|
ru.unix.bsd
- RU.UNIX.BSD ------------------------------------------------------------------
From : Anton Kiselev 2:5020/400 01 Mar 2005 11:02:54
To : Eugene Grosbein
Subject : Re: Гляньте, что за фигня прет?
--------------------------------------------------------------------------------
Eugene Grosbein wrote:
> AK> Вобщем обратился я к провайдеру и получил совершенно замечательный
ответ.
> AK> Да, udp frag с x.x.x.0/24, мы знаем об этой проблеме, не вы первый
> AK> обращаетесь.
> AK> Это действительно наш блок адресов, но этот трафик реально идет не с
него,
> AK> кто-то наши адреса использует для спуфинга.
> И провайдеру слабо резать пакеты, приходящие на их роутеры извне,
> у которых src из их блока?
Может и режет, но это не мой провайдер, это владелец x.x.x.
> AK> Таки вопрос: ip frag pass or deny?
> pass
Где-то в глубине души я это осознаю :-)
Hо вот пошерстил я интернет на предмет udp 83.102.166 (в инете уже
засвечено,
поэтому адрес выдаю). Оказывается не я один такой страдалец от
фрагментированного udp трафика с этого блока.
===================
Continued request for Specific UDP Fragment Data
Quoting from Lenny's Diary Yesterday:
My fellow handlers are in the process of analyzing the odd UDP packets that
we've discussed in the past few diaries. Thank you to everyone who has
shared their traces with us. We hope to provide you with a comprehensive
analysis as soon as we correlate and analyze the data we've collected.
We have enough generic data for now; however, we would like to take a closer
look at certain types of packets. If you have seen UDP fragments with the
TTL value of 57 or higher that came from the 83.102.166.0 network, please
send us your trace. If sending the packets to us, please indicate the name
of your upstream provider, if you can. Also, please tell us whether it's OK
for us to share the IP addresses that you saw and the TTL values with a
group of ISP security professionals.
You can capture such UDP "interesting" traffic using the following Tcpdump
filter:
src net 83.102.166 and \ (ip[6] & 0x02 = 0 and ip[6:2] & 0x1fff !=0) and \
((ip[8] > 56) or (ip[2:2] != 45))
You can capture such UDP "interesting" traffic using the following Snort
signatures:
alert ip 83.102.166.0/24 any -> any any \ (msg: "ISC Handlers - UDP Frag
Hunt - Narrowing TTL"; \ byte_test: 2,=,45,2; \ # len = 45 byte_test:
2,=,64,6; \ # fake frag byte_test: 1,>,56,8; \ # ttl higher than 56 content:
"|11EF 0035 0019 50D7 71F7 0100 0001 0000 0000 0000 0000 0200 01|";) # DNS
root NS query
alert ip 83.102.166.0/24 any -> any any \ (msg: "ISC Handlers - UDP Frag
Hunt - Bigger Packets"; \ byte_test: 2,>,45,2; \ # len > 45 byte_test:
2,=,64,6; \ # fake frag content: "|11EF 0035 0019 50D7 71F7 0100 0001 0000
0000 0000 0000 0200 01|";) # DNS root NS query
======================
Стал-быть какой-то червячок/вирус его генерит и, рассуждая по
рабоче-крестьянски,
трафик такой может нанести какой-то вред системе, хотя я и не понимаю какой.
> AK> Я до сих пор совершенно без проблем жил с deny. Это первые frag
пакеты
> AK> и те хакерские какие-то.
> Можно сказать, тебе повезло - если проблем раньше не было.
Hаверное, но ведь всегда при необходимости можно добавить pass frag правило
на
проблемные адреса.
--
Отправлено через сервер Форумы@mail.ru - http://talk.mail.ru
--- ifmail v.2.15dev5.3
* Origin: Talk.Mail.Ru (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
