| 1.2, Аноним (-), 15:28, 29/06/2017 [ответить] [﹢﹢﹢] [ · · · ] [к модератору]
| +3 +/– | |
Удобна штука upnp, но последние новости как-то не радуют.
Обычно пользовался когда временно нужен доступ мимо впн к spice серверу с авторизацией.
upnpc -a 192.168.1.102 5900 5900 tcp
| | |
| 1.5, Аноним (-), 16:07, 29/06/2017 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]
| +2 +/– |
В miniupnpd разве эта проблема не решается настройкой secure_mode=yes (выставленной в openwrt по умолчанию) при которой ответы будут отправляться только на адрес с которого пришел запрос и только в том случае если перенаправление запрашивалось на тот же адрес с которого пришел запрос?
И зачем вообще upnp вещать на интерфейс смотрящий во внешнею сеть?
| | |
| |
| 2.8, PnDx (ok), 18:26, 29/06/2017 [^] [^^] [^^^] [ответить] [к модератору]
| +1 +/– |
 "только на адрес с которого пришел запрос"
Вот туда и отправляется. Аж целых 7 пакетов.
"во внешнею сеть"
По-умолчанию, как обычно.
| | |
| |
| 3.9, Аноним (-), 19:43, 29/06/2017 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
Из новости:
> Проблема заключается в том, что подобные запросы не ограничиваются локальной сетью, обрабатываются при поступлении на обычный (unicast) IP и используют протокол UDP, позволяющий выполнить спуфинг (указать фиктивный обратный IP-адрес).
Так ведь вроде как смысл атаки как раз в том чтобы слать ответы на фиктивный обратный IP-адрес. Если слать на адрес отправителя запроса то ddosить будут сами себя.
| | |
| |
| 4.11, angra (ok), 21:12, 29/06/2017 [^] [^^] [^^^] [ответить] [к модератору]
| +1 +/– |
 Отправитель может подставить в IP заголовке в поле source address вместо своего адрес жертвы. На этом основаны все атаки с умножителями, как впрочем и большинство других.
| | |
| |
| 5.12, Аноним (-), 21:27, 29/06/2017 [^] [^^] [^^^] [ответить] [к модератору]
| –1 +/– |
но как они это делают? ведь чтобы незаметно подставлять чужие адреса нужно быть подключеным к магистральному роутеру, причем на условиях транзита (другие просто не примут пакеты с чужими ип).
| | |
| |
| 6.13, Anonim (??), 23:03, 29/06/2017 [^] [^^] [^^^] [ответить] [↓] [к модератору]
| +/– | |
> но как они это делают? ведь чтобы незаметно подставлять чужие адреса нужно быть подключеным к магистральному роутеру, причем на условиях транзита (другие просто не примут пакеты с чужими ип).
Так для них по барабану, какой src стоит
| | |
| |
| 7.15, Аноним (-), 23:44, 29/06/2017 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
>> но как они это делают? ведь чтобы незаметно подставлять чужие адреса нужно быть подключеным к магистральному роутеру, причем на условиях транзита (другие просто не примут пакеты с чужими ип).
> Так для них по барабану, какой src стоит
что-то я сомневаюсь что админы магистралов таким способом "подрабатывают". скорее всего админы некоторых дц не осилили фильтрацию :)
| | |
|
| 6.19, пох (?), 10:04, 30/06/2017 [^] [^^] [^^^] [ответить] [↑] [к модератору]
| +/– | |
> причем на условиях транзита (другие просто не примут пакеты с чужими ип).
с разморозкой. 1996й год давно прошел, никто уже не вешает фильтры на каждый клиентский порт. Хомянеттеры не в счет, с них много не наддосишь. Хотя я и хомянеттеров никогда не фильтровал, нахрен не нужен геморрой себе на жопу своими же руками.
А в свете "мигрирующих" v4 блоков уже и фильтрация bgp благополучно пошла лесом (да и была-то она почти только в области деятельности ripe, остальные тоже давно забили... э... даже, пожалуй, предположу не столько ripe, сколько трех стран с кодом +7)
| | |
|
|
|
|
|
| 1.14, Аноним (-), 23:21, 29/06/2017 [ответить] [﹢﹢﹢] [ · · · ] [↑] [к модератору]
| +1 +/– |
Всегда когда покупал какой-нибудь роутер, сразу отключал UPnP и открывал порты вручную. Всегда эта фича казалась жуткой уявзимостью. Ведь любая прога может легко открыть порт для коннектов извне без моего ведома, то есть, по сути, прогонять через мой комп несанкцианированный мною трафик.
| | |
|
