’, Â, � etc... How to fix strange encoding characters in WP or other SQL database
移动运营商向其客户提供的大部分3G和4G USB调制解调器都存在基于Web的管理界面中的漏洞，当用户访问受损网站时可能会利用这些漏洞进行远程利用。 >这些漏洞可能允许攻击者窃取或操纵受影响调制解调器的文本消息，联系人，Wi-Fi设置或DNS（域名系统）配置，还可以在其底层操作系统上执行任意命令。在某些情况下，这些设备可能变成恶意软件传送平台，感染他们插入的任何计算机。
俄罗斯安全研究人员Timur Yunusov和Kirill Nesterov介绍了一些可用于对抗USB调制解调器的缺陷和攻击， The Hack in the Box安全会议在阿姆斯特丹
[进一步阅读：如何从您的Windows PC中移除恶意软件]
USB调制解调器实际上是小型计算机，通常运行基于Linux或基于Android的操作系统，并具有自己的存储和Wi-Fi功能。他们还有一个基带无线电处理器，用于使用SIM卡访问移动网络。许多调制解调器都有一个嵌入式Web服务器，它支持基于Web的仪表板，用户可以更改设置，查看调制解调器状态，发送短信并查看他们收到的消息。这些仪表板通常是由移动运营商自己定制或完全开发的，并且通常充满安全漏洞，Yunusov和Nesterov说。
研究人员声称在基于Web的管理界面中发现远程代码执行漏洞超过90他们测试的调制解调器的百分比。这些漏洞可能允许攻击者在底层操作系统上执行命令。
这些接口只能通过调用其局域网IP地址从调制解调器使用的计算机上访问。但是，攻击者仍然可以通过称为跨站点请求伪造（CSRF）的技术远程利用任何漏洞。
CSRF允许在网站上运行的代码强制访问者的浏览器向另一个网站发出请求。因此，访问恶意网页的用户可能会无意中在其身份验证的其他网站上执行操作，包括只能在本地访问的USB调制解调器仪表板上。
许多网站已实施针对CSRF攻击的保护，但USB仪表盘调制解调器通常没有这种保护。研究人员表示，他们只在华为制造的一些较新的USB调制解调器上看到了抗CSRF保护，但即使在这种情况下，也可以使用强力技术绕过它。
家庭路由器也有同样的问题，最近看到的大规模攻击使用CSRF通过用户浏览器利用40多个路由器模型中的漏洞。攻击的目标是更改路由器使用的主要DNS服务器，使黑客可以欺骗合法网站或拦截流量。
由于USB调制解调器的作用类似于路由器，为计算机提供Internet网关，攻击者也可以劫持他们的DNS设置以达到类似的效果
在某些情况下，也有可能在调制解调器上获得root shell，或者用修改的恶意版本替换它们的整个固件，两名研究人员说。甚至更深。研究人员展示了一个视频演示，他们通过远程代码执行漏洞危及调制解调器，然后将其设备类型从网络控制器切换到键盘。然后，他们使用此功能在主机上键入流氓命令，以便安装bootkit（引导级rootkit）。
使用CSRF不是远程利用USB调制解调器仪表板中的一些漏洞的唯一方法。在某些情况下，研究人员发现可通过短信利用的跨站请求脚本（XSS）漏洞。
在演示中，他们向调制解调器发送了特制的文本消息，当用户在仪表板中查看时，它会触发一条命令来重置用户的服务密码。新密码由移动运营商通过短信发回，但通过XSS注入的流氓代码将新消息隐藏在仪表板中并将密码转发给攻击者。
研究人员还提到了其他可能的攻击，如锁定调制解调器SIM卡，反复输入错误的PIN码，然后输入PUK码
为了试图看到攻击者找到易受攻击的设备是多么容易，研究人员在流行的安全门户网站的主页上设置了一个特殊的调制解调器指纹识别脚本在俄国。他们声称在一周内发现了超过5,000个USB调制解调器，这些调制解调器易受远程代码执行，跨站点脚本和跨站请求伪造。
