The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы
правила/FAQ
поиск
регистрация
вход
слежка
RSS


Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Проект TCP Stealth стал ответом на деятельность спецслужб по..., opennews (ok), 22-Авг-14, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


37. "Проект TCP Stealth стал ответом на деятельность спецслужб по..."  +2 +/–
Сообщение от Нанобот (ok), 22-Авг-14, 16:35 
> а не проще ли будет закрыть входящие icmp?
> deny icmp from any to any in icmptypes 8
> allow icmp from any to any out icmptypes 8
> allow icmp from any to any in icmptypes 0

это такой вброс???

Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору
Часть нити удалена модератором

98. "Проект TCP Stealth стал ответом на деятельность спецслужб по..."  +/–
Сообщение от Аноним (-), 23-Авг-14, 19:26 
> У тебя достаточно было бы закрыть исходящие ICMP, если бы целевую ОСь
> определяли по отсылаемым целевым ядром ICMP сообщениям,

Да что вы к этому ICMP привязались, о бсдшные ламерюги? В новости про icmp вообще ни звука.

Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

102. "Проект TCP Stealth стал ответом на деятельность спецслужб по..."  +1 +/–
Сообщение от metallica (ok), 23-Авг-14, 21:53 
> Да что вы к этому ICMP привязались, о бсдшные ламерюги? В новости
> про icmp вообще ни звука.

Смотри, линуксовый специоламерист. Техника определeния ОСи на удалённом хосте
может включать анализ ICMP сообщений от хоста. В новости говорилось про определение
ОСи, и вышеобруганный человек предположил, что для запрета анализа можно рубить
обмен ICMP сообщениями. Что до последних, то при взаимодействии по TCP/IP, ICMP
в linux может врубится вот так, На уровне обработчиков IP уровня:


if (skb->pkt_type != PACKET_HOST)
                 return -EINVAL;
         if (rt->rt_type == RTN_UNICAST) {
                 if (!opt->is_strictroute)
                         return 0;
                 icmp_send(skb, ICMP_PARAMETERPROB, 0, htonl(16<<24));
                return -EINVAL;
         }
if (rt->rt_type != RTN_LOCAL)
                return -EINVAL;
         for (srrptr = optptr[2], srrspace = optptr[1]; srrptr <= srrspace; srrptr += 4) {
                if (srrptr + 3 > srrspace) {
                        icmp_send(skb, ICMP_PARAMETERPROB, 0, htonl((opt->srr+2)<<24));
                         return -EINVAL;
.....................................................................
        IP_INC_STATS_BH(net, IPSTATS_MIB_INDELIVERS);
                 } else {
                        if (!raw) {
                                 if (xfrm4_policy_check(NULL, XFRM_POLICY_IN, skb)) {
                                        IP_INC_STATS_BH(net, IPSTATS_MIB_INUNKNOWNPROTOS);
                                        icmp_send(skb, ICMP_DEST_UNREACH,
                                                   ICMP_PROT_UNREACH, 0);
                                 }
                                kfree_skb(skb);
..........................................................................
log_martians = IN_DEV_LOG_MARTIANS(in_dev);
         rcu_read_unlock();
 
         net = dev_net(rt->dst.dev);
         peer = inet_getpeer_v4(net->ipv4.peers, ip_hdr(skb)->saddr, 1);
         if (!peer) {
                 icmp_send(skb, ICMP_REDIRECT, ICMP_REDIR_HOST,
                           rt_nexthop(rt, ip_hdr(skb)->daddr));
                 return;
         }
 
..........................................................................
                if (qp->user == IP_DEFRAG_AF_PACKET ||
                     ((qp->user >= IP_DEFRAG_CONNTRACK_IN) &&
                      (qp->user <= __IP_DEFRAG_CONNTRACK_IN_END) &&
                      (skb_rtable(head)->rt_type != RTN_LOCAL)))
                         goto out_rcu_unlock;
 
 
                 /* Send an ICMP "Fragment Reassembly Timeout" message. */
                 icmp_send(head, ICMP_TIME_EXCEEDED, ICMP_EXC_FRAGTIME, 0);
 out_rcu_unlock:

Ответить | Правка | Наверх | Cообщить модератору

106. "Проект TCP Stealth стал ответом на деятельность спецслужб по..."  +/–
Сообщение от anonymous (??), 24-Авг-14, 09:37 
>[оверквотинг удален]
>            
>            
>   goto out_rcu_unlock;
>            
>      /* Send an ICMP "Fragment Reassembly
> Timeout" message. */
>            
>      icmp_send(head, ICMP_TIME_EXCEEDED, ICMP_EXC_FRAGTIME, 0);
>  out_rcu_unlock:
>

Тут большая часть кода вообще не к месту, а то, что более-менее к месту - отключается через sysctl, и даже файрволл трогать не надо. И вообще будет действовать в "сильно некоторых" случаях.

Ответить | Правка | Наверх | Cообщить модератору

109. "Проект TCP Stealth стал ответом на деятельность спецслужб по..."  +/–
Сообщение от metallica (ok), 24-Авг-14, 16:48 
> Тут большая часть кода вообще не к месту, а то, что более-менее
> к месту - отключается через sysctl, и даже файрволл трогать не
> надо. И вообще будет действовать в "сильно некоторых" случаях.

Его привёл как пример того, как ICMP может включаться при TCP/IP
взаимодествиях. Его не надо отключать через sysctl, достаточно
формировать корректные заголовки, что в некоторых техниках
определения удалённой ОС, заведомо не производится. И, наконец, про sysctl,
скажите, как таким образом отключить, например, тот icmp_send, что в ip_local_deliver_finish,
ну так, чтоб при некорректном значении поля protocol в IP заголовке, icmp_send
не срабатывал?


Ответить | Правка | Наверх | Cообщить модератору

116. "Проект TCP Stealth стал ответом на деятельность спецслужб по..."  +/–
Сообщение от Аноним (-), 25-Авг-14, 00:17 
> Его привёл как пример того, как ICMP может включаться при TCP/IP
> взаимодествиях.

ICMP может включаться при сетевых взаимодействиях. Но как раз из-за всяких удодов которые думают что удавить его это круто - на него всерьез давно уже никто не рассчитывает.

> формировать корректные заголовки, что в некоторых техниках
> определения удалённой ОС, заведомо не производится.

Ключевое слово - в НЕКОТОРЫХ. Плох тот сканер который эксклюзивно закладывается на протокол который в 50% случаев элементарно не работает.

> ну так, чтоб при некорректном значении поля protocol в IP заголовке, icmp_send
> не срабатывал?

"Как мне сломать логику сетевых протоколов?". Пойти в дворники и не портить сети, запуская свои кривые лапки в протоколы без понимания нафига они вот такие, бэть. Кулсисопам не приходило в голову что если пакеты отсылаются - на это были некие причины? Для красоты пакеты никто не рассылает.

А что до маскировки - вы или уж в случае TCP как-то отвечаете на SYN пакет и тогда легитимный клиент может конектиться дальше. Но тогда и сканер увидит порт. Или уж дропаете SYN пакеты, молча в тряпочку, но тогда и легитимные клиенты ткнувшись в это увидят глухой таймаут. Возможны варианты типа сабжа, но они катят только для непубличных сервисов. А детектирование операционки можно делать по туевой хуче критериев. А хоть тем же параметрам TCP/IP типа sequence numbers и прочим интимным особенностям.

Ответить | Правка | Наверх | Cообщить модератору

115. "Проект TCP Stealth стал ответом на деятельность спецслужб по..."  +/–
Сообщение от Аноним (-), 24-Авг-14, 23:50 
> Смотри, линуксовый специоламерист. Техника определeния ОСи на удалённом хосте
> может включать анализ ICMP сообщений от хоста.

Может, но это далеко не единственный метод. А у половины кулсисопов к тому же на страничке сервака, извините, недвусмысленная картинка "powered by freebsd" висит. А что у сарая нет стены - Зоркий Глаз, старательно затыкающий ICMP, обычно замечает далеко не сразу ;].

Не говоря о том что от детектирования сервиса на порту указанные команды не спасут.

> в linux может врубится вот так, На уровне обработчиков IP уровня:

Круто. А теперь посмотри на то как работает какой-нибудь zmap, вообще наполовину кладущий на стандартную ядерную механику (в целях оптимизации пакеты кроятся и разруливаются самой софтиной). Чтобы понять насколько все это бла-бла может быть иррелевантно для работы сканеров.

Ответить | Правка | К родителю #102 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей 		Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру