СХД HP MSA P2000 G3 Modular Smart Array и учётные данные по умолчанию

HP MSA P2000 G3 Modular Smart Array and hidden admin with default passwordВ конфигурации по умолчанию у контроллеров управления системы хранения данных HP MSA P2000 G3 имеется несколько встроенных учётных записей. Пароли этих учётных записей любой вменяемый администратор сменит при первой же настройке контроллеров управления. Однако, даже много лет проработав с подобной железкой, и предполагая, что в этой области нет никаких "белых пятен", в один прекрасный день можно открыть для себя совершенно удивительные и неизвестные ранее подробности, от которых на голове могут зашевелиться волосы.

Так произошло в моём случае, когда колупаясь в документе "HP P2000 G3 MSA System CLI Reference Guide" в разделе описания команд управления учётными записями (команды "create user"), было замечено подозрительное примечание:

NOTE:The user name admin is reserved for internal use

Но для каких таких задач может понадобиться такая учётная запись, да и как вообще её можно использовать, если в перечне созданных на контроллере учётных записей её попросту нет? Развивая логику настроек учётных записей, имеющихся на контроллере по умолчанию и доступных администратору в веб-интерфейсе и CLI-оболочке …

  • Пользователь "manage" с паролем "!manage"
  • Пользователь "monitor" с паролем "!monitor"
  • Пользователь "ftp" с паролем "!ftp"

… можно конечно предположить, что если учётная запись "admin" действительно есть на контроллере, то пароль по умолчанию у неё вероятно будет "!admin". Мысль в голове конечно проскочила, но я её отбросил, так как и предположить не мог, что такое возможно на самом деле на железке от такого, казалось бы, серьёзного производителя. В конечном итоге выяснилось то, что, действительно, на самом деле такое возможно. Более того, в Интернете можно найти свидетельства (и здесь позже), подтверждающие это, которые на сегодня могут смело называться "жутким баяном", но актуальности от этого в моём конкретном случае они не потеряли.

На двух, имеющихся у меня под руками СХД с самой последней прошивкой версии TS252P005 (9 Feb 2017) и прошивкой предыдущей версии TS252P001 (1 Mar 2016), удалось успешно подключиться к контроллерам СХД с административными привилегиями от имени учётной записи "admin" с тем самым дивным паролем.

При этом учётную запись "admin" никогда не было видно из веб-интерфейса управления учётными записями на контроллере СХД.

HP MSA P2000 G3 Controller users in web console

Также не видно эту учётную запись и при стандартном выполнении команды отображения пользователей в СLI:

# show user

HP MSA P2000 G3 Controller users in CLI over SSH

Однако, если выполнить этот же запрос, указав в явном виде имя интересующей нас учётной записи, то мы увидим, что такая запись действительно присутствует:

# show user admin

HP MSA P2000 G3 Controller admin user in CLI

С помощью следующей команды мы можем сменить пароль учётной записи "admin" на что-то более серьёзное:

# set password admin

HP MSA P2000 G3 change admin default password

После смены пароля крайне желательно убедиться в том, что новый пароль работает, а также в том, что старый пароль теперь не действителен. Так как можно найти информацию о том, что в старых версиях прошивки, например TS250R023 (5 Apr 2013), волшебный пароль "!admin" продолжает работать даже после успешной попытки его смены через CLI. И здесь можно только предполагать, что эти скрытые учётные данные в старых версиях прошивки вообще были hard-coded. Хотя такое в голове тоже не укладывается, но проверить это я уже не могу, так как давно не имею под руками контроллеров с такой версией прошивки.

В такие моменты мне вспоминаются слова "Кирпича" из фильма "Большой куш" про тонкий лёд и всё остальное Smile

Всего комментариев: 4 Комментировать

  1. Сергей П /

    Охренеть :) Спасибо!

  2. rulezz /

    У меня admin !admin не работает. Контроллеры, правда, FC/iSCSI. Сам я этот пароль не помню, чтобы менял.

  3. admin /

    На MSA 2040 FC, FW GL220P009 учетка admin есть, но войти с этим паролем (!admin) нельзя.

  4. jTroi /

    всем привет. Не знаю насколько актуально будет, но кто нибудь
    сталкивался с такой проблемой.

    После долгого времени работы перестал отвечать веб-интерфейс. Переподключив Eth патчкорд по IP пропала возможность подключения в браузере вылазит просьба ввести логин и пароль в digest. Перебрал все стандартные пароли не помогло, а кабеля для CLI нету чтобы сбросить все к дефолту

Добавить комментарий