件調(diào)查報告。

　　此消息剛一爆出，就在我們業(yè)內(nèi)中炸了鍋。我們都知道思科是全球最著名的企業(yè)級網(wǎng)絡(luò)設(shè)備提供商，大部分公司的核心網(wǎng)絡(luò)設(shè)備使用的是思科的設(shè)備。如果一個企業(yè)的核心網(wǎng)關(guān)設(shè)備被黑，企業(yè)就沒有任何安全可言，于是我們公司內(nèi)的安全部門啟動緊急預(yù)案，開始排查公司的思科路由器是否有可能被入侵。

　　大家都知道斯諾登爆料的美國“棱鏡門”事件，美國政府對民眾的上網(wǎng)行為進(jìn)行監(jiān)控。

　　這里采用的監(jiān)控技術(shù)，就是對網(wǎng)絡(luò)運營商的核心網(wǎng)絡(luò)設(shè)備進(jìn)行操控，對經(jīng)過核心網(wǎng)絡(luò)設(shè)備的所有網(wǎng)絡(luò)數(shù)據(jù)鏡像存儲后分析。普通用戶上網(wǎng)過程中所有數(shù)據(jù)都會通過互聯(lián)網(wǎng)運營商的路由器，如果互聯(lián)網(wǎng)運營商的核心路由設(shè)備被黑，用戶上網(wǎng)過程中的任何隱私數(shù)據(jù)就有可能被黑客竊取。

　　這次的超級后門事件被火眼公司命名為“SYNful Knock”，SYNful是一個生造的單詞，我斗膽將其譯為“原罪敲門”事件。我通讀完FireEye(火眼)的安全報告后，略覺驚悚。

　　思科路由器的系統(tǒng)IOS(和蘋果一個名字)從未對外正式開源(我這里都簡稱為IOS)，這個系統(tǒng)就像一個黑盒子一樣，是完全閉源的。早年在黑客圈中曾放出利用思科系統(tǒng)支持的TCL腳本制作的路由器后門技術(shù)，引起黑客們一片膜拜：

　　這種后門技術(shù)通常是用弱口令進(jìn)入思科路由器執(zhí)行一段腳本，監(jiān)聽一個非常明顯的后門端口，連接后門端口對思科路由器進(jìn)行控制，這種入侵手法可以被明顯的發(fā)現(xiàn)。至此以后就并沒有太高端的思科設(shè)備后門技術(shù)，而這次居然是外界無法發(fā)現(xiàn)的系統(tǒng)級后門!

　　因為這次超級后門事件除了火眼的報告，并沒有太多的消息來源，所以我通過自己的經(jīng)驗對其進(jìn)行一些技術(shù)分析：

　　這次的后門是系統(tǒng)級別的，換一個角度敘述可以讓大家更容易理解。大家可以假想一下思科的設(shè)備有內(nèi)置后門，而火眼的報告分析顯示，黑客是通過隱蔽的報文遠(yuǎn)程控制思科路由器，要達(dá)到這種后門的技術(shù)必須對思科的IOS進(jìn)行改寫，更改有多種途徑，比如：

　　一、黑客擁有思科操作系統(tǒng)的源代碼，對源碼進(jìn)行重新編譯，然后通過物理入侵手段給思科路由器刷新操作系統(tǒng)。

　　要達(dá)到這種效果，設(shè)備從原廠發(fā)出，如果不是原廠的內(nèi)置后門，那么只有可能在各種中間分銷途徑加入后門，設(shè)備一旦進(jìn)入企業(yè)后果不敢想象。

　　二、在思科路由器的IOS系統(tǒng)的升級鏡像中加入了惡意代碼。

　　路由器設(shè)備采購到企業(yè)后，一般工程師都會升級思科路由器的IOS系統(tǒng)，剛剛8月思科的官網(wǎng)曾發(fā)布一個安全公告，我摘了關(guān)鍵的一句話給大家分析解釋，英文是“Cisco IOS ROMMON (IOS bootstrap) with a malicious ROMMON image”，簡單說就是思科發(fā)現(xiàn)有少量的升級鏡像被加入了惡意代碼，所以如果工程師升級思科路由器，可能升級是一個被人做手腳的系統(tǒng)鏡像。這個惡意鏡像的制作技術(shù)非常高端，畢竟IOS是閉源的。

　　除了這2個途徑，想要對思路路由器進(jìn)行無感知的遠(yuǎn)程植入后門，目前看可能性比較小，因為這種系統(tǒng)級別的篡改需要重啟思科路由器，線上業(yè)務(wù)如果重啟關(guān)鍵的網(wǎng)絡(luò)核心設(shè)備是會驚動網(wǎng)絡(luò)工程師的，當(dāng)然也不排除這種微小的可能，有超級黑客能夠遠(yuǎn)程對思科的系統(tǒng)進(jìn)行無感知篡改。

　　如何防范呢?

　　這樣的黑客入侵行為，雖然普通的安全網(wǎng)絡(luò)工程師無法發(fā)覺，目前市面上也沒有安全工具能夠發(fā)現(xiàn)。但據(jù)說火眼的內(nèi)部報告有“原罪敲門”的入侵檢測方法，現(xiàn)已經(jīng)在網(wǎng)絡(luò)上公布流傳中，排查后門的方法大家可以搜索這份報告參考。如無法有效排查，我推薦使用可靠的鏡像重裝思科設(shè)備的操作系統(tǒng)。

　　希望本文能夠引起大家對這次事件的重視，警惕“原罪敲門”。