|
ru.unix.bsd
- RU.UNIX.BSD ------------------------------------------------------------------
From : Vadim Guchenko 2:5020/400 28 Jul 2007 01:05:07
To : Vadim Goncharov
Subject : Re: ipfw and keep-state
--------------------------------------------------------------------------------
Hello, Vadim!
You wrote to Vadim Guchenko on Sat, 21 Jul 2007 12:15:44 +0000 (UTC):
VG> Это всё варианты DoS-атак, тут все верно. Возможная дырявость
VG> established заключается в другом - если за шлюзом сеть с реальными
VG> адресами и в ней есть инсайдер, он может организовать обход
VG> файрвола, обойдясь без начального пакета с SYN, так что все подпадут
VG> под established. Hо для случая с NATом этот вариант опять-таки
нереален.
Ты имеешь в виду, что кто-то внутри защищенной сети посылает на соседнюю
машину с реальным адресом запрос на установку соединения на TCP порт,
который открыт только для внутренней сети и закрыт из интернета, причем в
этом пакете в качестве src_ip и src_port указаны адрес и порт удаленного
атакующего? Поскольку обе машины находятся в одном ethernet-сегменте и их
трафик не проходит через L3 устройство, антиспуфинг сделать некому. Тогда
атакуемый хост, не имея файрвола, честно отошлет этому удаленному атакующему
подтверждение на установку соединения и файрвол на шлюзе это пропустит, если
в нем есть allow tcp from any to any established. Атакующему нужно лишь быть
готовым принять второй пакет и подтвердить его. Согласен. Hо разве нат в
этом случае не пропустит пакет наружу и не примет для него ответ? Разве он
смотрит какие там TCP-флаги выставлены на пакете и на этом основании
транслирует его или отбрасывает? То же самое наверное относится и к
keep-state. С одной стороны в sysctl есть различные переменные вида
dyn_ack_lifetime, dyn_syn_lifetime и т.д, с другой стороны эти переменные
могут влиять только на время жизни динамического правила ipfw, но не на
условие его создания. Точно насчет этого я не знаю. В манах не написано, а
исходники я не смотрел. Единственное, что приходит в голову: сделать на
шлюзе не просто allow tcp from any to any keep-state, а с флагом setup. Hо
инсайдер с таким же успехом может послать пакет на установку соединения
наружу на адрес и порт атакующего якобы с адреса и порта атакуемого, чтобы
создать динамическое правило в ipfw. С другой стороны, если есть инсайдер,
зачем такие сложности с файрволом? Он и так всю инфу сам может посмотреть и
слить. Или выступить в качестве прокси для удаленного атакующего.
--
Best regards, Vadim.
--- ifmail v.2.15dev5.3
* Origin: Demos online service (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
