1. 项目缘起一次安全审计引发的“明文”惊魂那天下午我正在帮一个客户做网络设备的例行安全审计。客户用的是清一色的锐捷交换机规模不小几十台设备构成了他们办公和生产网络的核心。审计流程很常规登录设备show running-config把配置备份下来然后逐条检查看看有没有弱密码、默认配置、不必要的服务端口开着。当我用show run命令把其中一台核心交换机的配置完整显示在屏幕上准备复制粘贴到文本分析工具里时我的目光扫过几行熟悉的配置心里“咯噔”一下。我看到了类似这样的配置片段enable secret level 15 5 $1$mF$U4zrE6N7DqQwSxYv.123456 snmp-server community public ro snmp-server community private rw问题就出在这里。第一行的enable secret命令后面跟着的那一串以“5 $1$”开头的字符是锐捷交换机对特权密码enable password进行MD5加密后的密文这个没问题是安全的做法。但紧接着的两行snmp-server community配置后面的public和private这两个团体字community string竟然就这么赤裸裸地以明文形式躺在配置文件里这就像你把家门钥匙藏在花盆底下还在花盆上贴了张纸条写着“钥匙在花盆底下”一样。任何一个能通过合法或非法手段看到这份配置文件的人无论是通过console口、telnet、ssh登录后查看还是配置文件意外泄露都能立刻获取到这两个SNMP的“通行证”。这还不是最要命的。我下意识地又敲了一条命令show privilege。这条命令通常用来显示当前用户的权限级别。然而在锐捷交换机的某些版本里这条命令的输出可能会“附赠”一些额外信息——它有时会把所有级别比如1级和15级的密码无论是否加密都显示出来。如果管理员配置的是较弱的加密类型比如type 7一种可逆的简单加密或者在某些特定场景下这些密码甚至可能以可读的形式呈现。那一刻我后背有点发凉。这意味着我们自以为安全的设备管理可能从配置文件的层面就存在着巨大的安全隐患。密码和SNMP团体字这些最核心的认证凭据正在以明文或弱加密的形式“裸奔”。这次审计发现的不是某个高深的漏洞而是一个基础但普遍、且极易被忽视的配置安全问题。它促使我决定必须把这个问题彻底搞清楚并找到一套可靠的加固方案。2. 锐捷交换机密码体系与显示机制的深度拆解要解决“显示明文”的问题首先得弄明白锐捷交换机是怎么处理和管理密码的。这不仅仅是知道几条命令而是要理解其背后的逻辑和不同场景下的表现。2.1 密码的“三重门”配置、存储与显示锐捷交换机的密码主要涉及三个环节你输入配置命令的那一刻、密码在设备配置文件running-config/startup-config中的存储形态、以及你通过show命令查看时的显示形式。这三个环节的安全状态可能完全不同。当你使用enable password或username命令配置密码时可以通过0、5、7等参数指定加密方式。例如enable password 0 ruijie后面的“ruijie”是明文。这是最危险的方式密码在配置文件中就是enable password 0 ruijie。enable password 7 094F471A1A0A使用思科兼容的Type 7加密。这是一种简单的、可逆的加密算法安全性极低网上有大量现成的工具可以瞬间解密。在配置文件中存储为密文但安全性形同虚设。enable secret 5 $1$mF$U4zrE6N7DqQwSxYv.123456使用MD5哈希算法对应数字5。这是一种单向散列理论上无法从这串字符反推出原始密码。这是推荐的安全做法。关键在于你配置时使用的加密类型决定了它在配置文件中的存储形态。但“显示”环节可能独立于存储。show running-config命令默认会“忠实”地显示配置文件中的内容。如果你配的是Type 7密文它显示密文如果你配的是明文type 0它就直接显示明文。然而一些其他的show命令或者特定条件下的show run可能会触发设备进行“解释”或“还原”显示这就导致了风险。2.2show privilege命令的“越权”行为与风险场景show privilege命令的本意是显示当前用户的权限级别。但在部分锐捷交换机的老旧版本或特定软件版本中这条命令存在一个设计缺陷或“特性”它会尝试列出所有用户级别的密码信息。在某些情况下为了提供“完整信息”它可能会将经过Type 7加密的密码解密后显示或者直接显示未加密的密码。风险场景模拟一个低权限用户如level 1通过Telnet登录了设备。他执行了show privilege命令。命令输出中除了显示他当前是level 1可能还会附带一行类似The password for privilege level 15 is: admin123的信息。攻击者就此获得了最高权限level 15的密码。即使密码是用MD5加密的type 5show privilege通常不会显示明文但它仍然可能暴露密码的哈希值。虽然MD5不可逆但攻击者可以利用彩虹表进行碰撞攻击如果原始密码不够复杂仍有被破解的风险。这个命令因此成为了一个潜在的信息泄露点。在实际运维中应尽量避免非授权用户能执行此命令并升级到已修复此问题的软件版本。2.3 SNMP团体字被遗忘的“明文重灾区”如果说密码还可能有一层加密的外衣那么SNMP简单网络管理协议的团体字Community String在很多网络设备上长期以来就是“裸奔”的状态。团体字的作用类似于密码用于认证网络管理系统NMS对设备的访问权限。ro表示只读rw表示读写。在锐捷交换机上配置SNMP团体字的典型命令就是snmp-server community public ro snmp-server community private rw这里的public和private就是明文团体字。它们会原封不动地保存在配置文件中并通过show run命令直接显示。这带来了巨大的风险信息泄露任何能访问配置的人都能获得团体字。网络侦察攻击者利用public这样的默认或常见只读团体字可以扫描整个网段获取设备接口信息、路由表、ARP表等绘制网络拓扑。配置篡改如果读写rw团体字如private被获取攻击者可以直接修改设备配置例如关闭端口、篡改路由、添加后门账户等造成网络中断或沦陷。攻击跳板在某些情况下通过SNMP读写权限攻击者甚至能上传恶意文件或触发某些操作将交换机作为攻击内网其他系统的跳板。SNMP v1和v2c协议本身就不支持加密团体字在网络传输中也是明文。因此在设备配置文件中明文存储使得风险从“协议固有缺陷”延伸到了“静态配置泄露”危害加倍。3. 实战加固从配置源头扼杀明文泄露理解了风险所在加固就有了明确的方向。我们的目标是在配置、存储、显示三个环节都尽可能消除明文。3.1 密码安全配置最佳实践彻底弃用不安全的密码配置方式全面转向强哈希加密。禁用明文密码Type 0绝对不要使用enable password 0或username ... password 0这种形式。在全局配置模式下可以设置强制使用加密服务service password-encryption。但请注意这个命令默认只会将明文密码加密成脆弱的Type 7格式并不能自动生成MD5哈希。它主要防止你敲入的明文在配置中可见但防不住专业的解密工具。因此它不能替代下面第2步。强制使用MD5哈希Type 5对于特权密码enable password唯一正确的姿势是使用enable secret命令。这个命令会自动采用MD5或更安全的算法取决于平台和版本进行哈希处理。Ruijie(config)# enable secret YourStrongPassword2024执行后show run里看到的将会是一串MD5哈希值而不是你的密码。对于本地用户密码也应使用secret关键字而非password。Ruijie(config)# username admin secret YourAdminPass#123定期更新密码即使使用了强哈希也应定期更换密码特别是当有管理员离职或权限变更时。可以通过编写脚本批量更新或在设备上手动修改。权限分级与AAA认证不要所有人都用同一个enable密码。结合AAA认证、授权、记账服务使用RADIUS或TACACS服务器进行集中认证。为不同角色的管理员分配不同的权限级别privilege level并通过ACS服务器动态下发。这样设备本地可以不保存任何高级别密码从根本上杜绝泄露。3.2 封堵show命令的信息泄露漏洞对于show privilege等命令可能泄露信息的问题采取防御性配置。升级操作系统首先查询设备型号和当前软件版本show version访问锐捷官网查看该型号的最新稳定版软件。新版本通常会修复已知的信息泄露类漏洞。在业务允许的维护窗口内进行升级。限制命令执行权限通过权限级别控制将敏感的show命令如show running-config、show privilege、show tech-support等划分到较高的权限级别例如level 15并确保只有高级管理员才有该级别的权限。对于通过AAA认证的用户可以在RADIUS/TACACS服务器上精细控制其可执行的命令集。审计与监控在日志服务器或网管系统上集中收集和分析设备的syslog。可以设置告警规则当有用户执行show privilege等敏感命令时立即产生告警以便管理员及时核查。3.3 SNMP团体字安全强化方案SNMP的安全加固需要从协议版本、访问控制和加密传输多方面入手。弃用SNMP v2c迁移至SNMP v3这是最根本的解决方案。SNMP v3提供了基于用户的安全模型USM支持认证验证消息来源和加密保护数据内容功能。认证使用SHA或MD5算法确保数据包来自合法用户且未被篡改。加密使用DES或AES算法对传输的数据进行加密防止窃听。 配置示例! 创建SNMPv3组定义安全级别auth为认证priv为加密 snmp-server group MyGroup v3 priv ! 创建SNMPv3用户关联到组并指定认证和加密密码 snmp-server user admin MyGroup v3 auth sha AuthPass123 priv aes 128 PrivPass456这样在配置文件中看到的将是用户名和经过处理的密码信息而不是明文团体字。网管系统也需要相应配置为SNMPv3模式。如果必须使用SNMP v2c兼容老旧网管使用复杂团体字避免使用public、private、admin等默认或常见词汇。使用包含大小写字母、数字、特殊字符的长字符串例如RjSwitch-Read-0nly-2024!。严格限制访问源使用ACL访问控制列表限定只有网管服务器的IP地址才能使用SNMP团体字进行访问。! 定义一个ACL允许网管服务器IP ip access-list standard SNMP-ACL permit host 192.168.1.100 ! 应用ACL到SNMP团体字 snmp-server community ComplexReadOnlyString ro SNMP-ACL最小权限原则绝大多数监控场景只需要只读ro权限。严格审查并限制读写rw团体字的使用范围和IP。禁用不必要的SNMP服务如果某些交换机纯粹作为接入层使用没有纳入网管系统监控可以直接全局关闭SNMP服务。no snmp-server4. 排查、验证与长效运维机制配置完成后不能假设万事大吉必须进行严格的验证并建立长效的运维检查机制。4.1 安全配置验证清单实施加固后请按照以下清单逐一验证检查项验证命令预期安全结果风险状态特权密码加密show running-config | include enable secret输出行中包含5 $1$或8 $等更强算法开头的哈希值。安全show running-config | include enable password无输出或输出为enable password 7 ...仍需警惕Type 7。存在风险本地用户密码加密show running-config | include username.*secret用户密码配置行使用secret关键字。安全show running-config | include username.*password 0无输出。如果有是明文密码高危。高危SNMP v2c明文团体字show running-config | include snmp-server community无输出已禁用v2c或输出行中包含ACL限制如snmp-server community ... xx.xx.xx.xx。相对安全SNMP v3配置show running-config | include snmp-server user输出显示v3用户并带有auth和priv参数。安全show privilege信息泄露show privilege(用低权限用户测试)仅显示当前权限级别不显示任何级别的密码明文或哈希。安全注意验证show privilege时务必用一个非15级的低权限账号进行测试模拟攻击者视角。如果输出中包含密码信息说明漏洞仍存在需检查设备版本或权限配置。4.2 自动化巡检脚本构思对于拥有数十上百台锐捷交换机的环境手动逐台检查是不现实的。可以编写一个简单的自动化脚本使用Python的Paramiko或Netmiko库定期登录设备执行上述安全检查命令并解析输出结果。脚本的核心逻辑是读取设备IP、凭据清单。依次登录设备。执行关键检查命令如show run \| include enable\|username\|snmp-servershow privilege。分析返回的文本检测是否存在enable password 0/7。检测是否存在明文的snmp-server community行且没有ACL限制。检测show privilege输出中是否包含密码关键词。生成报告标记出存在风险的设备和具体问题并发送邮件告警。这样的脚本可以部署在运维服务器上每天或每周定时运行将安全巡检从“救火式”变为“预防式”。4.3 配置备份与版本管理中的安全考量即使设备本身配置安全了备份出来的配置文件如果管理不当也会成为泄密源头。加密存储备份文件使用secure copySCP或secure FTPSFTP协议将配置文件备份到服务器确保传输过程加密。在备份服务器上对存储配置文件的目录或文件本身进行加密如使用GPG。访问权限控制严格限制能访问备份服务器和配置文件仓库的人员权限。遵循最小权限原则。配置文件脱敏在将配置文件导入知识库、工单系统或给第三方技术支持时必须进行脱敏处理。编写脚本自动将配置文件中所有enable secret后的哈希值、username ... secret后的哈希值、SNMP团体字等敏感信息替换为REMOVED或类似的占位符。使用版本控制系统将脱敏后的配置文件纳入Git等版本控制系统管理。这样不仅能追溯配置变更历史还能通过分支和Pull Request流程对配置修改进行代码审查进一步确保变更的安全性和合规性。网络设备的安全是一个动态的过程而非一劳永逸的设置。从锐捷交换机密码和SNMP团体字明文显示这个具体问题切入我们实际上梳理了一套从协议理解、安全配置、漏洞排查到自动化运维的设备安全加固方法论。最深的体会是真正的安全往往藏在那些最基础、最容易被习惯性忽略的配置细节里。定期审视你的show running-config用攻击者的眼光去看待每一行配置你会发现很多“房间里的大象”。