网络打印机被利用（阅读：被黑）打印反犹太文件。怎么修？

Question

我不确定是否应该在此处或在security.stackexchange.com上询问此问题...

在复活节长周末，我们的一个小办公室发生了网络故障，使用一台旧的 HP 打印机打印了一些非常令人反感的反犹太文件。这似乎已经发生了一些西方文化在世界各地的大学。

无论如何......我读到它实际上是大多数联网打印机的一个非常基本的安全漏洞。与 TCP 端口 9100 和 Internet 访问有关。我没能找到很多关于如何的细节的信息，因为每个人似乎都太关心为什么了。

对于受影响的办公室来说，网络设置非常简单。它有 4 台个人电脑、2 台联网打印机、一个 8 端口交换机和一个运行 ADSL2+ 连接的住宅调制解调器/路由器（具有静态互联网 IP 和非常简单的配置）。
是调制解调器/路由器或打印机的弱点吗？

我从未真正将打印机视为需要配置的安全风险，因此为了保护该办公室的网络，我想了解打印机是如何被利用的。如何停止或阻止漏洞利用？并在我们其他更大的办公室中检查或测试漏洞（或正确的漏洞块）？

Answer 1

这种攻击对大学的影响不成比例，因为由于历史原因，许多大学的大部分或全部网络都使用公共 IPv4 地址，并且出于学术原因，很少或没有入口（或出口！）过滤。因此，可以从 Internet 上的任何地方直接访问大学网络上的许多个人设备。

在您的特定情况下，一个具有 ADSL 连接和家庭/SOHO 路由器和静态 IP 地址的小型办公室，很可能办公室中的某个人明确地将 TCP 端口 9100 从 Internet 转发到打印机。（默认情况下，因为 NAT 正在使用，传入流量无处可去，除非有一些规定将其引导到某处。）要修复此问题，您只需删除端口转发规则。

在具有适当入口防火墙的大型办公室中，您通常不会在边界处对该端口设置任何允许规则，除非您需要人们能够通过您的 VPN 进行打印，VPN 连接可能除外。

要保护打印机/打印服务器本身，请使用其内置的允许列表/访问控制列表来指定允许打印到打印机的 IP 地址范围，并拒绝所有其他 IP 地址。（链接的文档还包含保护打印机/打印服务器的其他建议，您也应该对其进行评估。）

Answer 2

扩展迈克尔汉普顿的回答。是的，这很可能是端口转发规则。但通常这不是有人会故意暴露的。但是，它可以由 UPnP 设备添加。最有可能通过在您的住宅级路由器上启用 UPnP。

由于企业级路由器通常不支持 UPnP，并且如果支持，默认情况下会被禁用，因此大学的打印机可能因其他原因被黑客入侵。在这些情况下，大学很大，拥有大量公共 IP 和非常复杂的网络，有时还有多个 IT 部门和众多子学校和校园。并且不要忘记喜欢闲逛的学生黑客。

但是，回到我的 UPnP 理论，它可能适合您的情况。

不太可能有人故意在您的路由器上打开端口 9100 以使您的打印机向全世界开放。并非不可能，但有点不太可能。

以下是有关更有可能的罪魁祸首 UPnP 的一些信息：

研究人员称，UPnP 漏洞使数千万联网设备面临远程攻击

这就是我们在 NAT 路由器之后仍然入侵数千台 IP 摄像机的原因。

更多信息：利用通用即插即用协议、不安全的安全摄像头和网络打印机 这些文章已有几年的历史，但仍然具有相关性。UPnP 只是简单地损坏，不太可能修复。禁用它。

第二篇文章第一段的最后一部分真的总结了：

最后，您的网络打印机正在等待被黑客入侵。

最后，如果可能，请遵循 Michael Hampton 的建议并添加访问控制列表。